توظف أداتين لاختراق الشبكات المستهدفة بعمق مع الحفاظ على ميزة التخفي
كشف باحثون عن وجود حملة تخريبية مستمرة تنفذها عصابة التهديدات المتقدمة المستمرة «تودي كات»، والتي تركّز في عملها على اختراق خوادم «مايكروسوفت إكستشنج» المتعددة باستخدام برمجيتين خبيثتين؛ «ساموراي باك دور» و«نينجا تروجان»، التي تستهدف في الأساس القطاعات الحكومية والعسكرية في أوروبا وآسيا.
تصعيد سريع
وتُعدّ «تودي كات» من العصابات الجديدة والمتطورة نسبيًّا في مجال التهديدات المتقدمة المستمرة على الإنترنت، واكتشف باحثو كاسبرسكي نشاطها لأول مرة في ديسمبر 2020 عندما نفذت عددًا من الهجمات على خوادم «مايكروسوفت إكستشنج» لدى الجهات التي تستهدفها.
وفي فبراير ومارس 2021، لاحظت كاسبرسكي تصعيدًا سريعًا في نشاط العصابة، حين بدأت في استغلال ثغرة «بروكسي لوجن» على خوادم «مايكروسوفت إكستشنج» لاختراق العديد من المؤسسات في أوروبا وآسيا.
لكن اعتبارًا من سبتمبر 2021، نقلت العصابة اهتمامها إلى أجهزة سطح المكتب لدى الجهات الحكومية والهيئات الدبلوماسية في آسيا، وتعمل باستمرار على تحديث ترسانتها وتواصل إلى الآن شنّ مزيد من الهجمات.
تجسس رقمي
وبينما لم يتضح بعد ناقل الإصابة في الأنشطة التخريبية الحديثة التي مارستها «تودي كات»، فقد أجرى الباحثون تحليلًا شاملاً للبرمجيات الخبيثة المستخدمة في الحملات.
وتوظف العصابة أداتي «ساموراي باك دور» و«نينجا تروجان» المتطورتين في التجسّس الرقمي، والمصممتين لاختراق الشبكات المستهدفة بعمق، مع الحفاظ على ميزة التخفّي، وتُعدّ الأداة الأولى منفذًا خلفيًا متكاملًا يشكّل المرحلة النهائية للهجوم ويسمح للمهاجم بإدارة النظام عن بُعد والتحرّك جانبيًا داخل الشبكة المخترَقة. وتتسم هذه البرمجية الخبيثة بقدرتها على استخدام أدوات تحكّم متعددة في سير تنفيذ التعليمات البرمجية، ما يصعّب تتبع ترتيب الإجراءات في الشيفرة البرمجية.
كذلك، تُستخدم هذه البرمجية لإطلاق برمجية خبيثة أخرى تُدعى «ننجا تروجان»، وهي أداة تنسيقية معقّدة تسمح لعدة مشغلين بالعمل على الجهاز نفسه في وقت واحد.
تحكم بعيدوتتيح «نينجا تروجان» أيضًا مجموعة كبيرة من الأوامر التي تسمح للمهاجمين بالتحكّم في الأنظمة البعيدة مع تجنب الانكشاف، وعادة ما تُحمَّل في ذاكرة الجهاز وتشغَّل بأدوات تحميل متنوعة. وتبدأ البرمجية هذه العملية عن طريق استرداد معلِّمات التهيئة من الحمولة المشفرة، ثم تتسلل بعمق إلى الشبكة المخترقة.
وتتضمن قدرات هذه البرمجية الخبيثة إدارة أنظمة الملفات، وتشغيل واجهات الاستخدام البعيدة، وإعادة توجيه حزم TCP، وحتى السيطرة على الشبكة خلال أطر زمنية محددة، والتي يمكن تهيئتها ديناميكيًا باستخدام أمر محدّد.
ميزة التخفي
وتشبه البرمجية الخبيثة أيضًا بعض البُنى الهيكلية المعروفة، التي تبدأ في إدارة الأنظمة بعد اختراقها، مثل «كوبالت سترايك»، فيما تسمح لها مزايا التخفي بالحدّ من عدد الاتصالات المباشرة من الشبكة المستهدفة إلى أنظمة القيادة والسيطرة البعيدة دون الوصول إلى الإنترنت.
