"روتكيت" مجهول يتحكم سرا بشبكات تابعة لمؤسسات في آسيا وإفريقيا
كشف باحثو كاسبرسكي النقاب عن عملية تُدعى TunnelSnake، وتتمثل بحملة تهديد متقدم مستمر واستهدفت كيانات دبلوماسية في آسيا وإفريقيا.
واستخدم المهاجمون في العملية برمجية "روتكيت" لم تكن معروفة سابقًا يطلق عليها اسم Moriya، وتتمتع بسلطة تحكّم شبه مطلقة بنظام التشغيل.
ومكّنت هذه البرمجية الجهات التخريبية الواقفة وراءها من اعتراض حركة البيانات في الشبكة وإخفاء الأوامر التخريبية الصادرة إلى المضيفين المصابين وقد أدّى ذلك إلى سيطرة المهاجمين سرًا على شبكات الكيانات المستهدفة لعدة أشهر.
وتُعدّ برمجيات "روتكيت" Rootkit، مجموعات من البرمجيات أو الأدوات البرمجية الخبيثة التي تمنح المهاجمين وصولًا سريًا غير محدود إلى جذور نظام حاسوبي ما وتشتهر برمجيات "روتكيت" بقدرتها على التخفي والتهرب بفضل اندماجها في نسيج نظام التشغيل.
وشرعت كاسبرسكي في التحقيق في الحملة المذكورة عندما تلقت مجموعة من التنبيهات من حلولها الأمنية تفيد بوجود أداة روتكيت فريدة داخل شبكات مستهدفةواتّصفت هذه الأداة البرمجية، التي سُمّيت Moriya، بالمراوغة بفضل تمتعها بسمتين اثنتين؛ فهي تعترض وتفحص باقات البيانات الشبكية أثناء نقلها من مساحة عنوان نواة النظام، وهي منطقة ذاكرة توجد فيها نواة نظام التشغيل، وحيث تُشغّل التعليمات البرمجية المميزة والموثوق بها فقط.
ثانيًا، لم تتواصل برمجية روتكيت مع أي خادم لطلب الأوامر، مثلما هو الحال عادة في معظم المنافذ الخلفية الشائعة، ولكنها استقبلت تلك الموجودة في باقات تحمل علامات مميزة، ممزوجة في الجزء الأكبر من حركة بيانات الشبكة التي دققت فيها البرمجية الخبيثة. وقد سمح ذلك لبرمجية روتكيت بتجنب الحاجة إلى بنية تحتية للقيادة والتحكم، ما أعاق التحليل وصعّب تتبع النشاط.
وجرى توظيف البرمجية Moriya في الغالب من خلال خوادم ويب ضعيفة أو مخترقة داخل الكيانات المستهدفة. وفي إحدى الحالات، أصاب المهاجمون خادمًا ببرمجية "ويب شيل" الخبيثة China Chopper التي تسمح بالتحكّم عن بُعد في الخادم المصاب. وتمّت عملية توظيف روتكيت Moriya باستخدام إمكانية الوصول المكتسبة عبر برمجية "ويب شيل" تلك.
مجموعات تخريبيه
وقال غيامباولو ديدولا الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن الخبراء استطاعوا، ربط عملية TunnelSnake بالمجموعات التخريبية المعروفة الناطقة بالصينية
قال مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي أن مواصلة الاستعدادات وتحسين الدفاعات في وجه الهجمات الموجهة، تدفع الجهات التخريبية إلى تغيير استراتيجيتها، قائلًا إن الخبراء يشهدون المزيد من العمليات السرية مثل TunnelSnake، حيث تتخذ الجهات التخريبية خطوات إضافية للبقاء بعيدًا عن أعين الرقابة لأطول مدة ممكنة، والاستثمار في مجموعاتها من الأدوات، ما يجعلها أكثر تعقيدا.
واستخدم المهاجمون في العملية برمجية "روتكيت" لم تكن معروفة سابقًا يطلق عليها اسم Moriya، وتتمتع بسلطة تحكّم شبه مطلقة بنظام التشغيل.
ومكّنت هذه البرمجية الجهات التخريبية الواقفة وراءها من اعتراض حركة البيانات في الشبكة وإخفاء الأوامر التخريبية الصادرة إلى المضيفين المصابين وقد أدّى ذلك إلى سيطرة المهاجمين سرًا على شبكات الكيانات المستهدفة لعدة أشهر.
وتُعدّ برمجيات "روتكيت" Rootkit، مجموعات من البرمجيات أو الأدوات البرمجية الخبيثة التي تمنح المهاجمين وصولًا سريًا غير محدود إلى جذور نظام حاسوبي ما وتشتهر برمجيات "روتكيت" بقدرتها على التخفي والتهرب بفضل اندماجها في نسيج نظام التشغيل.
وشرعت كاسبرسكي في التحقيق في الحملة المذكورة عندما تلقت مجموعة من التنبيهات من حلولها الأمنية تفيد بوجود أداة روتكيت فريدة داخل شبكات مستهدفةواتّصفت هذه الأداة البرمجية، التي سُمّيت Moriya، بالمراوغة بفضل تمتعها بسمتين اثنتين؛ فهي تعترض وتفحص باقات البيانات الشبكية أثناء نقلها من مساحة عنوان نواة النظام، وهي منطقة ذاكرة توجد فيها نواة نظام التشغيل، وحيث تُشغّل التعليمات البرمجية المميزة والموثوق بها فقط.
ثانيًا، لم تتواصل برمجية روتكيت مع أي خادم لطلب الأوامر، مثلما هو الحال عادة في معظم المنافذ الخلفية الشائعة، ولكنها استقبلت تلك الموجودة في باقات تحمل علامات مميزة، ممزوجة في الجزء الأكبر من حركة بيانات الشبكة التي دققت فيها البرمجية الخبيثة. وقد سمح ذلك لبرمجية روتكيت بتجنب الحاجة إلى بنية تحتية للقيادة والتحكم، ما أعاق التحليل وصعّب تتبع النشاط.
وجرى توظيف البرمجية Moriya في الغالب من خلال خوادم ويب ضعيفة أو مخترقة داخل الكيانات المستهدفة. وفي إحدى الحالات، أصاب المهاجمون خادمًا ببرمجية "ويب شيل" الخبيثة China Chopper التي تسمح بالتحكّم عن بُعد في الخادم المصاب. وتمّت عملية توظيف روتكيت Moriya باستخدام إمكانية الوصول المكتسبة عبر برمجية "ويب شيل" تلك.
مجموعات تخريبيه
وقال غيامباولو ديدولا الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن الخبراء استطاعوا، ربط عملية TunnelSnake بالمجموعات التخريبية المعروفة الناطقة بالصينية
قال مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي أن مواصلة الاستعدادات وتحسين الدفاعات في وجه الهجمات الموجهة، تدفع الجهات التخريبية إلى تغيير استراتيجيتها، قائلًا إن الخبراء يشهدون المزيد من العمليات السرية مثل TunnelSnake، حيث تتخذ الجهات التخريبية خطوات إضافية للبقاء بعيدًا عن أعين الرقابة لأطول مدة ممكنة، والاستثمار في مجموعاتها من الأدوات، ما يجعلها أكثر تعقيدا.
