المصدر -
كشفت تقنيات كاسبرسكي عن برمجيات خبيثة جديدة تستهدف هيئات دبلوماسية في أوروبا بالتجسس وتتمثل أداة نشرها الأولية بطلب مزور للحصول على تأشيرة. وأشارت التحليلات إلى أن برمجية التجسس هذه، والتي اكتشفت أحدث هجماتها في نوفمبر 2019، تستخدم قاعدة الشيفرة البرمجية نفسها المستخدمة في التروجان COMPFun سيئ السمعة.
وينصبّ تركيز برمجيات التجسس على الانتشار عبر أجهزة الضحايا لجمع البيانات ونقلها إلى الجهة القائمة وراءها. ويجري استخدام هذه البرمجيات على نطاق واسع من قبل مختلف جهات التهديد ويتناسب خطرها مع أهمية الجهة التي تقع ضحية لها؛ سواء كانت جهة حكومية أو من الجهات المعنية بالبنى التحتية الحرجة، كما يمكن أن تشكل المعلومات المسروقة جرّاء التجسس قيمة كبيرة للساعين وراءها ويُحدث الكشف عنها تغيّرات بالغة في المشهد ذي العلاقة.
وتوجد أوجه شبه كبيرة بين البرمجية الخبيثة المكتشفة والتروجان COMPFun، الذي اكتشف أول مرة في العام 2014، وشهد قطاع الأمن الرقمي نسخته التالية، Reductor، في 2019. وتتضمن وظائف التروجان الجديدة القدرة على معرفة الموقع الجغرافي للهدف، وجمع البيانات المتعلقة بالمضيف والشبكة، وتسجيل ضربات المفاتيح على لوحة المفاتيح، والتقاط محتوى الشاشة.
وفقًا لخبراء كاسبرسكي فإن هذا التروجان مدجّج بالإمكانيات وقادر على الانتشار على أجهزة التخزين المحمولة. وتحتوي أداة نشره الخاصة بالمرحلة الأولى، والتي يجري تنزيلها من الشبكة المحلية LAN المشتركة، على اسم الملف المتعلق بعملية طلب التأشيرة، والذي يتناسب مع الهيئة الدبلوماسية المستهدفة. ويُحتفظ بالتطبيق الأصلي مشفرًا داخل أداة التوزيع وبجانب البرمجية الخبيثة الخاصة بالمرحلة التالية والمبنية بمعمارية من 32 و64 بت.
وتربط كاسبرسكي التروجان COMPfun الأصلي بجهة التهديدات المتقدمة المستمرة Turla، وذلك استنادًا إلى طبيعة الضحايا وبمستوى متوسط إلى منخفض من الثقة.
وقال كيرت بومغارتنر الباحث الأمني الرئيس لدى كاسبرسكي، إن مشغلي البرمجيات الخبيثة أبقوا تركيزهم على الهيئات الدبلوماسية واختيار طلب التأشيرة المخزَّن في دليل مشترك داخل الشبكة المحلية، مشيرًا إلى أن ناقل الإصابة الأولي "عمل لصالحهم"، وأضاف: "تدلّ قدرة مطوري COMPFun المتمثلة في الجمع بين اتّباع نهج متخصص للوصول إلى أهدافهم، وبلورة أفكارهم وتنفيذها، على كونهم فريقًا تخريبيًا قويًا".
وتقترح كاسبرسكي اتباع الإجراءات التالية لحماية مختلف الجهات من تهديدات مثل التروجان COMPfun:
• إجراء عمليات تدقيق أمنية منتظمة للبنية التحتية التقنية في المؤسسة.
• استخدام حلّ أمني موثوق به لحماية النقاط الطرفية، مثل Kaspersky Endpoint Security for Business مع الحماية من التهديدات المتمثلة بالملفات، مع الحفاظ على تحديثه باستمرار حتى يتمكن من اكتشاف أحدث أنواع البرمجيات الخبيثة.
• استخدام حلّ أمني موثوق به للكشف عن التهديدات والتحقيق فيها والاستجابة لها عند النقاط الطرفية في الوقت المناسب، مثل Kaspersky Endpoint Detection and Response.
• استخدام حلّ أمني على المستوى المؤسسي يكون قادرًا على الكشف عن التهديدات المتقدمة الشبكية في مرحلة مبكرة، مثل منصة Kaspersky Anti Targeted Attack Platform.
