لاحظ باحثو كاسبرسكي في الربع الثاني المتزامن مع جائحة كورونا، تطورات متعددة في التكتيكات والأساليب والإجراءات التي تتبعها العصابات التي تقف وراء التهديدات المتقدمة المستمرة في جميع أنحاء العالم. ورصد التقرير التغييرات المهمة التالية في اتجاهات الهاكرز خلال أزمة كورونا: 1- مجموعة Lazarus، التي كانت إحدى جهات التهديد الرئيسة لعدة سنوات، بدأت بجانب هجمات التجسس الرقمي، تزيد استثمرها في الهجمات التي تحقق لها مكاسب مالية، كالبنوك والشركات المالية في جميع أنحاء العالم. في هذا الربع، رصد باحثو كاسبرسكي أيضًا شروع Lazarus في شنّ هجمات ببرمجيات الفدية. ما يُعتبر نشاطًا غير اعتيادي لمجموعة تمارس الهجمات المتقدمة المستمرة، وذلك باستخدام منظومة متعددة المنصات تُسمى MATA لتوزيع البرمجيات الخبيثة. في السابق، وكان اسم Lazarus ارتبط في السابق بهجوم WannaCry سيئ السمعة. 2- عصابة CactusPete الناطقة بالصينية، باتت تستخدم الآن منصة ShadowPad الهجومية المعقدة التي تشتمل على برمجيات تشغيلية مساعدة ووظائف متنوعة. ونشرت ShadowPad سابقًا في عدد من الهجمات الرقمية الكبرى، بالاستعانة بمجموعة من البرمجيات المساعدة. 3- جهة التهديدات المتقدمة المستمرة MuddyWater اكتشف في العام 2017 وظلّ منذ ذلك الحين نشطًا في الشرق الأوسط. وأبلغ باحثو كاسبرسكي في 2019 عن نشاط موجه ضدّ شركات اتصالات ومنظمات حكومية في الشرق الأوسط. واكتشفت كاسبرسكي حديثًا أن MuddyWater تستخدم سلسلة جديدة من أدوات C++ في موجة جديدة من الهجمات التي استفادت فيها من أداة مفتوحة المصدر تسمى Secure Socket Funneling للتمكّن من التحرك الجانبي. 4- جهة التهديدات المتقدمة المستمرة HoneyMyte شنّت في مارس الماضي هجوم ما يُعرف ب Watering Hole أو "الموقع المفخخ" على موقع إلكتروني تابع لحكومة بلد في جنوب شرق آسيا. ويبدو أن هذا الهجوم استغل القوائم البيضاء ومبادئ الهندسة الاجتماعية لإصابة أهدافه. وتمثلت الحمولة النهائية التي نقلها الهجوم في أرشيف ZIP بسيط يحتوي على ملف readme يحرّض الضحية على زرع برمجية خبيثة تُدعى Cobalt Strike، في حين تمثلت الآلية المستخدمة في ذلك في التحميل الجانبي لملف DLL ليعمل على فكّ تشفير البرمجية السطحية الخاصة ببرمجية Cobalt Strike وتنفيذها. 5- جهة التهديد OceanLotus القائمة وراء حملة PhantomLance المتقدمة التي استهدفت الهواتف المحمولة، ظلّت تستخدم نسخًا جديدة من أداة التنزيل متعدد المراحل للبرمجيات الخبيثة منذ النصف الثاني من 2019. وتستخدم هذه النسخ معلومات خاصة بالهدف (اسم المستخدم واسم المضيف، إلخ) تحصل عليها مسبقًا لضمان زرع البرمجية الخبيثة عند الضحية المناسبة. وتواصل العصابة زرع برمجياتها الخبيثة وتوظيف منافذها الخلفية، بالإضافة إلى Cobalt Strike Beacon، مزوّدة إياها ببنية تحتية محدثة. واعتبر فيشنتي دييز الباحث الأمني المسؤول في فريق البحث والتحليل العالمي لدى كاسبرسكي، أن مشهد التهديدات الرقمية "ليس دائمًا مليئًا بالأحداث الكبيرة"، لكنه شدّد على أن نشاط الجريمة الرقمية "لم يهدأ خلال الأشهر القليلة الماضية". وأكّد أن جهات التهديدات المتقدمة المستمرة تواصل الاستثمار في تحسين مجموعات أدواتها وتنويع ناقلات الهجوم، بل والتحول إلى أنواع جديدة من الأهداف، لافتًا إلى أن اللجوء إلى زرع البرمجيات الخبيثة في الهواتف المتنقلة "لم يعد أمرًا جديدًا".
