كاسبرسكي: عصابات التهديدات المتقدمة المستمرة تواصل في تحديث و تنويع برمجيات خبيثة

قالت شركة كاسبرسكي فى بيان لها أن العصابات والمجموعات التخريبية التي تقف وراء التهديدات المتقدمة المستمرة (APT) خلال العام 2020 حافظت على نشاطها، بل واصلت التطوير والتحديث، على الرغم مما يشهده العام من ظروف وأزمات غير مسبوقة؛ فقد حرصت تلك العصابات على استغلال جائحة فيروس كورونا المستجد، أو COVID-19، طُعمًا في العديد من الحملات التخريبية الكبيرة والصغيرة.

وشهد باحثو كاسبرسكي مساعي تطوير مستمرة لترسانات تلك العصابات من البرمجيات والأدوات الخبيثة المستخدمة في التهديدات المتقدمة المستمرة على مختلف الجبهات، بدءًا من استهداف المنصات الجديدة والاستغلال النشط للثغرات، وصولًا إلى التحوّل بالكامل إلى أدوات جديدة.

وقد تناول أحدث تقرير فصلي موجز لكاسبرسكي حول التهديدات هذه التوجهات وغيرها في جميع أنحاء العالم.

ويستند التقرير الموجز حول التهديدات خلال الربع الثاني من العام الجاري على أبحاث كاسبرسكي الخاصة حول المعلومات المتعلقة بالتهديدات، فضلًا عن مصادر أخرى تتناول التطوّرات المهمة التي رأى باحثو الشركة أن على الشركات والمؤسسات أن تكون على دراية بها.

ولاحظ باحثو كاسبرسكي في الربع الثاني تطورات متعددة في التكتيكات والأساليب والإجراءات التي تتبعها العصابات التي تقف وراء التهديدات المتقدمة المستمرة في جميع أنحاء العالم. وقد رصد التقرير التغييرات المهمة التالية:

مجموعة Lazarus، التي كانت إحدى جهات التهديد الرئيسة لعدة سنوات، بدأت بجانب هجمات التجسس الرقمي، تزيد استثمرها في الهجمات التي تحقق لها مكاسب مالية، كالبنوك والشركات المالية في جميع أنحاء العالم.

في هذا الربع، رصد باحثو كاسبرسكي أيضًا شروع Lazarus في شنّ هجمات ببرمجيات الفدية، ما يُعتبر نشاطًا غير اعتيادي لمجموعة تمارس الهجمات المتقدمة المستمرة، وذلك باستخدام منظومة متعددة المنصات تُسمى MATA لتوزيع البرمجيات الخبيثة. في السابق، وكان اسم Lazarus ارتبط في السابق بهجوم WannaCry سيئ السمعة.

عصابة CactusPete الناطقة بالصينية، باتت تستخدم الآن منصة ShadowPad الهجومية المعقدة التي تشتمل على برمجيات تشغيلية مساعدة ووظائف متنوعة.

ونشرت ShadowPad سابقًا في عدد من الهجمات الرقمية الكبرى، بالاستعانة بمجموعة من البرمجيات المساعدة.

جهة التهديدات المتقدمة المستمرة MuddyWater اكتشف في العام 2017 وظلّ منذ ذلك الحين نشطًا في الشرق الأوسط. وأبلغ باحثو كاسبرسكي في 2019 عن نشاط موجه ضدّ شركات اتصالات ومنظمات حكومية في الشرق الأوسط.

واكتشفت كاسبرسكي حديثًا أن MuddyWater تستخدم سلسلة جديدة من أدوات C++ في موجة جديدة من الهجمات التي استفادت فيها من أداة مفتوحة المصدر تسمى Secure Socket Funneling للتمكّن من التحرك الجانبي.

جهة التهديدات المتقدمة المستمرة HoneyMyte شنّت في مارس الماضي هجوم ما يُعرف بـ Watering Hole أو “الموقع المفخخ” على موقع إلكتروني تابع لحكومة بلد في جنوب شرق آسيا.

ويبدو أن هذا الهجوم استغل القوائم البيضاء ومبادئ الهندسة الاجتماعية لإصابة أهدافه.

وتمثلت الحمولة النهائية التي نقلها الهجوم في أرشيف ZIP بسيط يحتوي على ملف readme يحرّض الضحية على زرع برمجية خبيثة تُدعى Cobalt Strike، في حين تمثلت الآلية المستخدمة في ذلك في التحميل الجانبي لملف DLL ليعمل على فكّ تشفير البرمجية السطحية الخاصة ببرمجية Cobalt Strike وتنفيذها.

