هجمات إلكترونية تستهدف شركات 40 دولة من بينها مصر السعودية

اكتشف خبراء "كاسبرسكي لاب، مؤخرًا، سلسلة من الهجمات الموجهة الخفيّة التي تستخدم البرامج النظامية فقط: مثل برامج اختبار الاختراق المنتشرة على نطاق، بالإضافة إلى إطار (PowerShell) لأتمتة المهام في برنامج "ويندوز" من دون إيداع أي ملفات خبيثة في القرص الصلب، بل إنها تختبئ وتتمركز في الذاكرة. وهذا النهج الموحد يساعد المجرمين على تجنب اكتشافهم عن طريق تكنولوجيات (Whitelisting) وإرباك المحققين من خلال عدم ترك أثر لأي برمجيات أو ملحقات خبيثة للاستدلال بها. ويبقى المهاجمون قابعون هناك لمدة طويلة حتى يتمكنوا من جمع معلومات كافية قبل أن تتم إزالة آثارهم من النظام عند أول عملية إعادة تشغيل لجهاز الضحية.
وفي نهاية العام 2016، تواصلت بنوك من رابطة الدول المستقلة مع خبراء كاسبرسكي لاب لتبلغهم بأنها قد وجدت برنامج اختبار الاختراق المعروف باسم (Meterpreter) والذي غالبا ما يستخدم حاليًا لأغراض خبيثة، في ذاكرة خوادمها، مع أنه من غير المفترض أن يكون هناك. وتوصلت كاسبرسكي لاب إلى أن شيفرة (Meterpreter) كانت مدمجة مع عدد من نسخ (PowerShell) وغيرها من الملحقات. وتم تطوير الأدوات الموحدة لتتحول إلى شيفرة خبيثة قادرة على التخفي في كواليس الذاكرة ولتقوم خلسة بجمع كلمات المرور من إداريي النظام، بحيث يمكن للمهاجمين التحكم عن بعد بأنظمة الضحية. ويبدو أن الهدف النهائي من تلك الهجمات هو اختراق العمليات المالية.
وقالت كاسبرسكي لاب منذ ذلك الحين إن هذه الهجمات تحدث على نطاق واسع: حيث ضربت أكثر من 140 من شبكات الشركات ضمن نطاق من قطاعات الأعمال، وتركزت مواقع معظم الضحايا في الولايات المتحدة الأمريكية وفرنسا والإكوادور وكينيا الجغرافي للمؤسسات التي تمت مهاجمتها.
وصرح سيرجي غولوفانوف، الباحث الأمني الرئيسي في كاسبرسكي لاب بالقول، "إن إصرار المهاجمين على إخفاء نشاطهم، وجعل عملية التتبع والاستجابة للحالات الطارئة أكثر صعوبة، وهو ما يفسر أحدث اتجاهات البرمجيات الخبيثة المضادة لتقنيات التحليل الجنائي والمرتكزة في الذاكرة. وهذا ما يجعل الاعتماد على الأدلة الجنائية المجمّعة من الذاكرة غاية في الأهمية لتحليل البرمجية الخبيثة ومهامها التخريبية. وفي هذه الحالات المحددة، أظهر المهاجمون، من خلال استخدام كافة التقنيات المتاحة والمضادة للأدلة الجنائية، كيف أنه لاحاجة لاستخدام أي ملفات خبيثة لتسريب بيانات من أي شبكة بشكل ناجح، وكيف أن استخدام المصادر الخدمية النظامية والمتاحة للجميع يجعل تحديد الجهات التي تقف وراء تلك الهجمات أمرًا شبه مستحيل."
ولا يزال المهاجمون في أوج نشاطهم، ولذلك من المهم أن نعرف بأن الكشف عن هذا النوع من الهجمات لن يكون ممكنًا إلا في ذاكرة الوصول العشوائي والشبكة وسجل المعالج، وبأنه، في مثل هذه الحالات، لن يكون لاستخدام أنظمة (Yara) الصارمة القائمة على فحص الملفات الخبيثة أي فائدة تذكر.
خلال قمة "Security Analyst Summit" الذي ستعقد خلال الفترة من 2-6 أبريل 2017، سيقوم سيرغي غولوفانوف وإيجور سومينكوف باستعراض تفاصيل وافية حول الجزء الثاني من الهجوم الذي يبيّن كيفية قيام المهاجمين باستخدام تكتيكات غير مسبوقة لسحب الأموال من أجهزة الصراف الآلي.
اكتشفت منتجات كاسبرسكي لاب بنجاح هجمات لعصابات إلكترونية تستخدم نفس التكتيكات والتقنيات والخطوات. يتوفر المزيد من المعلومات حول هذه الحالة وأنظمة (Yara) الصارمة للتحليلات الاستباقية عبر المدونة المنشورة في موقع: Securelist.com كما تم تزويد العملاء الأعضاء في (Kaspersky Intelligence Services) بكافة التفاصيل التقنية، بما فيها نتائج مؤشرات الاختراق.