أعلن فريق البحوث بكاسبرسكي لاب اكتشاف ما يسمى بـ”القناع” وهو تهديد مطور باللغة الاسبانية شارك في عمليات التجسس الالكتروني حول العالم منذ 2007 على أقل تقدير. ما يميز القناع هو درجة تعقيد الأدوات المستخدمة من قبل المهاجمين. وتتضمن هذه المجموعة من الأدوات برمجيات خبيثة معقدة للغاية، أدوات التمويه روبوتات الانترنت البرمجية، نسخ من MAC OS X وLinux ونسخ من Android وiPad/iPhone (iOS).
ويستهدف “القناع” مؤسسات حكومية، بعثات دبلوماسية وسفارات، شركات تعمل في مجال الطاقة، النفط والغاز، مؤسسات بحثية وناشطين. وشمل البرنامج الخبيث 31 بلدا – من الشرق الأوسط إلى أوروبا وأفريقيا والأمريكيتين.
ويكمن الهدف الرئيسي للمهاجمين في جمع البيانات الحساسة من الأنظمة المصابة، ومن بينها وثائق مكتبية، مفاتيح التشفير المختلفة، إعدادات الشبكة الافتراضية الخصوصية، بيانات الدخول إلى خوادم SSH، ملفات RDP (المستخدمة من قبل عميل سطح المكتب البعيد لفتح الاتصال بالحاسوب تلقائيا).
وقال كوستين رايو، مدير فريق البحث والتحليل العالمي بكاسبرسكي لاب: “هناك عدة أسباب تجعلنا نعتقد أن هذه الحملة ممولة من قبل بلد ما. أولا، لمسنا مستوى عاليا جدا من الحرفية في الإجراءات العملياتية للمجموعة التي تقف وراء الهجمة ومنها إدارة البنية التحتية، إغلاق العملية، تجنب الأعين الفضولية بواسطة قواعد الوصول واستخدام المحو بدلا من حذف ملفات الدخول. وهذه التشكيلة تجعل التهديد يتفوق على Duqu بدرجة تعقيده، ما يجعله أكثر التهديدات تطورا حتى اللحظة”.
ولاحظ خبراء كاسبرسكي لاب تهديد Careto العام الماضي لدى تحليلهم لمحاولات استغلال ثغرة في منتج الشركة تم إصلاحها قبل 5 سنوات. وقد وفر البرنامج المستغل للبرمجية الخبيثة إمكانية تجنب الكشف. وبالطبع أثار هذا الوضع اهتمام الخبراء وبدأت بذلك التحريات.
بالنسبة للضحايا، فإن الإصابة ببرنامج Careto قد تكون كارثية. يتسلل هذا البرنامج إلى قنوات الاتصال ويقوم بجمع أكثر البيانات أهمية من حاسوب الضحية. ويصعب الكشف عن هذا البرنامج نظرا إلى قدراته التسللية، الوظائف المدمجمة ووحدات التجسس الالكتروني الإضافية التي يحتوي عليها.
النتائج الأساسية:
●تبين أن المهاجمين يتحدثون الاسبانية وهذا قلما يحدث في هجمات التهديدات المتطورة المستمرة
●كانت الحملة مستمرة خلال 5 سنوات على الأقل حتى يناير 2014 (بعض من نماذج Careto أنشئت في 2007). خلال تحريات كاسبرسكي لاب، تم إغلاق خوادم الأوامر والمراقبة.
●وجدنا أكثر من 380 ضحية فريدة بين 1000 عنوان IP وأكثر. وسجلت الإصابات في الجزائر، الأرجنتين، بلجيكا، بوليفيا، البرازيل، الصين، كولومبيا، كوستاريكا، كوبا، مصر ، فرنسا، ألمانية، جبل طارق، غواتيمالا، إيران، العراق، ليبيا، ماليزيا، المكسيك، المغرب، النرويج، باكستان، بولندا، جنوب أفريقيا، إسبانيا، سويسرا، تونس، تركيا، المملكة المتحدة، الولايات المتحدة، فنزويلا.
●إن تعقيد وشمولية الأدوات المستخدمة من قبل المهاجمين يجعل التجسس الالكتروني عملية من نوع خاص: فهي تشمل استخدام برامج مستغلة من طراز رفيع، برامج خبيثة معقدة للغاية، أدوات التمويه (rootkit)، روبوتاتالانترنت البرمجية، نسخ من MAC OS X وLinux ونسخ من Android وiPad/iPhone (iOS). وشن “القناع” أيضا هجمة على منتجات كاسبرسكي لاب.
●تم استخدام برنامج مستغل واحد على الأقل لـAdobe Flash Player (CVE-2012-0773). وقد صمم خصيصا لنسخ Flash Player قبل 10.3 و11.2. واكتشف البرنامج المستغل في البداية من قبل VUPEN
واستخدم في عام 2012 لتجنب “علبة الرمل” Google Chrome sandbox والفوز في مسابقة CanSecWest Pwn2Own.
أساليب الإصابة والوظائف
وفقا لتقرير كاسبرسكي لاب التحليلي، فإن حملة القناع تعتمد على التصيد المستهدف بواسطة الرسائل الالكترونية التي تحتوي على روابط مؤدية إلى مواقع خبيثة. ويتضمن الموقع الخبيث عددا من البرامج المستغلة المصممة لإصابة الزائرين انطلاقا من إعدادات النظام في حواسيبهم. وبعد نجاح عملية الإصابة، يقوم الموقع الخبيث إلى تحويل المستخدم إلى موقع غير خبيث مذكور في الرسالة الالكترونية وقد يكون مقطع فيديو من موقع Youtube أو موقع إخباري.
والجدير بالذكر أن مواقع البرامج المستغلة لا تقوم بإصابة الزائرين تلقائيا؛ بدلا من ذلك، يحتفظ المهاجمون بالبرمجيات المستغلة في حافظات مخصصة على الموقع والتي لا يشار إليها بروابط مباشرة، باستثناء الرسائل الالكترونية الخبيثة. أحيانا، يستخدم المهاجمون نطاقات فرعية على المواقع المستغلة لتجلعها تبدو أكثر واقعية. وتحاكي هذه النطاقات الفرعية أقسام مواقع الصحف الأساسية في إسبانيا إلى جانب الصحف الدولية الأخرى على سبيل المثال “The Guardian” و”Washington Post”.
ويتوغل البرنامج الخبيث إلى جميع قنوات الاتصال وتجمع البيانات الأكثر أهمية من النظام المصاب. ويعتبر الكشف امرا صعبا للغاية نظرا لقدرات البرنامج الخبيث الاحتيالية. ويعد Careto نظاما مكونا من وحدات عدة؛ إنه يدعم ملفات الوحدات الإضافية وملفات الإعدادات ما يسمح لها بممارسة عدد كبير من الوظائف. بالإضافة إلى الوظائف المدمجة، يستطيع مشغلو Careto تحميل وحدات إضافية وتنفيذ مختلف المهام الخبيثة.
وتستطيع منتجات كاسبرسكي لاب الكشف عن جميع نسخ البرامج الخبيثة The Mask/Careto وإزالتها.
