عصابة "سوفاسي" تحول اهتمامها نحو الهيئات العسكرية والدبلوماسية في الشرق الأقصى

لاحظ باحثون في شركة كاسبرسكي لاب أن عصابة الجريمة الإلكترونية الشهيرة Sofacy(سوفاسي) الناطقة بالروسية، بدأت تحوّل اهتمامها إلى استهداف هيئات ومنظمات عسكرية ودفاعية ودبلوماسية عاملة في منطقة الشرق الأقصى،فضلاً عن المنظمات المرتبطة بحلف الناتو والتي تشكّل أهدافاً تقليدية لها. ووجد الباحثون أن العصابة المعروفة أيضاً بالأسماء APT28أو "فانسي بير" Fancy Bear، تتداخل في نشاطها الإجرامي أحياناً مع مجموعات أخرى، بينها "تورلا" Turlaالناطقة بالروسية و"دانتي" Dantiالناطقة بالصينية.ومن بين أكثر الأمور إثارة للاهتمام مما كشف عنه الباحثون، وجود أبواب خلفية على خادم تابع لجهة عسكرية فضائية في الصين، كان قد تعرّض للاختراق من قبل المجموعة التخريبية الناطقة بالإنجليزية والتي تقف وراء عائلة برمجيات Lambertsالخبيثة.
وتتألف عصابة Sofacyمن مجموعة قوية من الناشطين في مجال التجسس الإلكتروني الذين يتابع الباحثون في كاسبرسكي لاب نشاطهم منذ سنوات عديدة. وكانت كاسبرسكي لاب نشرت في فبراير، موجزاً عاما عن أنشطة هذه العصابة في العام 2017، كشفت فيه عن انتقالها التدريجي بعيداً عن الأهداف المتعلقة بالناتو تجاه الشرق الأوسط وآسيا الوسطى وما بعدها. وتستخدم Sofacyهجمات التصيّد وأحيانًا الهجمات المعروفة باسم "فتحات المياه" التي تنتظر فيها المجموعة التخريبية وصول الضحية إلى مواقع ويب أصلية ملغمة للإيقاع بها بهدف سرقة المعلومات، بما يشمل بيانات اعتماد الدخولللحسابات، والاتصالات والمستندات الحساسة، كما يُشتبه في إيصالها حمولات مدمرة إلى أهداف مختلفة.
وتظهر النتائج الجديدة أن Sofacyليست الجهة المتصيّدة الوحيدة التي تتربّص بهذه المناطق، وأن هناك تداخلاًفي الأهداف يحدث أحياناً بين عدّة جهات تهديد. ووجد الباحثون في حالة Sofacyسيناريوهات شهدت تنافساً على الوصول إلى الضحايا بين البرمجية الخبيثة Zebrocyالتابعة للعصابة وبرمجيات أخرى تابعةلعصابة "موسكيتو تورلا" Mosquito Turlaالناطقة بالروسية، أو تنافساًبين هجمات SPLMالتابعة لها والهجمات التقليدية التي تشنها كل من "تورلا"و"دانتي" الناطقة بالصينية. وشملت الأهداف المشتركة دوائر حكومية ومؤسسات تقنية وعلمية وعسكرية، من منطقة آسيا الوسطى أو عاملة فيها.
وقد بدا في بعض الحالات أن الأهداف تتعرض لهجمات متزامنة ومنفصلة من كلّ منSPLMوZebrocy. ومع ذلك، فإن التداخل الأكثر إثارة للفضول كان على الأرجح ذلك الذي حدث بين Sofacyوالمجموعة التخريبية الناطقة بالإنجليزية والتي تقف وراء هجمات Lamberts. وتم اكتشاف الصلة بين الهجومينإثر عثور الباحثين على حضور لSofacyعلى خادم كانت معلومات سابقةأشارت إلى كونه مخترقاً من قِبل برمجيةGrey Lambertالخبيثة. ويتبعهذا الخادم شركة صينيةتقوم بتصميم تقنياتلأغراض الطيران والدفاع الجوي وتصنيعها.
ومع ذلك، يبقى الناقل الأصلي لهجوم SPLM، في هذا المثال، مجهولاً، الأمر الذي يثير عددًا من الفرضيات المحتملة، مثل حقيقة أن Sofacyيمكن أن تستغِل ثغرة لم يتم اكتشافها بعد أو سلالة جديدة من الأبواب الخلفية، أو أنها تمكّنت بطريقة ما من تسخير قنوات الاتصال في Grey Lambertلتنزيل برمجياتها الخبيثة. وقد يعني ذلك أيضاً أن المؤشراتإلى وجود Sofacyيمكن أن تمثلرايات زائفة زُرعت أثناء الحضور السابق لبرمجيات Lambertعلى الخادم. ويواصل الباحثون عملهم في ظلّ اعتقاد سائد بأن الاحتمال الأكبريتمثل في كون برمجيةPowerShellجديدةمجهولة أو تطبيق ويب أصلياً لكنه ضعيف، تم استغلالهما لتحميل برمجياتSPLMوتنفيذها في هذه الحالة.
وأشار كيرت بومغارتنر، الباحث الأمني المسؤول لدى كاسبرسكي لاب، إلى أن البعض يصوّر Sofacyأحياناً كعصابة وحشية ومتهورة، لكنه أكّد أن ما يمكن ملاحظته من خلال مراقبة نشاطها هو أن المجموعة "تتسم بالواقعية وتتحلى بالمرونة، وقال: لم ترد تقارير وافية بشأن نشاط المجموعة في بلدان الشرق الأقصى، ولكن من الواضح أنها ليست الجهة التخريبية الوحيدة التي تهتم بتلك المنطقة أو حتى بالأهداف نفسها، وقد نواجه مزيداً من الأمثلة على الأهداف المتداخلة،لا سيما في ظلّ التعقيدات المتزايدة في مشهد التهديدات الإلكترونية، وهذا ما قد يُعلّل قيام العديد من الجهات التخريبية بالتحقق من أي وجود لجهات أخرى في أنظمة الضحايا قبل استهدافها وشنّ هجماتهم عليها.
كذلك وجد الباحثون أن Sofacyتحتفظ الآن بتقسيمات فرعية متميزة لكل أداة من أدواتها التخريبية الرئيسية، مع مجموعات عنقودية للبرمجة والتطوير والتوجيه لكل من SPLM(المعروفة أيضاًبالاسمينCHOPSTICKوXagent) وGAMEFISHوZebrocy. وتعتبر SPLMالأداة الأساسية التي غالباً ما يقع عليها الاختيار من Sofacyلتنفيذ هجمات في مرحلتها الثانية، في حين تُستخدم Zebrocyلشنّ هجمات كبيرة الحجم. ووفقاً للباحثين، استهدفت عصابة Sofacyفي أوائل العام 2018 مؤسسات تجارية كبيرة في مجال الدفاع الجوي بالصين عبر SPLM، فيما استخدمت Zebrocyعلى نطاق أوسع في كل من أرمينيا وتركيا وكازاخستان وطاجيكستان وأفغانستان ومنغوليا والصين واليابان.
وتجدر الإشارة إلى أن جميع منتجات كاسبرسكي لاب تكشف وتمنع بنجاح جميع هجمات Sofacyالمعروفة، في حين قد تتطلب بعض عمليات التنظيف الصعبة إجراء إعادة تشغيل للأجهزة من أجل التخلص تماماً من آثار الهجمات.