بالإضافة إلى ذلك، يمكنها التحكّم في مؤشرات HTTP وتمويه حركة المرور التخريبية في طلبات HTTP، ما يجعلها تبدو شرعية عن طريق تعديل ترويسة HTTP ومسارات URL، وهي مزايا تُكسب «نينجا تروجان» قدرة مميزة على التخفي.
قدرات مهارية
وأكّد جيام باولو ديدولا الخبير الأمني لدى كاسبرسكي أن «تودي كات» عصابة تهديد متطورة تتمتع بمهارات تقنية عالية، مشيرًا إلى قدرتها على التخفّي وتجنّب الانكشاف، والوصول إلى أكبر المؤسسات وأقواها.
وقال: «ما زلنا لا نمتلك رؤية كاملة تحيط بعمليات هذه العصابة وتكتيكاتها، بالرغم من عدد أدوات يتضح من اسمها، برمجية يصعب اكتشافها، وبالتالي يصعب إيقافها»، موضحا أن أفضل طريقة لمواجهة هذا النوع من التهديدات تتمثل في استخدام دفاعات متعددة المستويات، تتيح معلومات عن الأصول الداخلية وتبقى على اطلاع على أحدث معلومات التهديدات.
نصائح مهمة
ونصح باحثو كاسبرسكي لتجنب الوقوع ضحية لهجوم موجه من قِبل جهات التهديد المعروفة أو المجهولة، بتزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات، مؤكدة أهمية صقل مهارات فريق الأمن الرقمي وإعدادهم للتعامل مع أحدث التهديدات الموجهة من خلال تدريب كاسبرسكي عبر الإنترنت الذي طوّره خبراء فريق البحث والتحليل العالمي لدى كاسبرسكي.
كما نصحوا بتنفيذ حلول الكشف عن التهديدات والاستجابة لها، عند النقاط الطرفية، للكشف عن التهديدات عند الأجهزة الطرفية والتحقيق فيها ومعالجة الحوادث في الوقت المناسب حال وقوعها، مشيرين إلى أهمية تنفيذ حل أمني على المستوى المؤسسي، للكشف عن التهديدات المتقدمة في الشبكات في مرحلة مبكرة، وتقديم تدريب على الوعي الأمني وتعليم المهارات العملية لفريق العمل، نظرًا لأن العديد من الهجمات الموجهة تبدأ بمحاولات التصيّد أو مبادئ الهندسة الاجتماعية الأخرى.
تصعيد سريع
وتُعدّ «تودي كات» من العصابات الجديدة والمتطورة نسبيًّا في مجال التهديدات المتقدمة المستمرة على الإنترنت، واكتشف باحثو كاسبرسكي نشاطها لأول مرة في ديسمبر 2020 عندما نفذت عددًا من الهجمات على خوادم «مايكروسوفت إكستشنج» لدى الجهات التي تستهدفها.
وفي فبراير ومارس 2021، لاحظت كاسبرسكي تصعيدًا سريعًا في نشاط العصابة، حين بدأت في استغلال ثغرة «بروكسي لوجن» على خوادم «مايكروسوفت إكستشنج» لاختراق العديد من المؤسسات في أوروبا وآسيا.
لكن اعتبارًا من سبتمبر 2021، نقلت العصابة اهتمامها إلى أجهزة سطح المكتب لدى الجهات الحكومية والهيئات الدبلوماسية في آسيا، وتعمل باستمرار على تحديث ترسانتها وتواصل إلى الآن شنّ مزيد من الهجمات.
تجسس رقمي
وبينما لم يتضح بعد ناقل الإصابة في الأنشطة التخريبية الحديثة التي مارستها «تودي كات»، فقد أجرى الباحثون تحليلًا شاملاً للبرمجيات الخبيثة المستخدمة في الحملات.
وتوظف العصابة أداتي «ساموراي باك دور» و«نينجا تروجان» المتطورتين في التجسّس الرقمي، والمصممتين لاختراق الشبكات المستهدفة بعمق، مع الحفاظ على ميزة التخفّي، وتُعدّ الأداة الأولى منفذًا خلفيًا متكاملًا يشكّل المرحلة النهائية للهجوم ويسمح للمهاجم بإدارة النظام عن بُعد والتحرّك جانبيًا داخل الشبكة المخترَقة. وتتسم هذه البرمجية الخبيثة بقدرتها على استخدام أدوات تحكّم متعددة في سير تنفيذ التعليمات البرمجية، ما يصعّب تتبع ترتيب الإجراءات في الشيفرة البرمجية.
