"كاسبرسكي" حملة خبيثة تستدرج آلاف المستخدمين الباحثين

شهد فصل الصيف الماضي بأكمله قيام عصابة إلكترونية متخفية تعرف باسم "StrongPity" باستدراج المستخدمين الباحثين عن برمجيات التشفير إلى مواقع إلكترونية احتيالية بهدف التحميل من المواقع المزورة دون علمهم، وذلك وفقاً لتقرير صدر حديثاً عن شركة كاسبرسكي لاب. 

وكان المستخدمون في إيطاليا وبلجيكا الأكثر تضرراً، وكان هناك أيضاً ضحايا أخرون لم يسلموا من تلك الحملة الخبيثة في تركيا وشمال أفريقيا والشرق الأوسط.

وأوضحت الشركة الروسية المتخصصة في أمن المعلومات أن حملة "StrongPity" الخبيثة هي نوع من الهجمات المتقدمة المستمرة الـAPT التي تمتلك قدرات تقنية وتركز على استهداف البيانات والاتصالات المشفرة.

وعلى مدى الأشهر القليلة الماضية، رصدت كاسبرسكي لاب تصعيداً ملحوظاً في هجمات هذه الحملة على المستخدمين بحثاً عن اثنتين من أدوات التشفير ذات الصلة وهما: مستند "WinRAR" ونظام التشفير "TrueCrypt".

وتشتمل برمجية "StrongPity" الخبيثة على مكونات تتيح للمهاجمين إمكانية التحكم الكامل بنظام الضحية، الأمر الذي ساعدهم على سرقة محتويات القرص الصلب وكذلك تحميل وحدات نمطية إضافية لجمع معلومات عن الاتصالات وعناوين جهات الاتصال.

وتمكنت كاسبرسكي لاب حتى الآن من الكشف عن زيارات لمواقع حملة "StrongPity" والعثور على مكونات لبرمجية "StrongPity" الخبيثة عبر أكثر من ألف نظام مستهدف.

مواقع احتيالية
لإيقاع الضحايا في الفخ، لجأ المهاجمون إلى إنشاء مواقع إلكترونية احتيالية، وفي إحدى الحالات، قاموا بإدخال حرفين على اسم النطاق لخداع العملاء وجعلهم يعتقدون بأنها مواقع نظامية تتيح تثبيت برنامج "WinRAR". 

بعد ذلك، قام المهاجمون بتثبيت رابط دائم لهذا النطاق البرمجي الخبيث على إحدى مواقع تثبيت برنامج "WinRAR" في بلجيكا، ليستبدل، على ما يبدو، رابط الموقع النظامي أو الموصى به بنطاق آخر خبيث. 

وعندما تصفح الزوار من المستخدمين المطمئنين الموقع، قادهم إلى موقع تثبيت البرمجية الخبيثة، واكتشفت كاسبرسكي لاب أول عملية إعادة توجيه إلى موقع إلكتروني مزيف ناجحة بتاريخ 28 مايو (أيار) 2016.

وفي نفس الوقت تقريباً، بدأت كاسبرسكي لاب على الفور برصد وتتبع أنشطة خبيثة على موقع تثبيت برامج "WinRAR" في إيطاليا، غير أنه في هذه الحالة لم تتم إعادة توجيه المستخدمين إلى موقع إلكتروني مزيف، بل تم تثبيت برمجية "StrongPity" الخبيثة مباشرة على أجهزتهم عن طريق موقع تحميل البرامج.

كما كانت برمجية "StrongPity" الخبيثة توجّه الزوار من مواقع تبادل البرامج الشائعة الاستخدام إلى موقع تثبيت البرامج Installers الخاص بها المعروف باسم: "TrueCrypt" والملغّم بفيروسات "Trojans"، واستمر هذا النشاط حتى نهاية شهر سبتمبر (أيلول).

وتم الآن إزالة الروابط الخبيثة من مواقع تثبيت برامج "WinRAR"، ولكن موقع "TrueCrypt" الاحتيالي كان لا يزال نشطاً حتى نهاية سبتمبر (أيلول).

التوزع الجغرافي للضحايا 
وكشفت بيانات كاسبرسكي لاب أنه خلال أسبوع واحد، ظهرت البرمجية الخبيثة التي تم تحميلها عن طريق موقع تثبيت البرامج في إيطاليا على مئات الأنظمة في جميع أنحاء أوروبا وشمال أفريقيا، مع وجود المزيد من الإصابات المحتمل تسجيلها.

خلال فصل الصيف بأكمله، كانت إيطاليا (87%) وبلجيكا (5%) والجزائر (4%) من ضمن الدول الأكثر تضرراً بتلك الهجمات. 

كما كان التوزع الجغرافي للضحايا المتضررين من الموقع المصاب في بلجيكا مماثلاً، حيث تم استهداف المستخدمين في بلجيكا والذين يشكلون النصف تقريباً (54%) بأكثر من 60 هجمة ناجحة.

وفي مايو (أيار) 2016 ارتفعت حدة الهجمات على المستخدمين من خلال موقع "TrueCrypt" الاحتيالي، وكان العدد الاكبر من الضحايا متركزاً في تركيا بنسبة 95%.

وقال الباحث الأمني الرئيسي في كاسبرسكي لاب كورت بومجارتنر، "إن التقنيات المستخدمة من قبل هذه العصابة الإلكترونية تعد فائقة الذكاء، فهي تشبه الأسلوب الذي تم تبنيه مطلع العام 2014 من قبل عصابة (CrouchingYeti/Energetic Bear APT) التي استخدمت مواقع لتثبيت برامج خاصة بتكنولوجيا المعلومات، بدت على أنها نظامية، ولكنها كانت في الواقع ملغمة ببرمجيات حصان طروادة الخبيثة، وذلك بهدف السيطرة على الأنظمة الصناعية واختراق مواقع تحميل البرامج الأصلية.

وأضاف "هذه التكتيكات لا تبشر بالخير وتنطوي على مخاطر جدية ينبغي على قطاع الأمن التصدي لها ومعالجتها، إن البحث عن الخصوصية وسلامة البيانات لا ينبغي أن يعرض الفرد إلى هجمات (Waterhole) المدمرة"، أي إعادة توجيه الضحية إلى موقع ويب وهمي مصاب والتحميل دون علم المستخدم من المواقع المزورة.

وتعتبر هجمات "Waterhole" غير دقيقة بطبيعتها، ونأمل إجراء مزيد من النقاشات حول أهمية وضرورة توفير آليات أسهل للتحقق من وسائل التشفير المتاحة.”

وتقوم كاسبرسكي لاب بالكشف عن مكونات برمجية "StrongPity" الخبيثة على شكل: "HEUR:Trojan.Win32. StrongPity.gen وTrojan.Win32. StrongPity" وغيرها من الصيغ العامة الأخرى.