كاسبرسكي لاب تساعد في تعطيل نشاط عصابة "لازاروس" الإلكترونية في السعودية

كشفت كاسبرسكي لاب عن مشاركتها في عملية Blockbuster Operation بالتعاون مع Novetta وشركاء آخرين في القطاع. والتي تهدف إلى تعطيل نشاط عصابة "لازاروس" – وهي مجموعة من البرمجيات الخبيثة المسؤولة عن شن هجمات لتدمير البيانات والقيام بعمليات التجسس الإلكتروني التقليدية التي تستهدف شركات متعددة حول العالم ومن ضمنها السعودية.
ويعتقد أن المهاجمين هم من كانوا يقفون وراء الهجوم على شركة "سوني بيكتشرز انترتينمنت" في العام 2014، وعملية DarkSeoul التي استهدفت شركات وسائل الإعلام والمؤسسات المالية في العام 2013.
وبعد الهجوم المدمر الذي استهدف شركة الانتاج السينمائي المعروفة "سوني بيكتشرز انترتينمنت" في العام 2014، بدأ فريق البحث والتحليل العالمي بكاسبرسكي لاب التحقيق في عينات من البرمجية الخبيثة "ديستوفر" التي اشتهرت بهذا الاسم المستخدم في الهجوم. وقاد ذلك إلى مزيد من الأبحاث الموسعة في مجموعة من الحملات الخبيثة ذات الصلة بالتجسس والتخريب الإلكتروني التي استهدفت المؤسسات المالية ومحطات البث الإعلامي وشركات التصنيع وغيرها.
وبمقارنة الخصائص المشتركة بين عائلات البرمجيات الخبيثة المختلفة، تمكن خبراء كاسبرسكي لاب من أن يجمعوا معاً نتائج تحليل لعشرات من الهجمات المعزولة وخلصوا في النهاية إلى أن جميع تلك الهجمات تعود إلى عامل تهديد واحد فقط، وذلك بحسب ما أكده المشاركون الآخرون في عملية Blockbuster Operation من خلال تحليلاتهم الخاصة.
وتبين أن عصابة "لازاروس" الإلكترونية كانت تنشط منذ سنوات عديدة قبل وقوع حادثة الهجوم على "سوني بيكتشرز انترتينمنت"، ويبدو بأنها لاتزال نشطة حتى الآن. وقد أكدت أبحاث كاسبرسكي لاب وغيرها من تحليلات المشاركين في عملية Blockbuster Operation أن هناك علاقة بين البرمجية الخبيثة المستخدمة في حملات مختلفة، مثل حملة DarkSeoul Operation الموجهة ضد البنوك وشركات البث الإعلامي، وكذلك حملة Troy Operation الموجهة ضد القوات المسلحة في كوريا الجنوبية وحادثة "سوني بيكتشرز".
وأثناء التحقيق، تبادل باحثوا كاسبرسكي لاب النتائج الأولية مع نظرائهم من شركة AlienVault. وفي نهاية المطاف، قرر الباحثون من كلا الشركتين توحيد جهودهم لإجراء تحقيق مشترك. وفي الوقت ذاته، كان التحقيق في نشاط عصابة "لازاروس" الإلكترونية يجري على قدم وساق من قبل شركات أخرى عديدة بمشاركة مختصين في الشؤون الأمنية. وأطلقت إحدى هذه الشركات وهي Novetta مبادرة تهدف إلى نشر معلومات استخباراتية شاملة وقابلة للتنفيد حول نشاط عصابة "لازاروس" الإلكترونية. وفي إطار عملية Blockbuster Operation، تمكنت كاسبرسكي لاب اليوم بالتعاون مع Novetta وLabs AlienVault وغيرها من الشركاء في القطاع من نشر نتائجها خدمة لمصلحة شريحة أوسع من الجمهور.
ومن خلال تحليل عينات متعددة من البرامج الخبيثة التي تم رصدها في حالات اختراق أمني إلكتروني مختلفة وإنشاء قواعد تتبع خاصة، تمكنت كاسبرسكي لاب وLabs AlienVault وشركات أخرى متخصصة مشاركة في عملية Blockbuster Operation من التعرف على عدد من الهجمات التي شنتها عصابة "لازاروس" الإلكترونية.
وقد تم التوصل إلى العلاقة بين العينات المتعددة من الهجمات الناشئة عن عصابة واحدة أثناء تحليل الأساليب المستخدمة من قبل العصابة الإلكترونية. وعلى وجه الخصوص، لوحظ بأن المهاجمين يقومون بإعادة استخدام رموز التشفير بشكل فاعل، وذلك من خلال استعارة أجزاء من رمز تشفير ينتمي إلى أحد البرامج الخبيثة لاستخدامه في رمز تشفير آخر.