كذلك، تُستخدم هذه البرمجية لإطلاق برمجية خبيثة أخرى تُدعى «ننجا تروجان»، وهي أداة تنسيقية معقّدة تسمح لعدة مشغلين بالعمل على الجهاز نفسه في وقت واحد.
تحكم بعيدوتتيح «نينجا تروجان» أيضًا مجموعة كبيرة من الأوامر التي تسمح للمهاجمين بالتحكّم في الأنظمة البعيدة مع تجنب الانكشاف، وعادة ما تُحمَّل في ذاكرة الجهاز وتشغَّل بأدوات تحميل متنوعة. وتبدأ البرمجية هذه العملية عن طريق استرداد معلِّمات التهيئة من الحمولة المشفرة، ثم تتسلل بعمق إلى الشبكة المخترقة.
وتتضمن قدرات هذه البرمجية الخبيثة إدارة أنظمة الملفات، وتشغيل واجهات الاستخدام البعيدة، وإعادة توجيه حزم TCP، وحتى السيطرة على الشبكة خلال أطر زمنية محددة، والتي يمكن تهيئتها ديناميكيًا باستخدام أمر محدّد.
ميزة التخفي
وتشبه البرمجية الخبيثة أيضًا بعض البُنى الهيكلية المعروفة، التي تبدأ في إدارة الأنظمة بعد اختراقها، مثل «كوبالت سترايك»، فيما تسمح لها مزايا التخفي بالحدّ من عدد الاتصالات المباشرة من الشبكة المستهدفة إلى أنظمة القيادة والسيطرة البعيدة دون الوصول إلى الإنترنت.
بالإضافة إلى ذلك، يمكنها التحكّم في مؤشرات HTTP وتمويه حركة المرور التخريبية في طلبات HTTP، ما يجعلها تبدو شرعية عن طريق تعديل ترويسة HTTP ومسارات URL، وهي مزايا تُكسب «نينجا تروجان» قدرة مميزة على التخفي.
قدرات مهارية
وأكّد جيام باولو ديدولا الخبير الأمني لدى كاسبرسكي أن «تودي كات» عصابة تهديد متطورة تتمتع بمهارات تقنية عالية، مشيرًا إلى قدرتها على التخفّي وتجنّب الانكشاف، والوصول إلى أكبر المؤسسات وأقواها.
وقال: «ما زلنا لا نمتلك رؤية كاملة تحيط بعمليات هذه العصابة وتكتيكاتها، بالرغم من عدد أدوات يتضح من اسمها، برمجية يصعب اكتشافها، وبالتالي يصعب إيقافها»، موضحا أن أفضل طريقة لمواجهة هذا النوع من التهديدات تتمثل في استخدام دفاعات متعددة المستويات، تتيح معلومات عن الأصول الداخلية وتبقى على اطلاع على أحدث معلومات التهديدات.
نصائح مهمة
ونصح باحثو كاسبرسكي لتجنب الوقوع ضحية لهجوم موجه من قِبل جهات التهديد المعروفة أو المجهولة، بتزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات، مؤكدة أهمية صقل مهارات فريق الأمن الرقمي وإعدادهم للتعامل مع أحدث التهديدات الموجهة من خلال تدريب كاسبرسكي عبر الإنترنت الذي طوّره خبراء فريق البحث والتحليل العالمي لدى كاسبرسكي.
كما نصحوا بتنفيذ حلول الكشف عن التهديدات والاستجابة لها، عند النقاط الطرفية، للكشف عن التهديدات عند الأجهزة الطرفية والتحقيق فيها ومعالجة الحوادث في الوقت المناسب حال وقوعها، مشيرين إلى أهمية تنفيذ حل أمني على المستوى المؤسسي، للكشف عن التهديدات المتقدمة في الشبكات في مرحلة مبكرة، وتقديم تدريب على الوعي الأمني وتعليم المهارات العملية لفريق العمل، نظرًا لأن العديد من الهجمات الموجهة تبدأ بمحاولات التصيّد أو مبادئ الهندسة الاجتماعية الأخرى.