خلال دراسة تحليلية لإحدى الهجمات التي استهدفت واحدة من مؤسسات الاتصالات في منطقة الشرق الأوسط، اكتشفت شركة بالو ألتو نتوركس أداة بدت على صلة بمجموعة التجسس OilRig، وتعرف هذه الأداة باسم RDAT، وهي أداة تستخدم رسائل البريد الإلكتروني كوسيط للسيطرة والتحكم C2 والتي تعتمد على أسلوب إخفاء الأوامر والبيانات ضمن صور بصيغة bitmap مرفقة برسائل البريد الإلكتروني
وقد نشرت شركة سيمانتك في مايو من العام 2020 دراسة حول مجموعة تدعى Greenbup تستهدف مؤسسات الاتصالات في منطقة جنوب شرق آسيا، تضمنت تطورات الهجمات الإلكترونية حتى أبريل من العام 2020. ولقد لاحظت بالو ألتو نتوركس سلوكا وأدوات مشابهة استهدفت كذلك مؤسسات الاتصالات في منطقة الشرق الأوسط خلال أبريل من العام الجاري، وتحديدا باستخدام أدوات مثل Mimikatz و Bitvise وملفات تحميل أوامر PowerShell إضافة إلى عدد من ملفات الاختراق الضارة والتي يتم رصدها تحت مظلة أدوات RDAT.
وقد سبق للخبراء الأمنيين لدى بالو ألتو نتوركس أن ربطوا ما بين مجموعة Greenbug ومجموعة OilRig التي سبق الكشف عن تهديداتها في العام 2015. وقد تمّ استخدام أدوات RDAT خلال عمليات مجموعة OilRig أول مرّة في العام 2017، إلا أن شركة بالو ألتو نتوركس استطاعت الكشف عن عدة أدوات ذات صلة كانت قد استخدمت في العام 2018 لكنها استخدمت قناة مختلفة لأوامر السيطرة والتحكم. وعند البحث في هذه العينة الجديدة، تبيّن أن رسائل البريد الإلكتروني التي تعتمد قناة C2 للسيطرة والتحكم استُخدمت هذه المرة بالإضافة إلى محاولة إخفاء المعلومات، مما يزيد من صعوبة الكشف عن طبيعة هذه البيانات.
وقد عملت بالو ألتو نتوركس على تتبع أدوات RDAT منذ العام 2017، حين رصدت أول حادثة لتحميل الأداة عبر منصة webshell لأوامر تحكم ذات وجه مزدوج سبق الحديث عنها في مدونة “اضطرابات النفط” والمنشورة بتاريخ 26 سبتمبر 2017. وقد استمر العمل على تطوير أدوات RDAT منذ ذلك الحين، وهو ما أثمر هذه الإصدارات المتباينة من الأداة التي تعمد على بروتوكولات الإنترنت وأنظمة خادم أسماء النطاق DNS لنشر أوامر التحكم C2. وفي العام 2018، نجحت مجموعة تطوير هذه الأداة في إضافة إمكانية استخدام خدمات البريد الإلكتروني EWS وذلك لإرسال واستقبال أوامر التحكم عبر رسائل البريد الإلكتروني. وتبدو رسائل البريد الإلكتروني المحملة بأوامر السيطرة أسلوبا مبتكرا، خاصة وأنها تعتمد على أسلوب إخفاء المعلومات والأوامر ضمن ملفات صور مرفقة بصيغة BMP. ومن خلال الجمع ما بين استخدام رسائل البريد الإلكتروني وإخفاء الأوامر ضمن ملفات صور مرفقة لتمرير البيانات إلى قنوات التحكم C2 فإننا أمام خطر تهديدات أنشطة سيكون من الصعب التعرّف عليها، مما يعزز من فرصها في تخطي تدابير الحماية المتبّعة.
