عملية TunnelSnake: «روتكيت» مجهول يتحكّم سرًا بشبكات تابعة لمؤسسات في آسيا وإفريقيا

كشف باحثو كاسبرسكي النقاب عن عملية تُدعى TunnelSnake، وتتمثل بحملة تهديد متقدم مستمر، تنشط منذ العام 2019، واستهدفت كيانات دبلوماسية في آسيا وإفريقيا. واستخدم المهاجمون في العملية برمجية "روتكيت" لم تكن معروفة سابقًا يطلق عليها اسم Moriya، وتتمتع بسلطة تحكّم شبه مطلقة بنظام التشغيل. ومكّنت هذه البرمجية الجهات التخريبية الواقفة وراءها من اعتراض حركة البيانات في الشبكة وإخفاء الأوامر التخريبية الصادرة إلى المضيفين المصابين. وقد أدّى ذلك إلى سيطرة المهاجمين سرًا على شبكات الكيانات المستهدفة لعدة أشهر.
وتُعدّ برمجيات "روتكيت" Rootkit، مجموعات من البرمجيات أو الأدوات البرمجية الخبيثة التي تمنح المهاجمين وصولًا سريًا غير محدود إلى جذور نظام حاسوبي ما. وتشتهر برمجيات "روتكيت" بقدرتها على التخفي والتهرب بفضل اندماجها في نسيج نظام التشغيل.
وأصبح التوظيف والتنفيذ الناجحين لمكونات "روتكيت" مهمة صعبة في الآونة الماضية، بفضل الإجراءات التي اتخذتها مايكروسوفت على مر السنين لحماية الأنظمة لا سيما في حيّز نواة النظام (Kernel)، ما جعل الجهات التخريبية تستفيد من معظم برمجيات روتكيت الموجهة إلى النظام ويندوز في هجمات عالية المستوى مثل TunnelSnake.
وشرعت كاسبرسكي في التحقيق في الحملة المذكورة عندما تلقت مجموعة من التنبيهات من حلولها الأمنية تفيد بوجود أداة روتكيت فريدة داخل شبكات مستهدفة. واتّصفت هذه الأداة البرمجية، التي سُمّيت Moriya، بالمراوغة بفضل تمتعها بسمتين اثنتين؛ فهي تعترض وتفحص باقات البيانات الشبكية أثناء نقلها من مساحة عنوان نواة النظام، وهي منطقة ذاكرة توجد فيها نواة نظام التشغيل، وحيث تُشغّل التعليمات البرمجية المميزة والموثوق بها فقط. وقد سمح ذلك للبرمجية الخبيثة بإنزال الباقات الخبيثة الفريدة التي تُحمّل فيها قبل معالجتها بواسطة مكدّس شبكة نظام التشغيل. وتمكن المهاجمون جرّاء ذلك من تجنب الكشف عن الهجوم عن طريق الحلول الأمنية.
ثانيًا، لم تتواصل برمجية روتكيت مع أي خادم لطلب الأوامر، مثلما هو الحال عادة في معظم المنافذ الخلفية الشائعة، ولكنها استقبلت تلك الموجودة في باقات تحمل علامات مميزة، ممزوجة في الجزء الأكبر من حركة بيانات الشبكة التي دققت فيها البرمجية الخبيثة. وقد سمح ذلك لبرمجية روتكيت بتجنب الحاجة إلى بنية تحتية للقيادة والتحكم، ما أعاق التحليل وصعّب تتبع النشاط.
وجرى توظيف البرمجية Moriya في الغالب من خلال خوادم ويب ضعيفة أو مخترقة داخل الكيانات المستهدفة. وفي إحدى الحالات، أصاب المهاجمون خادمًا ببرمجية "ويب شيل" الخبيثة China Chopper التي تسمح بالتحكّم عن بُعد في الخادم المصاب. وتمّت عملية توظيف روتكيت Moriya باستخدام إمكانية الوصول المكتسبة عبر برمجية "ويب شيل" تلك.
