كشف باحثو شركة كاسبرسكي عن طريقة جديدة وسهلة على أنظمة التشغيل للكشف عن برمجيات التجسس المتطورة التي تستهدف الأجهزة العاملة بنظام تشغيل iOS مثل Pegasus والتهديدات الجديدة الشبيهة بـ Pegasus مثل Reign وPredator، كما طوّروا أداة فحص ذاتي للمستخدمين.
طوّر فريق البحث والتحليل العالمي لدى كاسبرسكي (GReAT) طريقة سهلة لرصد مؤشرات الإصابة ببرمجيات التجسس المتطورة التي تستهدف نظام iOS مثل Pegasus وReign وPredator من خلال تحليل سجل Shutdown.log الذي يعد بقيّة جنائية غير مستكشفة سابقاً.
اكتشف خبراء الشركة أن الإصابة ببرمجية Pegasus تترك آثاراً في سجل الإيقاف غير المتوقع للنظام، Shutdown.log، المخزن في الأرشيف الذي تجمعه أداة sysdiagnose في أي جهاز محمول يعمل بنظام iOS. حيث يحتفظ هذا الأرشيف بالمعلومات من كل جلسة إيقاف وإعادة تشغيل النظام، مما يعني أن الحالات الشاذة المرتبطة ببرمجية Pegasus الخبيثة تظهر في السجل إذا قام مستخدم مصاب بإيقاف وإعادة تشغيل جهازه.
كانت من بين تلك الآثار المكتشفة عمليات «عنيدة» تعوق عمليات إعادة تشغيل النظام، لا سيما تلك المرتبطة ببرمجية Pegasus، هذا إلى جانب آثار للإصابة تم اكتشافها عبر ملاحظات مجتمع الأمن السيبراني.
عن هذا الموضوع، يقول ماهر ياموت، رئيس الباحثين الأمنيين في فريق البحث والتحليل العالمي لدى كاسبرسكي (GReAT): «أثبت تحليل ملفات التفريغ في أرشيف أداة sysdiag أنه طريقة بسيطة للغاية ولا تستهلك الكثير من الموارد، فهذا التحليل يعتمد على بقايا معتمدة على النظام لتحديد الإصابات المحتملة في هواتف iPhone. بعد رصد مؤشر للإصابة في هذا السجل وتأكيد الإصابة باستخدام أدوات تحقق من الأجهزة المحمولة (MVT) لمعالجة بقايا أخرى في نظام iOS، أصبح هذا السجل الآن جزءاً من نهج شامل للتحقيق في إصابة نظام iOS بالبرمجيات الخبيثة. وبما أننا تأكدنا من توافق هذا السلوك مع حالات الإصابة ببرمجية Pegasus الأخرى التي قمنا بتحليلها، فإننا نعتقد أنه سيكون موثوقاً بمثابة بقية جنائية لدعم تحليل الإصابة.»
عند تحليل سجل Shutdown.log في حالات الإصابة ببرمجية Pegasus، لاحظ خبراء كاسبرسكي مساراً شائعاً للإصابة هو «/private/var/db/»، مما يشبه مسارات تمت ملاحظتها في حالات الإصابة ببرمجيات خبيثة أخرى تستهدف نظام iOS مثل Reign وPredator. يشير باحثو الشركة إلى أن هذا السجل قد يساعد في رصد الإصابات المتعلقة بمجموعات البرمجيات الخبيثة هذه.
لتسهيل رصد مؤشرات الإصابة ببرمجيات التجسس، طور خبراء كاسبرسكي أداة فحص ذاتي للمستخدمين. تعمل النصوص المكتوبة بلغة Python3 في هذه الأداة على تسهيل استخراج تسجيلات Shutdown.log وتحليلها وتوزيعها. كما قام الخبراء بمشاركة الأداة مع العامة على موقع GitHub وهي متاحة لأنظمة تشغيل macOS، وويندوز، وLinux.
