حملة تهديدات تستهدف المنظمات العاملة بمنطقة النزاع الروسية الأوكرانية
كشف خبراء أمن المعلومات عن وجود حملة مستمرة من التهديدات المتقدمة المستمرة (APT)، تستهدف المنظمات في المنطقة المتأثرة بالصراع المستمر بين روسيا وأوكرانيا.
حملة التهديدات المتقدمة
وبدأت حملة التجسس أو التهديدات المتقدمة التي يطلق عليها اسم CommonMagic، منذ سبتمبر 2021، وتستخدم برنامجًا خبيثًا لم يعرف سابقًا لجمع البيانات من أهداف محددة، تشمل منظمات الإدارة والزراعة والنقل الموجودة في مناطق دونيتسك ولوهانسك وشبه جزيرة القرم.
ويستخدم المهاجمون في حملة التهديدات المتقدمة بابًا خلفيًا يعتمد على محرك الأتمتة ولغة التشفير PowerShell، يحمل اسم PowerMagic، إضافة إلى إطار عمل خبيث جديد يسمى CommonMagic قادر على سرقة الملفات من الناقل التسلسلي العام (USB)، ومن ثم يتم جمع البيانات وإرسالها إلى المهاجم.
ويتمثل الجانب الأسوأ من ذلك في أن إمكانات هذا البرنامج لا تقتصر على هاتين الوظيفتين، بل إن بنية الأطر المعيارية التي يستخدمها تسمح بإدخال برمجيات خبيثة إضافية من خلال وحدات جديدة.
وقد بدأت الهجمات باستخدام ما يسمى "التصيد بالرمح" أو طرق أخرى مشابهة، كما هو مبيّن في الخطوات التالية في سلسلة العدوى، وتم توجيه الأهداف إلى عنوان صفحة الموقع الإلكتروني (URL) التي تقوم بتحويلها إلى أرشيف مضغوط (ZIP) يستضيفه جهاز خادم خبيث. واحتوى الأرشيف على ملف خطير قام بنشر الباب الخلفي لبرمجية PowerMagic مع وثيقة خادعة تهدف إلى تضليل الضحايا، لإيهامهم أن المحتوى معتمد.
وحال قيام الضحية بتنزيل الأرشيف، والنقر على رابط الملف فيه، تنتقل برمجية الباب الخلفيPowerMagic إلى جهازه وعند اكتمال هذه الخطوة، يبدأ الباب الخلفي بتلقي الأوامر من ملف مخزن في خدمة تخزين سحابية عامة، وينفذ أوامر المرسلة من الخادم، ليتم تحميل نتائج التنفيذ مرة أخرى وإرسالها إلى السحابة، ويقوم PowerMagic أيضًا بتثبيت نفسه في النظام، ليتم تفعيله باستمرار عند بدء تشغيل الجهاز المصاب.
ويتكون هذه البرمجية من وحدات متعددة، وتكون كل وحدة بمثابة إطار مستقل، كما أنها تعمل كملف قابل للتنفيذ يتم إطلاقه في عملية منفصلة، وترتبط بها وحدات قادرة على التواصل فيما بينها. وتستطيع سرقة الملفات من أجهزة USB، بالإضافة إلى التقاط صور للشاشة كل ثلاث ثوانٍ، وإرسالها إلى المهاجم.
وحتى وقت إعداد هذا التقرير، لم يتم العثور على روابط مباشرة بين الكود والبيانات المستخدمة في هذه الحملة، أو أي روابط معروفة سابقًا، وبما أن الحملة لا تزال نشطة مع استمرار التحقيق، يتوقع أن تكشف الأبحاث المستقبلية عن المزيد من المعلومات التي يمكن الاعتماد عليها في تحديد عوامل التهديد المعينة من هذه الحملة، وبالرجوع إلى علم الضحايا والإغراءات التي يقدمها المهاجمون، يبدو أن لديهم اهتمامًا محددًا يتعلق بالوضع الجيوسياسي السائد في منطقة الأزمة.
تأثير الأحداث الجيوسياسية
وقال ليونيد بيزفيرشينكو، الباحث المتخصص بالشأن الأمني في الفريق العالمي للبحث والتحليل (GReAT) التابع لشركة كاسبرسكي تؤثر الأحداث الجيوسياسية على مشهد التهديدات الإلكترونية، كما تؤدي إلى ظهور تهديدات جديدة، لقد راقبنا أنشطة مرتبطة بالصراع بين روسيا وأوكرانيا منذ فترة طويلة، ويعتبر هذا التهديد أحد أحدث اكتشافاتنا. ومع أن البرمجيات الخبيثة والأساليب المستخدمة في حملة التهديدات المتقدمة CommonMagic ليست معقدة بشكل خاص، يعد استخدام التخزين السحابي كبنية أساسية للقيادة والتحكم أمرًا جديرًا بالملاحظة، وهذا ما يدفعنا إلى مواصلة تحقيقنا، ونأمل أن نتمكن من التوصل إلى المزيد من النتائج حول هذه المسألة".
ونقدم لكم من خلال موقع (فيتو)، تغطية ورصدًا مستمرًّا على مدار الـ 24 ساعة لـ أسعار الذهب، أسعار اللحوم ، أسعار الدولار ، أسعار اليورو ، أسعار العملات ، أخبار الرياضة ، أخبار مصر، أخبار اقتصاد ، أخبار المحافظات ، أخبار السياسة، أخبار الحوداث ، ويقوم فريقنا بمتابعة حصرية لجميع الدوريات العالمية مثل الدوري الإنجليزي ، الدوري الإيطالي ، الدوري المصري، دوري أبطال أوروبا ، دوري أبطال أفريقيا ، دوري أبطال آسيا ، والأحداث الهامة و السياسة الخارجية والداخلية بالإضافة للنقل الحصري لـ أخبار الفن والعديد من الأنشطة الثقافية والأدبية.
