الكشف عن حملة تجسس رقمي في الشرق الأوسط استمرت 6 سنوات
كشفت خبراء أمن المعلومات النقاب عن حملة تجسس رقمي استمرت ٥ سنوات بالشرق الأوسط وخاصة الناطقين بالفارسية في إيران ونشطت العصابة التخريبية التي تقف وراء الحملة، والتي أطلق عليها اسم (القط الشرس)، منذ العام 2015 على الأقلّ وعملت على إيصال برمجية خبيثة دُعيت MarkiRAT إلى المستهدفين لتسرق بياناتهم وتنفّذ أوامر على أجهزتهم ولهذه البرمجية نسخ يمكنها اختراق متصفح Chrome وتطبيق Telegram لدى المستخدم الضحية وفي مارس من هذا العام، جرى تحميل مستند إغراء مشبوه إلى موقع VirusTotal حيث نُشر على الملأ من خلال تغريدة على Twitter وقرر الباحثو عند ملاحظتها، إجراء مزيد من التحقيق حول المسألة، ليجدوا حملة مراقبة استمرت 6 سنوات ضد أفراد ناطقين بالفارسية في إيران وأطلق الباحثون على الجهة التي تقف وراء الحملة اسم "القط الشرس".
مستندات مفخخة
وظلّت هذه العصابة ناشطة منذ العام 2015 على الأقل، وتستهدف ضحاياها بمستندات مفخخة تحتوي على وحدات ماكرو خبيثة. وتتنكر هذه المستندات في هيئة صور أو مقاطع فيديو تصوّر أعمالًا ضد النظام الإيراني كاحتجاجات أو أنشطة من معسكرات المقاومة. وتحاول الرسائل المرفقة بتلك مستندات إقناع المستهدفين بفتح الصور أو مقاطع الفيديو المرفقة، فإذا فعلوا يجري إسقاط الملفات التنفيذية الخبيثة في النظام المستهدف، في أثناء عرض المحتوى المرئي للملف على الشاشة.
وتُسقط الملفات التنفيذية الحمولة الخبيثة الرئيسة، وهي عبارة عن برمجية خبيثة مصممة خصيصًا تُعرف باسم MarkiRAT، والتي تشغّل، بمجرد تنزيلها إلى النظام المصاب، برمجية keylogger لتسجيل كل محتوى الحافظة وجميع الضغطات على لوحة المفاتيح، كما تتيح للمهاجمين إمكانية تنزيل الملفات وتحميلها وتمنحهم القدرة على تنفيذ أوامر مختلفة على الجهاز المصاب.
وتمكن الباحثون من اكتشاف العديد من النسخ المتغيرة من MarkiRAT؛ فوجدوا لإحداها القدرة على اعتراض تشغيل تطبيق Telegram وإطلاق برمجية خبيثة معه، وهي تقوم بذلك عن طريق البحث في الجهاز المصاب عن مستودع البيانات الداخلي الخاص بالتطبيق، وفي حال العثور عليه، تنسخ البرمجية نفسها فيه ثم تعدِّل الاختصار الذي يقوم بتشغيل Telegram لتنفيذ هذا المستودع المعدل مع التطبيق نفسه وثمة نسخة أخرى تعدّل اختصار متصفح Chrome في جهاز الضحية بطريقة مشابهة، لتصبح النتيجة تشغيل تطبيق Chrome لكن مع تنفيذ حمولة MarkiRAT بجانبه في كل مرة يطلق فيها المستخدم هذا التطبيق.
وهناك نسخة ثالثة هي نسخة ذات منفذ خلفي من Psiphon؛ أداة VPN مفتوحة المصدر التي تُستخدم غالبًا لتجاوز الرقابة على الإنترنت. ووجدت كاسبرسكي أيضًا دليلًا على أن الجهات التخريبية طوّرت عمليات زرع خبيثة تستهدف أجهزة Android، على الرغم من أن الباحثين لم يتمكنوا من الحصول على أية عينات محدّدة لتحليلها.
ورأى مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، أن من المثير للاهتمام إنشاء المجموعة التخريبية نسخًا مخصصة لمتصفح Chrome وتطبيق Telegram، بالرغم من أن البرمجية الخبيثة MarkiRAT ومجموعة الأدوات المصاحبة لها "ليست شديدة التعقيد"
وأضاف بول راسكاغنيريس الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي: "وجدنا أيضًا نسخة متغيرة عادية أكثر حداثة تستخدم "أداة تنزيل" بدلًا من احتوائها على حمولة تخريبية مضمنة، ما يشير إلى أن المجموعة لا تزال نشطة للغاية".
