بالو ألتو نتوركس: هجمات إلكترونية جديدة تستهدف الهيئات الحكومية ومزوّدي الخدمات التقنية في الشرق الأوسط

جهينة نيوز -

رصدت بالو ألتو نتوركس، الشركة المتخصصة في تطوير الجيل التالي الحلول الأمنية، هجمات جديدة ومتعدّدة لمجموعة مجموعة أويلريغ OilRig المتخصصة في الجرائم الإلكترونية في الفترة ما بين شهري مايو ويونيو 2018 والتي بدت وكأنها تصدر من هيئة حكومية تقع في منطقة الشرق الأوسط. وبناءً على مجموعة من تكتيكات أويلريغ التي تم رصدها سابقاً، من المحتمل جداً أن تكون مجموعة التهديد قد استفادت من بيانات الاعتماد والحسابات التي قامت باختراقها، لاستخدام الهيئة الحكومية المستهدفة كمنصة لإطلاق هجماتها الحقيقية. 

 

استهدفت هذه الهجمات إحدى الهيئات الحكومية، بالإضافة إلى شركة متخصصة في تزويد الخدمات التكنولوجية، وكلاهما في نفس البلد. فضلاً عن ذلك، عمدت مجموعة إويلريغ على إظهار الهجمات ضد هذه الأهداف على أنها صادرة عن هيئات أخرى من نفس البلد. لكن المهاجمين الفعليين المنفذين للهجمات كانوا خارج البلد بالطبع، وقد استخدموا على الأرجح بيانات اعتماد مسروقة من المؤسسة التي حولوها إلى وسيط لتنفيذ هجماتهم. 

 

وحمّلت المجموعة خلال هجومها برمجية تسلل من الباب الخلفي backdoor، تحتوي على نص برمجي ضار PowerShell، تُدعى QUADAGENT، وقد نسبت كل من شركة كليرسكاي سايبر سكيورتي و فايرآي هذه البرمجية الخبيثة إلى مجموعة أويلريغ. وقد تمكنا أيضاً، من خلال تحليلاتنا الخاصة، من تأكيد إسناد هذه البرمجية إلى مجموعة أويلريغ وذلك عن طريق فحص أدوات وأساليب محددة تم استخدامها من قبل مجموعة أويلريغ في السابق، بالإضافة إلى فحص التكتيكات التي أعيد استخدامها في هجمات سابقة أيضاً. إن استخدام برمجيات التسلل من الباب الخلفي backdoors والقائمة عن البرامج النصية الضارة هي طريقة شائعة تستخدمها مجموعة أويلريغ حسب الهجمات التي قمنا بتوثيقها في وقت سابق. لكن ضم هذه النصوص مع بعضها في ملف واحد قابل للتنفيذ PE يعتبر تكتيكاً جديداً لم نشهد مجموعة أويلريغ تقوم به بشكل متكرر في السابق. ويمكن الحصول على التحليل التفصيلي لبرمجية QUADAGENT وعلاقتها بمجموعة أويلريغ من خلال الملحق في نهاية هذه المدونة. البرمجية QUADAGENT هي البرمجية الثانية عشرة التي تم تصميمها حسب الطلب، وقد قامت الوحدة 42 بتوثيق استخدام مجموعة أويلريغ لهذه البرمجية في هجماتها.

 

ولاتزال مجموعة أويلريغ OilRig المتخصصة في الجرائم الإلكترونية مستمرة في تغيير تكتيكاتها وتكييفها، بالإضافة إلى قيامها بتعزيز مجموعة الأدوات التي تستخدمها وذلك من خلال إضافة أدوات جديدة ومطوّرة حديثاً. مجموعة أويلريغ، والتي تسمى أيضاً بـ APT34 أو Helix Kitten، هي عبارة عن مجموعة تهديد إلكترونية متخصصة بعمليات التجسس، تنشط في منطقة الشرق الأوسط في المقام الأول. وقد اكتشفت بالو ألتو نتوركس هذه المجموعة لأول مرة في منتصف عام 2016 على الرغم من أنها قد تكون بدأت أنشطتها التجسسية قبل ذلك التاريخ. وقد أظهر أعضاء هذه المجموعة أنفسهم على أنهم خصوم لا يُستهان بهم، يعملون بشكل متواصل، وبوتيرة مستمرة، ولا يظهرون أية بوادر لإبطاء هجماتهم. وبمقارنة سلوكياتها السابقة مع الحوادث والهجمات الحالية، تبين أن عمليات مجموعة أويلريغ مستمرة، ومن المرجح أن تتسارع بشكل أكبر في المستقبل القريب.