وإضافة إلى ذلك، استُخدمت بجانب برمجية روتكيت هذه مجموعة من الأدوات المصممة خصيصًا أو التي سبق استخدامها من قبل العديد من الجهات التخريبية الناطقة بالصينية، ما سمح للمهاجمين بفحص الأجهزة المضيفة في الشبكة المحلية والعثور على أهداف جديدة، ومكّنهم من أداء حركة جانبية لتنتشر إليهم وتسرب الملفات.
وقال غيامباولو ديدولا الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن الخبراء استطاعوا، ربط عملية TunnelSnake بالمجموعات التخريبية المعروفة الناطقة بالصينية، بعد تحديد الأهداف والأدوات المستخدمة في العملية، بالرغم من أنهم لم يتمكنوا من أن ينسبوها إلى جهة بعينها. وأضاف: "وجدنا أيضًا إصدارًا قديمًا من Moriya كان استُخدم في هجوم مستقل شُنّ في العام 2018، ما يشير إلى نشاط الجهة التخريبية يعود إلى العام 2018 على الأقلّ. ويشير الملف التعريفي للأهداف ومجموعة الأدوات المستخدمة إلى أن هدف تلك الجهة في هذه الحملة يكمن في التجسّس، وذلك بالرغم من أننا يمكن أن نشهد جزئيًا على ذلك في ظلّ عدم رصدنا لأية بيانات سُحبت فعليًا".
من جانبه، أشار مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، إلى أن مواصلة الاستعدادات وتحسين الدفاعات في وجه الهجمات الموجهة، تدفع الجهات التخريبية إلى تغيير استراتيجيتها، قائلًا إن الخبراء يشهدون المزيد من العمليات السرية مثل TunnelSnake، حيث تتخذ الجهات التخريبية خطوات إضافية للبقاء بعيدًا عن أعين الرقابة لأطول مدة ممكنة، والاستثمار في مجموعاتها من الأدوات، ما يجعلها أكثر تعقيدًا ويصعّب اكتشافها. وأضاف: "يمكن بالتأكيد اكتشاف الأدوات السرية وإيقافها، مثلما اتضح من اكتشافنا، وهذا سباق مستمر بين منتجي الحلول الأمنية والجهات التخريبية الناشطة في مجال التهديدات الرقمية، وعلينا نحن مجتمعَ الأمن الرقمي مواصلة التعاون من أجل الفوز فيه".
يمكن الاطلاع على التقرير الكامل حول حملة TunnelSnake على Securelist. كما يمكن الوصول إلى معلومات تفصيلية حول مؤشرات الاختراق المتعلقة بهذه العملية، بما فيها تجزئة الملفات، عبر بوابة Kaspersky Threat Intelligence Portal.
ويوصي خبراء كاسبرسكي الشركات باتباع ما يلي للحماية من حملات التهديدات المتقدمة المستمرة:
• إجراء عمليات تدقيق أمنية منتظمة للبنية التحتية التقنية في الشركة للكشف عن الثغرات والأنظمة المعرضة للخطر.
• التأكد من أنك تستخدم حلًا أمنيًا مثبتًا عند النقاط الطرفية، مثل Kaspersky Endpoint Security for Business، واحرص على تحديثه دائمًا حتى يتمكن من اكتشاف أحدث أنواع البرمجيات الخبيثة، مثل "روتكيت".
• تثبيت حلول مكافحة التهديدات المتقدمة المستمرة والكشف عن التهديدات عند النقاط الطرفية والاستجابة لها، ما سيمكن المعنيين من اكتشاف التهديدات والتحقيق فيها ومعالجتها في الوقت المناسب. وينبغي الحرص على تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات وتزويده بالتدريب المهني بانتظام. كل ما سبق متاح في Kaspersky Expert Security Framework.