"DeathStalker" تضرب العالم ببرمجية "PowerPepper" جديدة

تُعدّ العصابة الرقمية المرتزقة DeathStalker إحدى الجهات سيئة السمعة المختصة بالتهديدات المتقدمة المستمرة، والتي يُعتقد أنها تقدّم خدماتها في القرصنة الرقمية لسرقة المعلومات التجارية الحساسة من الشركات لا سيما في القطاعين المالي والقانوني. وكان باحثو كاسبرسكي أول من أبلغ في أغسطس الماضي عن عودة هذه العصابة إلى النشاط، ولكن هذه المرة باستخدام تكتيكات جديدة لزرع البرمجيات الخبيثة وتوصيلها إلى الضحايا عبر منفذ خلفي أطلقت عليه كاسبرسكي الاسم PowerPepper، يستغلّ نظام أسماء النطاق (DNS) العامل على بروتوكول HTTPS كقناة اتصال لإخفاء الاتصالات التي تجري مع خادم القيادة الذي يحمل مظهرًا رسميًا سليمًا. كذلك تستخدم البرمجية الخبيثة PowerPepper العديد من أساليب التسلل، مثل إخفاء المعلومات ضمن الملفات، أو ما يُعرف ب steganography.

وبدأت عصابة DeathStalker ناطها منذ العام 2012 على الأقلّ، وهي تنفذ حملات تجسس ضد المنشآت الصغيرة والمتوسطة، لا سيما شركات المحاماة والمؤسسات المالية. وبخلاف مجموعات التهديدات المتقدمة المستمرة الأخرى، لا يبدو أن لديها دوافع سياسية أو مساعي لتحقيق مكاسب مالية من الجهات التي تستهدفها، بل إنها تعمل جهة مرتزقة تقدّم خدمات القرصنة مقابل ثمن تقبضه من الجهات التي توظفها.

وكشف باحثو كاسبرسكي حديثًا عن حملات تخريبية جديدة شنتها العصابة التي وظفت هذه المرة منفذًا خلفيًا يُعرف باسم PowerPepper. والمنافذ الخلفية برمجيات خبيثة تسمح للمهاجمين بالتحكّم في جهاز الضحية عن بُعد.

ويجري نشر PowerPepper عادةً في عمليات تصيد موجّه تُستخدم فيها رسائل البريد الإلكتروني تحتوي على ملفات خبيثة في متن الرسالة أو عبر رابط خبيث، وذلك مثلما هو الحال في سلالات البرمجيات الخبيثة الأخرى المرتبطة بالعصابة. واستغلت العصابة الأحداث والفعاليات العالمية المهمة، واللوائح التنظيمية المحددة لانبعاثات الكربون، وحتى الجائحة العالمية الراهنة لخداع ضحاياها ودفعهم لفتح الملفات الخبيثة.

ويجري إخفاء الحمولة الخبيثة الرئيسة باستخدام الأسلوب المعروف بالاسم steganography أو "إخفاء المعلومات"، والمتمثل بعملية تسمح للمهاجمين بإخفاء البيانات التخريبية وسط محتوى سليم. وجرى تضمين الشيفرة الخبيثة في حالة PowerPepper في صور عادية لنباتات السرخس أو الفلفل (ومن هنا جاء الاسم الذي يعني الفلفل اللاذع)، قبل أن تُستخرج بأداة تحميل خاصة، لتبدأ PowerPepper عندها في تنفيذ الأوامر التي ترسلها العصابة عن بُعد والتي تهدف إلى سرقة المعلومات التجارية الحساسة.

ويمكن للبرمجية الخبيثة تنفيذ أي أمر على النظام المستهدف، حتى أوامر جمع معلومات المستخدم ومعلومات الملفات الموجودة على الحاسوب، فضلًا عن تصفح الملفات المشتركة عبر الشبكة، وتنزيل ثنائيات إضافية، ونسخ المحتوى إلى مواقع بعيدة. ويجري الحصول على الأوامر من خادم القيادة عبر نظام DNS من خلال اتصالات HTTPS، وهي طريقة فعالة لإخفاء الاتصالات الخبيثة وراء الاستعلامات التي تقدم بأسماء خوادم رسمية.

وليست طريقة إخفاء المعلومات سوى واحدة من العديد من أساليب التعتيم والتهرّب التي تلجأ إليها البرمجيات الخبيثة. ويجري إخفاء أداة التحميل باعتبارها إحدى أدوات التحقق الخاصة ب GlobalSign لتقديم خدمات الهوية، كما تستخدم تشويشًا معدلًا، في حين تُخفي أجزاء من نصوص البرمجيات الخبيثة للتسليم في العناصر البرمجية المضمنة في تطبيق Word. كذلك يجري تشفير الاتصالات بين الغرسة المزروعة والخوادم، بحيث يعجز حلّ مكافحة الفيروسات عن تمييز الغرسة عند بدء تشغيل النظام بفضل استخدام البرمجية النصية الموثوق بها والموقعة.

ملخص لأساليب التشفير التي توظفها البرمجية الخبيثة PowerPepper

هذا وقد شوهدت PowerPepper في هجمات تمّت عبر أوروبا وفي الأمريكيتين وآسيا، استهدفت بها العصابة في الأساس شركات الاستشارات القانونية والمحاماة ومؤسسات الخدمات المالية وخدمات العملات الرقمية.

وقال بيير ديلشر الخبير الأمني لدى كاسبرسكي، إن PowerPepper تثبت مرة أخرى أن العصابة DeathStalker جهة تهديدات تخريبية إبداعية، مشيرًا إلى قدرتها على تطوير عمليات زرع وسلاسل أدوات جديدة باستمرار وفي فترة زمنية قصيرة، وأضاف: "PowerPepper هي الرابعة في سلاسل البرمجيات الخبيثة التي تطورها العصابة، وقد اكتشفنا سلالة خامسة محتملة، وبالرغم من أنها ليست شديدة التعقيد، فقد أثبتت فاعليتها، ربما لأن أهدافها الأساسية تتمثل في المنشآت الصغيرة والمتوسطة، والجهات التي تميل إلى امتلاك تطبيقات أمنية أقلّ قوة، ونتوقع أن تظل هذه العصابة نشطة ولكننا سنواصل مراقبة حملاتها".