تقف وراءه عصابة «GhostEmperor» الناطقة بالصينية
كشف تقرير حديث عن تفاصيل عملية فريدة طويلة الأمد تقف وراءها عصابة GhostEmperor، أو «إمبراطور الشبح»، التي استغلّت ثغرات في نظام خادم البريد الإلكتروني من شركة مايكروسوفت في استهداف جهات بارزة بمجموعة أدوات متقدمة لا تتشابه مع الأدوات المستخدمة من قبل أية جهة من جهات التهديد المعروفة.
برمجية غير معروفة
ووفقًا للتقرير المعنون بـ «التهديدات المتقدمة المستمرة 2021»، و الذي أعدته «كاسبرسكي»، فإن عصابة «إمبراطور الشبح» جهة تهديد ناطقة باللغة الصينية اكتشفها باحثو كاسبرسكي، وينصبّ تركيزها في الغالب على أهداف في جنوب شرق آسيا، بينها العديد من الجهات الحكومية وشركات الاتصالات.
وتستخدم هذه العصابة برمجية من نوع «روتكيت» Rootkit تستهدف وضعية النواة kernel-mode في نظام التشغيل ويندوز، وهذه البرمجية لم تكن معروفة في السابق.
قدرة على التخفي
وتتيح برمجيات «روتكيت»، التي يعني اسمها حرفيًا «أطقم التجذير»، القدرة على التحكم عن بُعد بالخوادم التي تستهدفها، وهي قادرة بطبيعتها على التخفي عن أعين المحققين وحلول الأمن الرقمي.
واستخدمت GhostEmperor مخطط تحميل يتضمن مكونًا سليمًا مفتوح المصدر يسمى Cheat Engine للتمكّن من تجاوز آلية Windows Driver Signature Enforcement الخاصة بالتحقق من سلامة البرمجيات في ويندوز.
ووجد باحثو كاسبرسكي أن مجموعة الأدوات المتقدمة هذه فريدة من نوعها، في حين لم يروا أي تقارب أو تشابه بينها وبين أية أدوات مستخدمة من الجهات التخريبية المعروفة في مجال التهديدات الرقمية.
وتوقع الخبراء أن تكون مجموعة الأدوات هذه مستخدمة منذ يوليو 2020 على أقل تقدير.
قدرات تخريبية وقال خبير الأمن لدى كاسبرسكي «ديفيد إم»، إنه كلما تطورت تقنيات الكشف عن التهديدات الرقمية والحماية منها، تطورت الجهات التخريبية ورفعت قدراتها، مشيرًا إلى أنها تحرص في العادة من أجل تحقيق هذا الأمر على تحديث مجموعة أدواتها.
وأضاف: تُعدّ عصابة «إمبراطور الشبح» مثالًا واضحًا على مساعي مجرمي الإنترنت للحصول على تقنيات جديدة يلجأون إليها وثغرات جديدة يستغلونها.. واستطاعت هذه العصابة باستخدام برمجية «روتكيت» كانت مجهولة في السابق، أن تضيف مزيدًا من المشاكل إلى مشهد التهديدات القوي والزاخر أصلًا بالهجمات ضد خوادم «مايكروسوفت إكستشينج».
استغلال الثغراتوسلّط خبراء كاسبرسكي الضوء أيضًا على توجّهات أخرى برزت في مشهد التهديدات المتقدمة المستمرة في الربع الثاني من العام الجاري، وشملت حدوث ارتفاع في استغلال الجهات التخريبية للثغرات في سبيل الحصول على موطئ قدم في الشبكات المستهدفة، ومن ذلك هجمات «أيام الصفر» التي طورتها Moses وهجمات عملية PuzzleMaker وهجمات Pulse Secure واستغلال الثغرات في خوادم Microsoft Exchange، ومواصلة الجهات التخريبية، التي تقف وراء التهديدات المتقدمة المستمرة، الاستثمار في تحديث مجموعات أدواتها، ولا يشمل ذلك الاكتفاء بتضمين منصات جديدة وإنما يشمل أيضًا استخدام لغات إضافية، كما يتضح من البرمجية الخبيثة Python من WildPressure والقادرة على إصابة النظام macOS.
