"كاسبرسكي": تزايد استغلال الثغرات في شن الهجمات الإلكترونية
أكد تقرير ل كاسبرسكي تزايد استغلال مجموعات التهديدات المتقدمة المستمرة للثغرات في شنّ الهجمات الإلكترونية حيث تحرص مجموعات التهديدات المتقدمة المستمرة على تغيير أساليبها باستمرار وتحديث أدواتها وإطلاق موجات جديدة من نشاطها التخريبي ولهذا السبب، يقدّم فريق البحث والتحليل العالمي التابع لكاسبرسكي تقارير ربع سنوية حول أهم التطورات في مشهد التهديدات المتقدمة المستمرة، من أجل إبقاء المستخدمين والمؤسسات على علم بأحدث التهديدات التي يواجهونها.
ولاحظ الفريق في الربع الأول من العام الجاري، حدوث موجتين كبيرتين من النشاط التخريبي، تمثلت الأولى باختراق SolarWinds، وتحديدًا برمجيتها Orion IT الخاصة بمقدمي خدمات تقنية المعلومات المدارة والتي تعمل على مراقبة البنى التحتية التقنية، لتركيب منفذ خلفي مخصص يعرف باسم Sunburst على شبكات أكثر من 18,000 عميل، بينهم العديد من الشركات الكبيرة والهيئات الحكومية في أمريكا الشمالية وأوروبا والشرق الأوسط وآسيا.
كما لاحظ باحثو كاسبرسكي، عند فحص المنفذ الخلفي بدقة، أوجه تشابه مع المنفذ الخلفي المعروف من قبل والمسمى Kazuar، والذي رُصد لأول مرة في العام 2017 وجرى ربطه مبدئيًا بمجموعة Turla سيئة السمعة. ما يُشير إلى وجود رابط محتمل بين الجهات التخريبية القائمة وراء Kazuar وSunburst.
الموجة الثانية
أما الموجة التخريبية الثانية فجاءت مدفوعة بعمليات استغلال لثغرات في Microsoft Exchange Server جرى تصحيحها لاحقًا في شنّ هجمات بلا انتظار (يوم الصفر).
وفي بداية شهر مارس، شوهدت مجموعة تخريبية جديدة تُعرف بالاسم HAFNIUM تستغل هذه الثغرات لشن سلسلة من الهجمات المحدودة والموجهة. وجرى خلال الأسبوع الأول من شهر مارس، تمّ استهداف ما يقرب من 1,400 خادم لشن هجمات استغلال للثغرات، معظمها في أوروبا والولايات المتحدة. ويبدو أن مجموعات متعددة باتت تستغل هذه الثغرات الآن، نظرًا لتكرار استهداف بعض الخوادم عدة مرات.
وفي منتصف شهر مارس، اكتشفت كاسبرسكي حملة أخرى تستخدم الثغرات نفسها في استهداف جهات في روسيا. وأظهرت هذه الحملة بعض الروابط مع HAFNIUM، بالإضافة إلى مجموعات تخريبية أخرى معروفة سابقًا كانت كاسبرسكي تحقق فيها.
وأُبلغ عن مجموعة جديدة من الأنشطة التخريبية التي نفذتها مجموعة Lazarus سيئة السمعة، واستغلت فيها بدورها الثغرات في شن هجمات يوم الصفر. وفي هذه المرة، استخدمت المجموعة مبادئ الهندسة الاجتماعية لإقناع باحثين أمنيين بتنزيل ملف Visual Studio مخترق أو جذب الضحايا إلى مدونتها، وليتم بعدها تثبيت برمجية اختراق استغلال لثغرات في Chrome. وغالبًا ما كانت هذه المحاولات تدور حول هجمات يوم الصفر، ويبدو أنها كانت تستهدف سرقة الأبحاث الدائرة حول الثغرات الأمنية.
وحدثت الموجة الأولى في يناير والثانية في مارس، واقترنت هذه بموجة جديدة من الملفات الشخصية المزيفة على وسائل التواصل الاجتماعي وبشركة وهمية لخداع الضحايا المقصودين بطريقة فعالة.
ولاحظ الفريق في الربع الأول من العام الجاري، حدوث موجتين كبيرتين من النشاط التخريبي، تمثلت الأولى باختراق SolarWinds، وتحديدًا برمجيتها Orion IT الخاصة بمقدمي خدمات تقنية المعلومات المدارة والتي تعمل على مراقبة البنى التحتية التقنية، لتركيب منفذ خلفي مخصص يعرف باسم Sunburst على شبكات أكثر من 18,000 عميل، بينهم العديد من الشركات الكبيرة والهيئات الحكومية في أمريكا الشمالية وأوروبا والشرق الأوسط وآسيا.
كما لاحظ باحثو كاسبرسكي، عند فحص المنفذ الخلفي بدقة، أوجه تشابه مع المنفذ الخلفي المعروف من قبل والمسمى Kazuar، والذي رُصد لأول مرة في العام 2017 وجرى ربطه مبدئيًا بمجموعة Turla سيئة السمعة. ما يُشير إلى وجود رابط محتمل بين الجهات التخريبية القائمة وراء Kazuar وSunburst.
الموجة الثانية
أما الموجة التخريبية الثانية فجاءت مدفوعة بعمليات استغلال لثغرات في Microsoft Exchange Server جرى تصحيحها لاحقًا في شنّ هجمات بلا انتظار (يوم الصفر).
وفي بداية شهر مارس، شوهدت مجموعة تخريبية جديدة تُعرف بالاسم HAFNIUM تستغل هذه الثغرات لشن سلسلة من الهجمات المحدودة والموجهة. وجرى خلال الأسبوع الأول من شهر مارس، تمّ استهداف ما يقرب من 1,400 خادم لشن هجمات استغلال للثغرات، معظمها في أوروبا والولايات المتحدة. ويبدو أن مجموعات متعددة باتت تستغل هذه الثغرات الآن، نظرًا لتكرار استهداف بعض الخوادم عدة مرات.
وفي منتصف شهر مارس، اكتشفت كاسبرسكي حملة أخرى تستخدم الثغرات نفسها في استهداف جهات في روسيا. وأظهرت هذه الحملة بعض الروابط مع HAFNIUM، بالإضافة إلى مجموعات تخريبية أخرى معروفة سابقًا كانت كاسبرسكي تحقق فيها.
وأُبلغ عن مجموعة جديدة من الأنشطة التخريبية التي نفذتها مجموعة Lazarus سيئة السمعة، واستغلت فيها بدورها الثغرات في شن هجمات يوم الصفر. وفي هذه المرة، استخدمت المجموعة مبادئ الهندسة الاجتماعية لإقناع باحثين أمنيين بتنزيل ملف Visual Studio مخترق أو جذب الضحايا إلى مدونتها، وليتم بعدها تثبيت برمجية اختراق استغلال لثغرات في Chrome. وغالبًا ما كانت هذه المحاولات تدور حول هجمات يوم الصفر، ويبدو أنها كانت تستهدف سرقة الأبحاث الدائرة حول الثغرات الأمنية.
وحدثت الموجة الأولى في يناير والثانية في مارس، واقترنت هذه بموجة جديدة من الملفات الشخصية المزيفة على وسائل التواصل الاجتماعي وبشركة وهمية لخداع الضحايا المقصودين بطريقة فعالة.