وقالت الباحثه الأمنيه الأول وعضو فريق البحث والتحليل العالمي، أسيل كيال، إن المنهجية المتبعة في استهداف ضحايا حملة "القط الشرس" وإجراءاتها وأساليبها وتكتيكاتها "مماثلة للجهات التخريبية الأخرى الناشطة في المنطقة، مثل Local Kitten وRampant Kitten".
مستندات مفخخة
وظلّت هذه العصابة ناشطة منذ العام 2015 على الأقل، وتستهدف ضحاياها بمستندات مفخخة تحتوي على وحدات ماكرو خبيثة. وتتنكر هذه المستندات في هيئة صور أو مقاطع فيديو تصوّر أعمالًا ضد النظام الإيراني كاحتجاجات أو أنشطة من معسكرات المقاومة. وتحاول الرسائل المرفقة بتلك مستندات إقناع المستهدفين بفتح الصور أو مقاطع الفيديو المرفقة، فإذا فعلوا يجري إسقاط الملفات التنفيذية الخبيثة في النظام المستهدف، في أثناء عرض المحتوى المرئي للملف على الشاشة.
وتُسقط الملفات التنفيذية الحمولة الخبيثة الرئيسة، وهي عبارة عن برمجية خبيثة مصممة خصيصًا تُعرف باسم MarkiRAT، والتي تشغّل، بمجرد تنزيلها إلى النظام المصاب، برمجية keylogger لتسجيل كل محتوى الحافظة وجميع الضغطات على لوحة المفاتيح، كما تتيح للمهاجمين إمكانية تنزيل الملفات وتحميلها وتمنحهم القدرة على تنفيذ أوامر مختلفة على الجهاز المصاب.
وتمكن الباحثون من اكتشاف العديد من النسخ المتغيرة من MarkiRAT؛ فوجدوا لإحداها القدرة على اعتراض تشغيل تطبيق Telegram وإطلاق برمجية خبيثة معه، وهي تقوم بذلك عن طريق البحث في الجهاز المصاب عن مستودع البيانات الداخلي الخاص بالتطبيق، وفي حال العثور عليه، تنسخ البرمجية نفسها فيه ثم تعدِّل الاختصار الذي يقوم بتشغيل Telegram لتنفيذ هذا المستودع المعدل مع التطبيق نفسه وثمة نسخة أخرى تعدّل اختصار متصفح Chrome في جهاز الضحية بطريقة مشابهة، لتصبح النتيجة تشغيل تطبيق Chrome لكن مع تنفيذ حمولة MarkiRAT بجانبه في كل مرة يطلق فيها المستخدم هذا التطبيق.
وهناك نسخة ثالثة هي نسخة ذات منفذ خلفي من Psiphon؛ أداة VPN مفتوحة المصدر التي تُستخدم غالبًا لتجاوز الرقابة على الإنترنت. ووجدت كاسبرسكي أيضًا دليلًا على أن الجهات التخريبية طوّرت عمليات زرع خبيثة تستهدف أجهزة Android، على الرغم من أن الباحثين لم يتمكنوا من الحصول على أية عينات محدّدة لتحليلها.
ورأى مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، أن من المثير للاهتمام إنشاء المجموعة التخريبية نسخًا مخصصة لمتصفح Chrome وتطبيق Telegram، بالرغم من أن البرمجية الخبيثة MarkiRAT ومجموعة الأدوات المصاحبة لها "ليست شديدة التعقيد"
وأضاف بول راسكاغنيريس الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي: "وجدنا أيضًا نسخة متغيرة عادية أكثر حداثة تستخدم "أداة تنزيل" بدلًا من احتوائها على حمولة تخريبية مضمنة، ما يشير إلى أن المجموعة لا تزال نشطة للغاية".
وقالت الباحثه الأمنيه الأول وعضو فريق البحث والتحليل العالمي، أسيل كيال، إن المنهجية المتبعة في استهداف ضحايا حملة "القط الشرس" وإجراءاتها وأساليبها وتكتيكاتها "مماثلة للجهات التخريبية الأخرى الناشطة في المنطقة، مثل Local Kitten وRampant Kitten".