تهديد بالغبينما اتسمت بعض الهجمات التي استهدفت سلاسل التوريد بكونها كبيرة، وبأنها استقطبت اهتمامًا عالميًا، لاحظ خبراء كاسبرسكي أيضًا وجود هجمات حققت القدر نفسه من النجاح بالرغم من كونها منخفضة التقنية، مثل BountyGlad وCoughingDown والهجوم الذي يستهدف Codecov، وهي هجمات تشير إلى أن الحملات منخفضة المستوى ما زالت تمثل تهديدًا أمنيًا بالغًا.
ويُلخص التقرير نتائج التقارير الخاصة بمعلومات التهديدات والمتاحة حصريًا للمشتركين في خدمة كاسبرسكي، والتي تتضمن أيضًا بيانات مؤشرات الاختراق وقواعد YARA، للمساعدة في عمليات التحقيق والبحث الجنائي الرقمي ومطاردة البرمجيات الخبيثة.
توصيات حمايةوأوصت كاسبرسكي باتباع عدد من التدابير التالية للحماية من تهديدات الجهات التخريبية المعروفة والمجهولة، أهم هذه التوصيات تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث المعلومات الخاصة بالتهديدات، وصقل مهارات فريق الأمن الرقمي لتمكينه من التعامل مع أحدث التهديدات الموجهة، ويمكن ذلك من خلال برنامج التدريب المتخصص عبر الإنترنت الذي وضعه فريق البحث والتحليل العالمي لدى كاسبرسكي.
كما أوصت بتنفيذ حلول EDR، لاكتشاف التهديدات عند مستوى النقاط الطرفية والتحقيق في الحوادث ومعالجتها في الوقت المناسب، وتنفيذ حل أمني مؤسسي شامل يكون قادرًا على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة، مشددة على ضرورة تزويد الموظفين بالتدريب على الوعي الأمني الرقمي وإكسابهم المهارات العملية اللازمة؛ نظرًا لأن العديد من الهجمات الموجهة تبدأ بالتصيد وتعتمد على مبادئ وأساليب الهندسة الاجتماعية.
برمجية غير معروفة
ووفقًا للتقرير المعنون بـ «التهديدات المتقدمة المستمرة 2021»، و الذي أعدته «كاسبرسكي»، فإن عصابة «إمبراطور الشبح» جهة تهديد ناطقة باللغة الصينية اكتشفها باحثو كاسبرسكي، وينصبّ تركيزها في الغالب على أهداف في جنوب شرق آسيا، بينها العديد من الجهات الحكومية وشركات الاتصالات.
وتستخدم هذه العصابة برمجية من نوع «روتكيت» Rootkit تستهدف وضعية النواة kernel-mode في نظام التشغيل ويندوز، وهذه البرمجية لم تكن معروفة في السابق.
قدرة على التخفي
وتتيح برمجيات «روتكيت»، التي يعني اسمها حرفيًا «أطقم التجذير»، القدرة على التحكم عن بُعد بالخوادم التي تستهدفها، وهي قادرة بطبيعتها على التخفي عن أعين المحققين وحلول الأمن الرقمي.
واستخدمت GhostEmperor مخطط تحميل يتضمن مكونًا سليمًا مفتوح المصدر يسمى Cheat Engine للتمكّن من تجاوز آلية Windows Driver Signature Enforcement الخاصة بالتحقق من سلامة البرمجيات في ويندوز.
ووجد باحثو كاسبرسكي أن مجموعة الأدوات المتقدمة هذه فريدة من نوعها، في حين لم يروا أي تقارب أو تشابه بينها وبين أية أدوات مستخدمة من الجهات التخريبية المعروفة في مجال التهديدات الرقمية.
وتوقع الخبراء أن تكون مجموعة الأدوات هذه مستخدمة منذ يوليو 2020 على أقل تقدير.