 

وبهذه المناسبة، قال براين لي، المحلل المتخصص في استقصاء التهديدات الإلكترونية لدى بالو ألتو نتوركس: "ماتزال مجموعة أويلريغ متواجدة بقوة كمجموعة تهديد تنشط باستمرار في منطقة الشرق الأوسط. وعلى الرغم من أن تقنيات هذه المجموعة التي تستخدمها بسيطة إلى حد ما، إلا أن الأدوات المختلفة التي نعتبرها جزء من ترسانتها تكشف عن تطور واسع تشهده هذه المجموعة. ومثالاً على ذلك، قامت المجموعة بإظهار سلوك نموذجي تتبعه عادة مجموعات التهديد الأخرى، إلا أنها أعادت استخدام الأداة ذاتها في هجمات متعددة، لكن كان لكل هجمة تعديلاتها الخاصة من خلال تغيير البنية التحتية أو إضافة مزيد من مستويات التضليل، وإعادة تجميع الأدوات بحيث تظهر كل عينة مختلفة بدرجة كافية لتجاوز برامج الحماية الأمنية. إحدى السمات الأساسية التي يجب تذكرها دوماً عندما يتعلق الأمر بمثل مجموعات التهديد هذه، هي أنها دوماً تتبع المسارات الدفاعية الأقل مقاومة في هجماتها، طالما باستطاعتها تنفيذ مهمتها في نهاية الأمر".

 

وتوفر شركة بالو ألتو نتوركس الحماية لعملائها من الهجمات الجديدة عبر الطرق التالية:

تم تصنيف برمجية QUADAGENT على أنها ضارة من خلال خدمة تحليل التهديدات WildFire تم تصنيف قنوات سيرفرات الأوامر والتحكم C2 التابعة لبرمجية QUADAGENT على أنها ضارة يمكن لعملاء AutoFocus تتبع برمجية QUADAGENT الخبيثة من خلال العلامة ذات الصلة

 

-انتهى-

نبذة عن شركة بالو ألتو نتوركس

تعتبر بالو ألتو نتوركس الشركة الرائدة عالميا في مجال الأمن الإلكتروني والتي لطالما اشتهرت برفع المعايير الأمنية إلى مستويات غير مسبوقة. وتتمثل رسالة الشركة في توفير الحماية في العصر الرقمي الذي نعيشه من خلال إفساد الهجمات الإلكترونية، مما منح الشركة مزايا أهّلتها لتمكين عشرات الآلاف من المؤسسات للعمل بأمان مع عملائها. وتعزّز منصة بالو ألتو نتوركس الرائدة للعمليات الأمنية مسيرة التحول الرقمي التي تشهدها المؤسسات عبر الابتكارات المستمرة التي توفر أحدث ما تم التوصل إليه في عالم الأمن الإلكتروني والأتمتة وتحليل البيانات. وتوفر بالو ألتو نتوركس حلولا مبتكرة ذات فاعلية فائقة للأمن الإلكتروني، سواء عبر السحاب أو الشبكات أو الأجهزة الجوالة، وذلك من خلال توفير منصة عمل حقيقية وتعزيز الشراكات مع  صنّاع التغيير الذين تتوافق رؤيتهم مع رؤية بالو ألتو نتوركس. لمعرفة المزيد، يرجى زيارة الموقع الالكتروني: www.paloaltonetworks.com.