جهة التهديد OceanLotus القائمة وراء حملة PhantomLance المتقدمة التي استهدفت الهواتف المحمولة، ظلّت تستخدم نسخًا جديدة من أداة التنزيل متعدد المراحل للبرمجيات الخبيثة منذ النصف الثاني من 2019.

وتستخدم هذه النسخ معلومات خاصة بالهدف (اسم المستخدم واسم المضيف، إلخ) تحصل عليها مسبقًا لضمان زرع البرمجية الخبيثة عند الضحية المناسبة. وتواصل العصابة زرع برمجياتها الخبيثة وتوظيف منافذها الخلفية، بالإضافة إلى Cobalt Strike Beacon، مزوّدة إياها ببنية تحتية محدثة.

واعتبر فيشنتي دييز الباحث الأمني المسؤول في فريق البحث والتحليل العالمي لدى كاسبرسكي، أن مشهد التهديدات الرقمية “ليس دائمًا مليئًا بالأحداث الكبيرة”، لكنه شدّد على أن نشاط الجريمة الرقمية “لم يهدأ خلال الأشهر القليلة الماضية”.

وأكّد أن جهات التهديدات المتقدمة المستمرة تواصل الاستثمار في تحسين مجموعات أدواتها وتنويع ناقلات الهجوم، بل والتحول إلى أنواع جديدة من الأهداف، لافتًا إلى أن اللجوء إلى زرع البرمجيات الخبيثة في الهواتف المتنقلة “لم يعد أمرًا جديدًا”، وأن ثمّة توجهًا آخر يتمثل في تحرّك بعض الجهات نحو تحقيق مكاسب مالية، مثل BlueNoroff وLazarus.

وأضاف: “تظلّ الجغرافيا السياسة مع ذلك دافعًا مهمًا للعديد من الجهات الناشطة في مجال التهديدات، ولهذا فإن جميع تلك التطورات تسلّط الضوء على أهمية الاستثمار في المعلومات والمستجدات المتعلقة بهذا المشهد، نظرًا لأن مجرمي الإنترنت لا يتوقفون عند ما حققوه ويواصلون مساعيهم لتطوير تكتيكات وأساليب وإجراءات جديدة، وهو ما يستدعي اتباع النهج نفسه من قبل من يرغبون في حماية أنفسهم وشركاتهم من أخطار الهجمات الرقمية”.

ويلخِّص تقرير كاسبرسكي حول توجهات التهديدات المتقدمة المستمرة في الربع الثاني النتائج التي توصلت إليها تقارير كاسبرسكي الخاصة بمعلومات التهديدات، والتي تتضمن بيانات مؤشرات حدوث الاختراق وقواعد YARA، للمساعدة في التحقيقات الجنائية الرقمية والبحث عن البرمجيات الخبيثة. لمزيد من المعلومات، يرجى التواصل عبر العنوان [email protected].

ويوصي باحثو كاسبرسكي بتنفيذ التدابير التالية من أجل تجنب الوقوع ضحية لهجوم موجه من جهات تهديد معروفة أو مجهولة:

تزويد فريق مركز العمليات الأمنية الرقمية بإمكانية الوصول إلى أحدث المعلومات المتعلقة بالتهديدات. وتُعد Kaspersky Threat Intelligence Portal نقطة وصول واحدة لمعلومات التهديدات، حيث تتاح بيانات وإحصاءات عن الهجمات الرقمية جمعتها كاسبرسكي على مدى أكثر من 20 عامًا. ويتاح الوصول المجاني إلى ⦁ ميزات البوابة التي تسمح للمستخدمين بالتحقق من الملفات وعناوين URL وعناوين IP.

للكشف عن التهديدات على مستوى النقاط الطرفية، والتحقيق فيها ومعالجة الحوادث في الوقت المناسب، يمكن تنفيذ حلول EDR مثل ⦁ Kaspersky Endpoint Detection and Response.

بالإضافة إلى اعتماد حماية نقطة النهاية الأساسية ، قم بتنفيذ حل أمان على مستوى الشركة يكتشف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة ، مثل ⦁ Kaspersky Anti Targeted Attack Platform.

تقديم تدريب على الوعي الأمني وتدريس المهارات العملية، من خلال منصة ⦁ Kaspersky Automated Awareness Platform مثلًا، نظرًا لأن العديد من الهجمات الموجهة تبدأ باستخدام تقنيات التصيد أو مبادئ الهندسة الاجتماعية.