• تزويد الفرق العاملة في مراكز العمليات الأمنية بإمكانية الحصول إلى أحدث المعلومات المتعلقة بالتهديدات، من أجل مواكبة الأدوات والأساليب والتكتيكات الجديدة والناشئة التي تستخدمها الجهات التخريبية ومجرمو الإنترنت.
يمكن الاطلاع على تفاصيل أوفى على صفحة Securelist.
وينصبّ تركيز برمجيات التجسس على الانتشار عبر أجهزة الضحايا لجمع البيانات ونقلها إلى الجهة القائمة وراءها. ويجري استخدام هذه البرمجيات على نطاق واسع من قبل مختلف جهات التهديد ويتناسب خطرها مع أهمية الجهة التي تقع ضحية لها؛ سواء كانت جهة حكومية أو من الجهات المعنية بالبنى التحتية الحرجة، كما يمكن أن تشكل المعلومات المسروقة جرّاء التجسس قيمة كبيرة للساعين وراءها ويُحدث الكشف عنها تغيّرات بالغة في المشهد ذي العلاقة.
وتوجد أوجه شبه كبيرة بين البرمجية الخبيثة المكتشفة والتروجان COMPFun، الذي اكتشف أول مرة في العام 2014، وشهد قطاع الأمن الرقمي نسخته التالية، Reductor، في 2019. وتتضمن وظائف التروجان الجديدة القدرة على معرفة الموقع الجغرافي للهدف، وجمع البيانات المتعلقة بالمضيف والشبكة، وتسجيل ضربات المفاتيح على لوحة المفاتيح، والتقاط محتوى الشاشة.
وفقًا لخبراء كاسبرسكي فإن هذا التروجان مدجّج بالإمكانيات وقادر على الانتشار على أجهزة التخزين المحمولة. وتحتوي أداة نشره الخاصة بالمرحلة الأولى، والتي يجري تنزيلها من الشبكة المحلية LAN المشتركة، على اسم الملف المتعلق بعملية طلب التأشيرة، والذي يتناسب مع الهيئة الدبلوماسية المستهدفة. ويُحتفظ بالتطبيق الأصلي مشفرًا داخل أداة التوزيع وبجانب البرمجية الخبيثة الخاصة بالمرحلة التالية والمبنية بمعمارية من 32 و64 بت.
وتربط كاسبرسكي التروجان COMPfun الأصلي بجهة التهديدات المتقدمة المستمرة Turla، وذلك استنادًا إلى طبيعة الضحايا وبمستوى متوسط إلى منخفض من الثقة.
وقال كيرت بومغارتنر الباحث الأمني الرئيس لدى كاسبرسكي، إن مشغلي البرمجيات الخبيثة أبقوا تركيزهم على الهيئات الدبلوماسية واختيار طلب التأشيرة المخزَّن في دليل مشترك داخل الشبكة المحلية، مشيرًا إلى أن ناقل الإصابة الأولي "عمل لصالحهم"، وأضاف: "تدلّ قدرة مطوري COMPFun المتمثلة في الجمع بين اتّباع نهج متخصص للوصول إلى أهدافهم، وبلورة أفكارهم وتنفيذها، على كونهم فريقًا تخريبيًا قويًا".
وتقترح كاسبرسكي اتباع الإجراءات التالية لحماية مختلف الجهات من تهديدات مثل التروجان COMPfun:
• إجراء عمليات تدقيق أمنية منتظمة للبنية التحتية التقنية في المؤسسة.
• استخدام حلّ أمني موثوق به لحماية النقاط الطرفية، مثل Kaspersky Endpoint Security for Business مع الحماية من التهديدات المتمثلة بالملفات، مع الحفاظ على تحديثه باستمرار حتى يتمكن من اكتشاف أحدث أنواع البرمجيات الخبيثة.
• استخدام حلّ أمني موثوق به للكشف عن التهديدات والتحقيق فيها والاستجابة لها عند النقاط الطرفية في الوقت المناسب، مثل Kaspersky Endpoint Detection and Response.
• استخدام حلّ أمني على المستوى المؤسسي يكون قادرًا على الكشف عن التهديدات المتقدمة الشبكية في مرحلة مبكرة، مثل منصة Kaspersky Anti Targeted Attack Platform.
• تزويد الفرق العاملة في مراكز العمليات الأمنية بإمكانية الحصول إلى أحدث المعلومات المتعلقة بالتهديدات، من أجل مواكبة الأدوات والأساليب والتكتيكات الجديدة والناشئة التي تستخدمها الجهات التخريبية ومجرمو الإنترنت.
يمكن الاطلاع على تفاصيل أوفى على صفحة Securelist.
