بالو ألتو نتوركس: هجمات إلكترونية جديدة تستهدف الهيئات الحكومية في المنطقة

بالو ألتو نتوركس: هجمات إلكترونية جديدة تستهدف الهيئات الحكومية في المنطقة

كتب ممد لطفي:
رصدت بالو ألتو نتوركس، الشركة المتخصصة في تطوير الجيل التالي الحلول الأمنية، هجمات جديدة ومتعدّدة لمجموعة مجموعة أويلريغ OilRig المتخصصة في الجرائم الإلكترونية في الفترة ما بين شهري مايو ويونيو 2018 والتي بدت وكأنها تصدر من هيئة حكومية تقع في منطقة الشرق الأوسط. وبناءً على مجموعة من تكتيكات أويلريغ التي تم رصدها سابقاً، من المحتمل جداً أن تكون مجموعة التهديد قد استفادت من بيانات الاعتماد والحسابات التي قامت باختراقها، لاستخدام الهيئة الحكومية المستهدفة كمنصة لإطلاق هجماتها الحقيقية.

استهدفت هذه الهجمات إحدى الهيئات الحكومية، بالإضافة إلى شركة متخصصة في تزويد الخدمات التكنولوجية، وكلاهما في نفس البلد. فضلاً عن ذلك، عمدت مجموعة إويلريغ على إظهار الهجمات ضد هذه الأهداف على أنها صادرة عن هيئات أخرى من نفس البلد. لكن المهاجمين الفعليين المنفذين للهجمات كانوا خارج البلد بالطبع، وقد استخدموا على الأرجح بيانات اعتماد مسروقة من المؤسسة التي حولوها إلى وسيط لتنفيذ هجماتهم.

وحمّلت المجموعة خلال هجومها برمجية تسلل من الباب الخلفي backdoor، تحتوي على نص برمجي ضار PowerShell، تُدعى QUADAGENT، وقد نسبت كل من شركة كليرسكاي سايبر سكيورتي و فايرآي هذه البرمجية الخبيثة إلى مجموعة أويلريغ. وقد تمكنا أيضاً، من خلال تحليلاتنا الخاصة، من تأكيد إسناد هذه البرمجية إلى مجموعة أويلريغ وذلك عن طريق فحص أدوات وأساليب محددة تم استخدامها من قبل مجموعة أويلريغ في السابق، بالإضافة إلى فحص التكتيكات التي أعيد استخدامها في هجمات سابقة أيضاً. إن استخدام برمجيات التسلل من الباب الخلفي backdoors والقائمة عن البرامج النصية الضارة هي طريقة شائعة تستخدمها مجموعة أويلريغ حسب الهجمات التي قمنا بتوثيقها في وقت سابق. لكن ضم هذه النصوص مع بعضها في ملف واحد قابل للتنفيذ PE يعتبر تكتيكاً جديداً لم نشهد مجموعة أويلريج تقوم به بشكل متكرر في السابق.