قدرات تخريبية وقال خبير الأمن لدى كاسبرسكي «ديفيد إم»، إنه كلما تطورت تقنيات الكشف عن التهديدات الرقمية والحماية منها، تطورت الجهات التخريبية ورفعت قدراتها، مشيرًا إلى أنها تحرص في العادة من أجل تحقيق هذا الأمر على تحديث مجموعة أدواتها.
وأضاف: تُعدّ عصابة «إمبراطور الشبح» مثالًا واضحًا على مساعي مجرمي الإنترنت للحصول على تقنيات جديدة يلجأون إليها وثغرات جديدة يستغلونها.. واستطاعت هذه العصابة باستخدام برمجية «روتكيت» كانت مجهولة في السابق، أن تضيف مزيدًا من المشاكل إلى مشهد التهديدات القوي والزاخر أصلًا بالهجمات ضد خوادم «مايكروسوفت إكستشينج».
استغلال الثغراتوسلّط خبراء كاسبرسكي الضوء أيضًا على توجّهات أخرى برزت في مشهد التهديدات المتقدمة المستمرة في الربع الثاني من العام الجاري، وشملت حدوث ارتفاع في استغلال الجهات التخريبية للثغرات في سبيل الحصول على موطئ قدم في الشبكات المستهدفة، ومن ذلك هجمات «أيام الصفر» التي طورتها Moses وهجمات عملية PuzzleMaker وهجمات Pulse Secure واستغلال الثغرات في خوادم Microsoft Exchange، ومواصلة الجهات التخريبية، التي تقف وراء التهديدات المتقدمة المستمرة، الاستثمار في تحديث مجموعات أدواتها، ولا يشمل ذلك الاكتفاء بتضمين منصات جديدة وإنما يشمل أيضًا استخدام لغات إضافية، كما يتضح من البرمجية الخبيثة Python من WildPressure والقادرة على إصابة النظام macOS.
تهديد بالغبينما اتسمت بعض الهجمات التي استهدفت سلاسل التوريد بكونها كبيرة، وبأنها استقطبت اهتمامًا عالميًا، لاحظ خبراء كاسبرسكي أيضًا وجود هجمات حققت القدر نفسه من النجاح بالرغم من كونها منخفضة التقنية، مثل BountyGlad وCoughingDown والهجوم الذي يستهدف Codecov، وهي هجمات تشير إلى أن الحملات منخفضة المستوى ما زالت تمثل تهديدًا أمنيًا بالغًا.
ويُلخص التقرير نتائج التقارير الخاصة بمعلومات التهديدات والمتاحة حصريًا للمشتركين في خدمة كاسبرسكي، والتي تتضمن أيضًا بيانات مؤشرات الاختراق وقواعد YARA، للمساعدة في عمليات التحقيق والبحث الجنائي الرقمي ومطاردة البرمجيات الخبيثة.
توصيات حمايةوأوصت كاسبرسكي باتباع عدد من التدابير التالية للحماية من تهديدات الجهات التخريبية المعروفة والمجهولة، أهم هذه التوصيات تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث المعلومات الخاصة بالتهديدات، وصقل مهارات فريق الأمن الرقمي لتمكينه من التعامل مع أحدث التهديدات الموجهة، ويمكن ذلك من خلال برنامج التدريب المتخصص عبر الإنترنت الذي وضعه فريق البحث والتحليل العالمي لدى كاسبرسكي.
كما أوصت بتنفيذ حلول EDR، لاكتشاف التهديدات عند مستوى النقاط الطرفية والتحقيق في الحوادث ومعالجتها في الوقت المناسب، وتنفيذ حل أمني مؤسسي شامل يكون قادرًا على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة، مشددة على ضرورة تزويد الموظفين بالتدريب على الوعي الأمني الرقمي وإكسابهم المهارات العملية اللازمة؛ نظرًا لأن العديد من الهجمات الموجهة تبدأ بالتصيد وتعتمد على مبادئ وأساليب الهندسة الاجتماعية.