اعلنت شركة كاسبرسكي لاب عن مشاركتها في عملية Operation Blockbuster بالتعاون مع Novetta وشركاء آخرين في القطاع.
وتهدف العملية إلى تعطيل نشاط عصابة “لازاروس” – وهي مجموعة من البرمجيات الخبيثة المسؤولة عن شن هجمات لتدمير البيانات والقيام بعمليات التجسس الإلكتروني التقليدية التي تستهدف شركات متعددة حول العالم ومن ضمنها السعودية. ويعتقد أن المهاجمين هم من كانوا يقفون وراء الهجوم على شركة “سوني بيكتشرز انترتينمنت” في العام 2014، وعملية DarkSeoulالتي استهدفت شركات وسائل الإعلام والمؤسسات المالية في العام 2013.
بعد الهجوم المدمر الذي استهدف شركة الانتاج السينمائي المعروفة “سوني بيكتشرز انترتينمنت” في العام 2014، بدأ فريق البحث والتحليل العالمي بكاسبرسكي لاب التحقيق في عينات من البرمجية الخبيثة “ديستوفر” التي اشتهرت بهذا الاسم المستخدم في الهجوم. وقاد ذلك إلىمزيد من الأبحاث الموسعة في مجموعة من الحملات الخبيثة ذات الصلة بالتجسس والتخريب الإلكتروني التي استهدفت المؤسسات المالية ومحطات البث الإعلامي وشركات التصنيع وغيرها.
وبمقارنة الخصائص المشتركة بين عائلات البرمجيات الخبيثة المختلفة، تمكن خبراء كاسبرسكي لاب من أن يجمعوا معاً نتائج تحليل لعشرات من الهجمات المعزولة وخلصوا في النهاية إلى أن جميع تلك الهجمات تعود إلى عامل تهديد واحد فقط، وذلك بحسب ما أكده المشاركون الآخرون في عملية Operation Blockbuster من خلال تحليلاتهم الخاصة.
وتبين أن عصابة “لازاروس” الإلكترونية كانت تنشط منذ سنوات عديدة قبل وقوع حادثة الهجوم على “سوني بيكتشرز انترتينمنت”، ويبدو بأنها لاتزال نشطة حتى الآن. وقد أكدت أبحاث كاسبرسكي لاب وغيرها من تحليلات المشاركين في عملية Operation Blockbuster أن هناك علاقة بين البرمجية الخبيثة المستخدمة في حملات مختلفة، مثل حملة Operation DarkSeoul الموجهة ضد البنوك وشركات البث الإعلامي، وكذلك حملة Operation Troy الموجهة ضد القوات المسلحة في كوريا الجنوبية وحادثة “سوني بيكتشرز”.
وأثناء التحقيق، تبادل باحثوا كاسبرسكي لاب النتائج الأولية مع نظرائهم من شركة AlienVault. وفي نهاية المطاف، قرر الباحثون من كلا الشركتين توحيد جهودهم لإجراء تحقيق مشترك. وفي الوقت ذاته، كان التحقيق في نشاط عصابة “لازاروس” الإلكترونية يجري على قدم وساق من قبل شركات أخرى عديدة بمشاركة مختصين في الشؤون الأمنية.
وأطلقت إحدى هذه الشركات وهي Novetta مبادرة تهدف إلى نشر معلومات استخباراتية شاملة وقابلة للتنفيد حول نشاط عصابة “لازاروس” الإلكترونية.
وفي إطار عمليةOperation Blockbuster، تمكنت كاسبرسكي لاب اليوم بالتعاون مع Novetta وAlienVault Labs وغيرها من الشركاء في القطاع من نشر نتائجها خدمة لمصلحة شريحة أوسع من الجمهور.
ومن خلال تحليل عينات متعددة من البرامج الخبيثة التي تم رصدها في حالات اختراق أمني إلكتروني مختلفة وإنشاء قواعد تتبع خاصة، تمكنت كاسبرسكي لاب وAlienVault Labs وشركات أخرى متخصصة مشاركة في عملية Operation Blockbuster من التعرف على عدد من الهجمات التي شنتها عصابة “لازاروس” الإلكترونية.
