"سلينجشوت" جاسوس قادم من جهاز توجيه الإنترنت

كشف باحثون لدى كاسبرسكي لاب عن تهديد متطور استُخدم للتجسس الإلكتروني في منطقة الشرق الأوسط وإفريقيا منذ العام 2012 على أقل تقدير وحتى شهر فبراير الماضي. وتهاجم البرمجية الخبيثة التي أطلق عليها الباحثون اسم "سلينجشوت" Slingshot(المقلاع)، وتصيب الضحايا من خلال بعض أجهزة التوجيه الشبكية الرديئة، ويمكن أن تعمل في النمط الجوهري Kernel Mode، ما يمنحها سيطرة كاملة على الأجهزة الضحية. ويُعد كثير من الأساليب المستخدمة من قبل هذه البرمجية فريدة من نوعها، وفقاً للباحثين، الذي أكّدوا فعاليتها الشديدة في الجمع الخفي للمعلومات، والقدرة على إخفاء حركتها ضمن حزم البيانات الملحوظة التي يمكنها اعتراضها دون العثور على أي أثر للاتصالات اليومية التي تُجريها.
تم اكتشاف "سلينجشوت" بعد أن عثر الباحثون على برمجية مشبوهة لتسجيل عملية النقر على لوحة المفاتيح وأوجدوا توقيعاً للكشف السلوكي من أجل معرفة ما إذا كانت هذه البرمجية قد ظهرت في مكان آخر. وقد حفّزت هذه الخطوة اكتشاف وجود جهاز حاسوب مصاب بملف مشبوه داخل مجلد النظام باسم scesrv.dll. وقرر الباحثون تقصي المزيد عن هذا الأمر، ليُظهر تحليل أجري على الملف scesrv.dllأنه يتضمن شيفرة خبيثة، بالرغم من أنه يبدو جزءاً أصيلاً من نظام التشغيل. وبما أن مكتبة الملفات هذه مُحمّلة بالملف التشغيلي services.exe، وهي طريقة معالجة تتمتع بامتيازات نظام التشغيل، فقد اكتسبت المكتبة "الملغّمة" الامتيازات نفسها المتاحة لمكتبة الملفات، ليُدرك الباحثون عندها أن دخيلاً استطاع أن يتسلل إلى العمق ووجد طريقه إلى قلب جهاز الحاسوب.
وقد يكون الناقل غير الاعتيادي لبرمجية "سلينجشوت" هو الشيء الأكثر إثارة للاهتمام فيها، ووجد الباحثون، مع اكتشافهم مزيداً من الضحايا، أن العديد منها أصيبت في البداية من خلال أجهزة توجيه شبكية Routersمُخترقة. ويبدو أن المجموعة القائمة خلف هجمات "سلينجشوت" تقوم، أثناء شنها تلك الهجمات، باختراق أجهزة التوجيه زارعة فيها مكتبة روابط ديناميكية خبيثة، ليست في واقع الأمر سوى أداة تنزيل لمكونات خبيثة أخرى. وتقوم البرمجية الخاصة بإدارة جهاز التوجيه بتنزيل الوحدة الخبيثة وتشغيلها على جهاز حاسوب مسؤول الشبكة عندما يلِج إلى إعدادات جهاز التوجيه، فيما لا تزال الطريقة المستخدمة أصلاً لاختراق أجهزة التوجيه مجهولة.
بعد الإصابة، تقوم "سلينجشوت" بتحميل عدد من الوحدات على الجهاز الضحية، بما في ذلك وحدتان ضخمتان وقويتان هما CahnadrوGollumApp، وتأتيان متصلتين ومتعاونتين في مداومة العمل على جمع المعلومات وتسريب البيانات.ويبدو أن الهدف الرئيسي لبرمجية "سلينجشوت" هو التجسس الإلكتروني. إذ يُشير التحليل إلى أنها تجمع لقطات الشاشة وبيانات من لوحة المفاتيح وبيانات شبكية وكلمات مرور ووصلات USBوأنشطة أخرى على سطح المكتب وبيانات الحافظة الإلكترونية وغيرها، فوصول البرمجية الخبيثة إلى جوهر النظام يعني أن بإمكانها سرقة كل ما تريد.
كذلك يتضمن التهديد المتقدم والمستمر عدداً من الأساليب لمساعدة البرمجية الخبيثة في تجنب الكشف عنها؛ وتشمل تلك تشفير جميع السلاسل الكامنة في وحداته، واستدعاء خدمات النظام مباشرة من أجل تجاوز المنتجات الأمنية، واستخدام عدد من أساليب مكافحة تصحيح الأخطاء البرمجية Anti-debugging، وتحديد العملية التي تريد الدخول فيها اعتماداً على عمليات الحلول الأمنية المثبتة على الجهاز والمشغلة، وأكثر من ذلك.
وتعمل برمجية "سلينجشوت" كخادم خلفي سلبي؛ إذ لا تحتوي على عنوان ضمني لمركز القيادة والسيطرة ولكنها تحصل عليه من المشغل عبر اعتراض جميع حزم البيانات الشبكية في الوضع الجوهري والتحقق من الوضع لمعرفة ما إذا كان هناك اثنان من الثوابت السحرية المضمنة في مقدمة القطعة البرمجية. وإذا كانت هذه هي الحال، فهذا يعني أن هذه الحزمة تحتوي على عنوان لمركز القيادة والسيطرة. بعد ذلك، تُنشئ "سلينجشوت" قناة اتصال مشفرة تصلها بمركز القيادة والسيطرة وتبدأ في نقل البيانات من أجل تسريبها.
وضع الباحثون علامة Version 6.x(الإصدار 6.x) على العينات الخبيثة التي تم التحقيق فيها، ما يشير إلى أن التهديد قائم منذ مدة طويلة. ومن المحتمل أن تكون المهارات والتكلفة المرتبطة بإنشاء مجموعة أدوات "سلينجشوت" المعقدة عالية، فضلاً عن تطلب تطويرها وقتاً طويلاً، وفي ذلك دلالات تُرجّح أن المجموعة الكامنة وراء هذه البرمجية مجموعة عالية التنظيم والاحترافية، وربما تحظى برعاية حكومية، فيما تشير الدلائل النصية في الشفرة البرمجية إلى أن لغة هذه المجموعة هي الإنجليزية. ويظلّ تحديد الإسناد الدقيق، مع ذلك، صعباً إن لم يكن مستحيلاً، كما أنه عُرضة للتلاعب والخطأ بشكل متزايد.
وشاهد الباحثون، حتى الآن، حوالي 100 ضحية لبرمجية "سلينجشوت" والوحدات المرتبطة بها، تقع في كينيا واليمن وأفغانستان وليبيا والكونغو والأردن وتركيا والعراق والسودان والصومال وتنزانيا. ويبدو أن معظم الضحايا المستهدفين أفراد لا مؤسسات، لكن بعضهم من الشركات والمؤسسات الحكومية، فيما يقع معظم الضحايا الذين تمت ملاحظتهم حتى الآن، في كينيا واليمن.
وقال أليكسي شولمين، المحلل الرئيسي للبرمجيات الخبيثة في كاسبرسكي لاب، أن "سلينجشوت" عبارة عن "تهديد متطور" يلجأ إلى استخدام مجموعة واسعة من الأدوات والأساليب، بما في ذلك وحدات النمط الجوهري التي ظهرت حتى الآن فقط في الهجمات الأكثر تقدماً، وأضاف: "تُعد هذه الوظيفية ثمينة ومربحة للمهاجمين، ما يُفسر سبب وجودها لمدة ست سنوات على الأقل.