اكتشف خبراء كاسبرسكي لاب مؤخراً سلسلة من الهجمات الموجهة الخفيّة التي تستخدم البرامج النظامية فقط: مثل برامج اختبار الاختراق المنتشرة على نطاق واسع، بالإضافة إلى إطار (PowerShell) لأتمتة المهام في برنامج «ويندوز» من دون إيداع أي ملفات خبيثة في القرص الصلب، بل إنها تختبئ وتتمركز في الذاكرة.
وهذا النهج الموحد يساعد المجرمين على تجنب اكتشافهم عن طريق تكنولوجيات (Whitelisting) وإرباك المحققين من خلال عدم ترك أثر لأي برمجيات أو ملحقات خبيثة للاستدلال بها.
ويبقى المهاجمون قابعين هناك لمدة طويلة حتى يتمكنوا من جمع معلومات كافية قبل أن تتم إزالة آثارهم من النظام عند أول عملية إعادة تشغيل لجهاز الضحية.
في نهاية عام 2016، تواصلت بنوك من رابطة الدول المستقلة مع خبراء كاسبرسكي لاب لتبلغهم بأنها قد وجدت برنامج اختبار الاختراق المعروف باسم (Meterpreter) والذي غالباً ما يستخدم حالياً لأغراض خبيثة، في ذاكرة خوادمها، مع أنه من غير المفترض أن يكون هناك.
وتوصلت كاسبرسكي لاب إلى أن شيفرة (Meterpreter) كانت مدمجة مع عدد من نسخ (PowerShell) وغيرها من الملحقات. وتم تطوير الأدوات الموحدة لتتحول إلى شيفرة خبيثة قادرة على التخفي في كواليس الذاكرة ولتقوم خلسة بجمع كلمات المرور من إداريي النظام، بحيث يمكن للمهاجمين التحكم عن بعد بأنظمة الضحية. ويبدو أن الهدف النهائي من تلك الهجمات هو اختراق العمليات المالية.
وقد صرحت كاسبرسكي لاب منذ ذلك الحين أن هذه الهجمات تحدث على نطاق واسع: حيث ضربت أكثر من 140 من شبكات الشركات ضمن نطاق من قطاعات الأعمال، وتركزت مواقع معظم الضحايا في الولايات المتحدة الأميركية وفرنسا والإكوادور وكينيا والمملكة المتحدة وروسيا.
سيرجي غولوفانوف، الباحث الأمني الرئيسي في كاسبرسكي لاب يقول: «إن إصرار المهاجمين على إخفاء نشاطهم، وجعل عملية التتبع والاستجابة للحالات الطارئة أكثر صعوبة، هو ما يفسر أحدث اتجاهات البرمجيات الخبيثة المضادة لتقنيات التحليل الجنائي والمرتكزة في الذاكرة. وهذا ما يجعل الاعتماد على الأدلة الجنائية المجمّعة من الذاكرة غاية في الأهمية لتحليل البرمجية الخبيثة ومهامها التخريبية. وفي هذه الحالات المحددة، أظهر المهاجمون، من خلال استخدام التقنيات كافة المتاحة والمضادة للأدلة الجنائية، كيف أنه لا حاجة إلى استخدام أي ملفات خبيثة لتسريب بيانات من أي شبكة بشكل ناجح، وكيف أن استخدام المصادر الخدمية النظامية والمتاحة للجميع يجعل تحديد الجهات التي تقف وراء تلك الهجمات أمراً شبه مستحيل».
ما يزال المهاجمون في أوج نشاطهم، ولذلك من المهم أن نعرف أن الكشف عن هذا النوع من الهجمات لن يكون ممكناً إلا في ذاكرة الوصول العشوائي والشبكة وسجل المعالج، وبأنه، في مثل هذه الحالات، لن يكون لاستخدام أنظمة (Yara) الصارمة القائمة على فحص الملفات الخبيثة أي فائدة تذكر.
عدد اليوم
