كاسبرسكي تكشف عن "صقور الصحراء" .. أول مجموعة تجسس عربية تخترق مؤسسات إعلامية وحكومية حساسة

كشف فريق الدراسات والأبحاث العالمي في مختبرات كاسبرسكي Kaspersky Lab، عن أول مجموعة اختراق وتجسس إلكتروني عربية تطلق على نفسها اسم "صقور الصحراء" Desert Falcons، وتستهدف وتهاجم الآلاف من الضحايا في عدد كبير من دول العالم، وعلى رأسها المنظمات الرسمية والإعلامية والأفراد رفيعي المستوى في منطقة الشرق الأوسط.
وأكد خبراء كاسبرسكي، أن هذه المجموعة تعتبر الأولى من نوعها التي يتم التعرف عليها والتي يقف وراءها أشخاص ناطقون بالعربية، والذين يعكفون على تطوير وتشغيل عمليات تجسس إلكترونية واسعة النطاق.
أشاروا إلى أن العمليات التجسيسة طالت كل من المؤسسات الإعلامية والحكومية والأفراد في الإمارات، والمؤسسات الحكومية والأفراد فقط في السعودية.
مؤكدين أن عمليات التجسس قائمة ولا تزال على مدى العامين الماضيين حيث بدأت مجموعة صقور الصحراء بتطوير وبناء عملياتهم في عام 2011، إلا أن حملتهم الأساسية الأضرار الحقيقة بدأت في 2013، وقد تم رصد ذورة نشاطهم في بدايات العام الحالي 2015.
أشاروا إلى أن الأغلبية العظمى من الأهداف هي في مصر وفلسطين وإسرائيل والأردن وبعيدًا عن الشرق الأوسط ودول المنطقة التي تم استهدافها في الهجمات والبدايات الأولى للمجوعة، فإن مجموعة صقور الصحراء تقوم بالتصيد خارج المنطقة. فقد تمكنوا إجماليًا من مهاجمة أكثر من 3 آلاف ضحية في أكثر من 50 دولة في العالم، وتمكنوا من سرقة أكثر من مليون ملف إلكتروني.
و تستخدم مجموعة التجسس الإلكترونية أدوات تخريبية تستهدف مستخدمي الأجهزة العاملة بنظامي ويندوز وأندرويد.
وتتضمن القائمة التي استهدفتها مجموعة صقور الصحراء منظمات عسكرية وحكومية، خصوصًا الموظفين المسؤولين عن عمليات مكافحة غسيل الأموال، إضافة إلى العاملين في مجال الصحة والاقتصاد، والمؤسسات الإعلامية الرائدة، والمؤسسات التعليمية ومؤسسات الأبحاث، ومزودي الطاقة وخدمات المرافق العامة، والنشاطين والقادة السياسيين، وشركات الحراسة الأمنية الشخصية، وأهداف أخرى تمتلك معلومات جيوسياسية.
وقد تمكن خبراء مختبرات كاسبرسكي من إيجاد مؤشرات وعلامات لأكثر من 3 آلاف ضحية من أكثر من 50 دولة في العالم، ودلائل أخرى على سرقة أكثر من مليون ملف.
وبالرغم من أن التركيز الأساسي لنشاط مجموعة "صقور الصحراء" يبدو في بلدان مثل مصر وفلسطين وإسرائيل والأردن، فقد تم العثور على ضحايا آخرين في كل من قطر والممكلة العربية السعودية والإمارات العربية المتحدة والجزائر ولبنان والنرويج وتركيا والسويد وفرنسا والولايات المتحدة وروسيا والعديد من البلدان الأخرى.
وتعتمد الطريقة الأساسية التي استخدمتها مجموعة "صقور الصحراء" في إيصال الملفات التجسسية للضحايا عبر أدوات التصيد عبر البريد الإلكروني Phishing والمنشورات عبر الشبكات الاجتماعية، ووسائل برامج وتطبيقات المحادثات (الدردشة). واحتوت الرسائل التصيدية على ملفات ملغومة أو روابط تؤدي لمفات ملغومة متخفية بوثائق أو تطبيقات رسمية. واستخدمت "صقور الصحراء" العديد من التقنيات لتحفيز الضحايا على تشغيل الملفات الملغومة. وأحد هذه الأساليب هي حيلة أو خدعة امتداد الملفات ذات التنسيق المقلوب أي من اليمين إلى اليسار.
تستغل هذه الطريقة الحرف الخاص في معيار الترميز القياسي الدولي أو ما يعرف ب Unicode لإعادة استدعاء الحروف في اسم الملف، مخفية امتداد لملف خطير في منتصف اسم الملف وواضعة امتداد لملف يبدو في ظاهره أنه غير مؤذي ولا تخريبي ولا مثير للشكوك وذلك بالقرب من نهاية اسم الملف. باستخدام هذا الأسلوب، الملفات التخريبية التي تحمل امتدادات مثل.exe و.scr ستبدو على أ نها ملفات غير مؤذية أو ملفات عادية من نوع PDF، وحتى المستخدمين الحذرين الذين لديهم خلفية تقنية جيدة يمكن أن يقعوا فريسة وضحية لذلك. على سبيل المثال، ملف ينتهي ب.fdp أو.scr يبدو مثل.rcs.pdf
بعد النجاح بإصابة جهاز الضحية، تقوم مجموعة "صقور الصحراء" باستخدام واحد من الأبواب الخلفية الإثنين المختلفة: الباب الخلفي الأساسي من نوع حصان طروادة Desert Falcons' Trojan أو DHS Backdoor، واللذان على ما يبدو تم تطويرهما وبرمجتهما من الصفر، وهما يخضعان لتطوير مستمر. وقد تمكن خبراء كاسبرسكي من تحديد ما مجموعه أكثر من 100 نموذج من البرمجيات الخبيثة التي تم استخدامها من قبل صقور الصحراء في هجماتهم.
الأدوات الخبيثة المستخدمة لديها آلية تشغيل كاملة للأبواب الخلفية، بما في ذلك القدرة على أخذ صور للشاشات Screenshots، وسجلات النقر على لوحة المفاتيح، وتحميل ملفات ورفعها وتنزيلها، وجمع بيانات ومعلومات حول كل ملفات الورد والإكسل على القرص الصلب للضحية أو الأجهزة المتصلة عبر منفذ USB، وسرقة كلمات السر المخزنة في سجل النظام (إنترنت أكسبلورر ولايف ماسنجر)، وتسجيل ملفات صوتية. وقد تمكن خبراء كاسبرسكي أيضا من العثور على آثار لنشاط برمجية خبيثة والتي اتضح أنها أبواب خلفية لنظام أندرويد قادرة على سرقة مكالمات الموبايل وسجلات الرسائل النصية القصيرة SMS.
ويقدر الباحثون في مختبرات كاسبرسكي بأنه على الأقل هنالك 30 شخصا، موزعين في ثلاث فرق، يتنشرون في بلدان مختلفة، هم من يقومون بتشغيل حملات صقور الصحراء التجسسية.