وإلى جانب ذلك، تمكن الباحثون من اكتشاف أوجه الشبه في طريقة عمل المهاجمين. فأثناء تتبع وتحليل آثار الهجمات الإلكترونية المختلفة، اكتشف الباحثون بأن جميع ال (Droppers) - وهي ملفات خاصة تستخدم لتثبيت أشكال مختلفة من حمولات بيانات ال (payload) الخبيثة – تحتفظ بحمولاتها من ال (payloads) في أرشيف مضغوط (ZIP) محمي بكلمة مرور. وكانت كلمة مرور الأرشيف المستخدمة في حملات مختلفة هي ذاتها وتم تشفيرها من داخل ال (dropper). وتم تطبيق الحماية الأمنية لكلمة المرور من أجل منع النظم الآلية من استخراج وتحليل حمولات بيانات ال (payload)، إلا أنها في الحقيقة قدمت عوناً كبيراً للباحثين قادهم في النهاية إلى التعرف على العصابة الإلكترونية.
وهناك طريقة خاصة يستخدمها المجرمون لازالة أي أثر يدل على وجودهم في الأنظمة المصابة، إلى جانب بعض التقنيات الأخرى التي استخدموها لتجنب اكتشافهم عن طريق منتجات مكافحة الفيروسات، والتي أتاحت للباحثين وسائل إضافية ساعدتهم على اكتشاف الهجمات ذات الصلة. وفي نهاية المطاف، لوحظ أن العشرات من الهجمات الموجهة، التي اعتبر من يقفون وراءها على أنهم مجهولي الهوية، كانت ترتبط بعصابة إلكترونية واحدة.
التوزع الجغرافي للعملية
دلّت تواريخ التحليل التراكمي للعينات بأنه من المحتمل أن يكون قد تم إجراء التحليل التراكمي الأول للعينات الخبيثة في عام 2009، أي قبل خمس سنوات من الهجوم المدمر على "سوني". وقد لوحظ تزايد عدد العينات الجديدة بشكل ديناميكي منذ العام 2010. وهذا ما يجعل عصابة "لازاروس" الإلكترونية عامل تهديد مستقر وطويل الأمد. واستنادا إلى بيانات التعريف المستخلصة من العينات التي خضعت للتحقيق، لوحظ بأنه كان يتم جمع معظم البرامج الخبيثة المستخدمة من قبل عصابة "لازاروس" الإلكترونية على ما يبدو خلال ساعات العمل الرسمي حسب التوقيت الزمني للمناطق، أي بتوقيت غرينتش (+8) و (+9) بتوقيت غرينتش.
وقال جوان غيريرو، باحث أمني أول في كاسبرسكي لاب، "كما توقعنا تماماً، يشهد عدد الهجمات التي تستهدف مسح البيانات نمواً مطرداً. ويشكل هذا الصنف من البرمجيات الخبيثة نوعاً من الأسلحة الإلكترونية المدمرة. إن القدرة على مسح الآلاف من أجهزة الكمبيوتر بضغطة زر واحدة تمثل مكافأة كبيرة لأي فريق متخصص في اختراق شبكات الكمبيوتر مكلف بتضليل وتعطيل الشركة المستهدفة. إن قيمة هذا النوع من الهجمات التي تندرج كجزء من مفهوم الحرب الهجينة، حيث تقترن هجمات مسح البيانات مع الهجمات الديناميكية لتعطيل البنى التحتية للدول، لاتزال تجربة افتراضية مثيرة للاهتمام ولكنها أقرب ما تكون إلى الواقع، وهو أمر لا يبعث على الارتياح. ونحن فخورون بتعاوننا مع شركائنا في القطاع لوضع عراقيل في وجه هذه العصابة الإلكترونية الشرسة والمستعدة لتسخير هذه التقنيات المدمرة في سبيل تحقيق أغراضها الخبيثة."
وأشار جيمي بلاسكو، كبير العلماء في شركة AlienVault بالقول، "تمتلك هذه العصابة جميع المهارات اللازمة والإصرار على تنفيذ حملات التجسس الإلكتروني بهدف سرقة البيانات أو التسبب بإلحاق الضرر. وبجمع تلك المهارات مع استخدام تقنيات التضليل والخداع، تمكن المهاجمون من شن عدة حملات خبيثة بنجاح على مدى السنوات القليلة الماضية." وأضاف، "تبين عملية kbusterBloc Operation كيف أن لتبادل المعلومات على مستوى القطاع والتعاون فيما بين الشركاء دور فاعل في تحقيق تقدم ملفت من حيث منع قراصنة الإنترنت من مواصلة شن هجماتهم الإلكترونية الخبيثة".