"بالو ألتو نتوركس" تكشف تفاصيل جديدة عن مجموعة القرصنة الالكترونية تستهدف هيئات حكومية

كشفت اليوم بالو ألتو نتوركس، الشركة المتخصصة في تطوير الجيل التالي من الحلول الأمنية، تفاصيل عن مجموعة القرصنة الالكترونية الشهيرة سوفاسي التي تستهدف هيئات حكومية متعددة، إذ لا تزال هذه المجموعة (التي تعرف أيضاً بأسماء متعددة أخرى مثل: إيه بي تي 28، فانسي بير، سترونتيوم، سيدنيت، فريق القيصر، باون ستورم)تتمتع بنشاط كبير في عام 2018، حيث تتولى الوحدة 42، التابعة لشركة بالو ألتو نتوركس، مراقبة هذه المجموعة بسبب طبيعتها الهجومية المستمرة على الصعيد العالمي في مختلف المجالات. وفي الآونة الأخيرة، تم الكشف عن حملة أطلقت في مختلف وزارات الخارجية في جميع أنحاء العالم.ومن اللافت، وجود جهدين متوازيين داخل الحملة، يقوم كل جهد باستخدام مجموعة أدوات مختلفة تماماً بخصوص الهجمات. ولذا فإننا في هذه المدونة، سنناقش واحدة من الجهود التي استفادت من الأدوات التي باتت تعرف بارتباطها بمجموعة سوفاسي.
تفاصيل الهجوم
في بداية فبراير 2018، تم الكشف عن هجوم استهدف مؤسستين حكوميتين على صلة بالشؤون الخارجية. غير أن هذه المؤسسات لم تكن متجانسة إقليمياً، وكان الهدف الوحيد المشترك فيما بينها هو وظائفها المؤسساتية. وعلى وجه التحديد، تقع إحدى المؤسساتجغرافياً في أوروبا والأخرى في أمريكا الشمالية. وقد استخدم المهاجم الأولي رسالة بريد إلكتروني للتصيد الاحتياليكتب في سطر موضوعها"فعاليات الدفاع القادمة لفبراير 2018" وعنوان المرسل الذي يدعي أنه من فعاليات الدفاع 360 التابعة ل"جين"حيث تعتبر "جين باي إهسماركيت"Jane's by IHSMarkitمن الموردين المعروفين للمعلومات والتحليلات وترتبط في كثير من الأحيان بالدفاع والقطاع الحكومي. وقد أظهرت تحليلات بيانات عنوان البريد الإلكتروني بأن عنوان المرسل مزيف وغير صادر عنإهسماركيت على الإطلاق. ويدعي نص الإغراء في رسالة التصيد الاحتيالي أن المرفق عبارة عن تقويم للأحداث ذات الصلة بالمؤسسات المستهدفة ويتضمن تعليمات محددة بشأن الإجراءات التي يتعين على الضحية اتخاذها إذا ما واجهت "مشكلة في عرض المستند.
وقد كان المرفق نفسه عبارة عن مستند أكسل مايكروسوفت يحتوي على برنامج نصي ماكرو ضار. ويقدم المستند نفسه على أنه مستند ماكرو عادي لكن نصوصه مخفية ولن تظهر إلا بعد أن يقوم الضحية بتفعيل وحدات الماكرو. ومن الجدير ذكرهأن بإمكان الضحية الوصول إلى النص كاملاً حتى قبل تفعيل وحدات الماكرو. إذ إنه تم تطبيق لون الخط الأبيض على النص لجر الضحية إلى تفعيل وحدات الماكرو للوصول إلى المحتوى. وبمجرد تفعيل الماكرو، يتم إظهار المحتوى عبركود.
يقوم الكود أعلاه بتغيير لون الخط إلى اللون الأسود ضمن نطاق الخلية المحدد ويعرض المحتوى للمستخدم. وعند المعاينة الأولية، يظهر المحتوى كما لو أنه المحتوى المرخص المتوقع، غير أن الفحص الدقيق للمستند يظهر عدداً من الآثار غير الطبيعية التي لم تكن موجودة في المستند المرخص.