وتم التوصل إلى العلاقة بين العينات المتعددة من الهجمات الناشئة عن عصابة واحدة أثناء تحليل الأساليب المستخدمة من قبل العصابة الإلكترونية. وعلى وجه الخصوص، لوحظ بأن المهاجمين يقومون بإعادة استخدام رموز التشفير بشكل فاعل، وذلك من خلال استعارة أجزاء من رمز تشفير ينتمي إلى أحد البرامج الخبيثة لاستخدامه في رمز تشفير آخر.
وإلى جانب ذلك، تمكن الباحثون من اكتشاف أوجه الشبه في طريقة عمل المهاجمين. فأثناء تتبع وتحليل آثار الهجمات الإلكترونية المختلفة، اكتشف الباحثون بأن جميع الـ (Droppers) – وهي ملفات خاصة تستخدم لتثبيت أشكال مختلفة من حمولات بيانات الـ (payload) الخبيثة – تحتفظ بحمولاتها من الـ (payloads) في أرشيف مضغوط (ZIP) محمي بكلمة مرور. وكانتكلمة مرور الأرشيف المستخدمة في حملات مختلفة هي ذاتها وتم تشفيرها من داخل الـ (dropper). وتم تطبيق الحماية الأمنية لكلمة المرور من أجل منع النظم الآلية من استخراج وتحليل حمولات بيانات الـ (payload)، إلا أنها في الحقيقة قدمت عوناً كبيراً للباحثين قادهم في النهاية إلى التعرف على العصابة الإلكترونية.
وهناك طريقة خاصة يستخدمها المجرمون لازالة أي أثر يدل على وجودهم في الأنظمة المصابة، إلى جانب بعض التقنيات الأخرى التي استخدموها لتجنب اكتشافهم عن طريق منتجات مكافحة الفيروسات، والتي أتاحت للباحثين وسائل إضافية ساعدتهم على اكتشاف الهجمات ذات الصلة.
وفي نهاية المطاف، لوحظ أن العشرات من الهجمات الموجهة، التي اعتبر من يقفون وراءها على أنهم مجهولي الهوية، كانت ترتبط بعصابة إلكترونية واحدة.
التوزع الجغرافي للعملية.
دلّت تواريخ التحليل التراكمي للعينات بأنه من المحتمل أن يكون قد تم إجراء التحليل التراكمي الأول للعينات الخبيثة في عام 2009، أي قبل خمس سنوات من الهجوم المدمر على “سوني”. وقد لوحظ تزايدعدد العينات الجديدة بشكل ديناميكي منذ العام 2010. وهذا ما يجعل عصابة “لازاروس” الإلكترونية عامل تهديد مستقر وطويل الأمد. واستنادا إلى بيانات التعريف المستخلصة من العينات التي خضعت للتحقيق، لوحظ بأنه كان يتم جمع معظم البرامج الخبيثة المستخدمة من قبل عصابة “لازاروس” الإلكترونية على ما يبدو خلال ساعات العمل الرسمي حسب التوقيت الزمني للمناطق، أي بتوقيت غرينتش (+8) و (+9)بتوقيت غرينتش.
وقال جوان غيريرو، باحث أمني أول في كاسبرسكي لاب: “كما توقعنا تماماً، يشهد عدد الهجمات التي تستهدف مسح البيانات نمواً مطرداً. ويشكل هذا الصنف من البرمجيات الخبيثة نوعاً من الأسلحة الإلكترونية المدمرة. إن القدرة على مسح الآلاف من أجهزة الكمبيوتر بضغطة زر واحدة تمثل مكافأة كبيرة لأي فريق متخصص في اختراق شبكات الكمبيوتر مكلف بتضليل وتعطيل الشركة المستهدفة.
