«كاسبرسكي لاب» تتوصل إلى حل لغز حملة «Turla» للتجسس الإلكتروني

تعتبر عملية ” Epic” بمثابة المرحلة الأولى لسلسلة إصابات متعددة المراحل من حملة “Turla” للتجسس الإلكتروني وتعرف أيضاً باسم “Snake” أو “Uroburos”، و هى واحدة من أكثر حملات التجسس الإلكتروني المتطورة.

وعندما نشر البحث الأول الذي أجري حول حملات التجسس الإلكتروني “Turla” أو” Snake” أو“Uroburos”، لم يقدم إجابة وافية على أهم سؤال حول كيفية تعرض الضحايا للإصابة، واليوم، أظهرت نتائج أحدث بحث أجرته “كاسبرسكي لاب” على هذه العملية بأن “Epic” هى المرحلة التمهيدية لآلية تعرض ضحية “Turla” للإصابة.

وقد استخدم مشروع “Epic” منذ عام 2012، وقد كان أعلى مستوى نشاط له خلال شهري يناير وفبراير من العام 2014. وفي الآونة الأخيرة، رصدت “كاسبرسكي لاب” هذا الهجوم على أحد مستخدميها بتاريخ 5 أغسطس من العام 2014.

وتنتمي أهداف “Epic” إلى الفئات التالية: الشركات الحكومية (وزارة الداخلية ووزارة التجارة والاقتصاد ووزارة الخارجية /الشؤون الخارجية ووكالات الاستخبارات)، والسفارات، والمؤسسات العسكرية، ومؤسسات البحوث، والمؤسسات التعليمية، وشركات الأدوية.

ويبدو كذلك أن معظم الضحايا يتركزون في منطقة الشرق الأوسط وأوروبا، إلا أن الباحثين لاحظوا وجود عدد من الضحايا في مناطق أخرى أيضاً منها الولايات المتحدة. وبالإجمال، تمكن خبراء “كاسبرسكي لاب” من إحصاء بضع مئات من ضحايا الـ“IPs” الذين يتوزعون في أكثر من 45 دولة تأتي فرنسا في مقدمتها.

وقد توصل باحثو “كاسبرسكي لاب” إلى أن مهاجمي “Epic Turla” يلجؤون لاستخدام أساليب مثل “هجوم دون انتظار” والهندسة المجتمعية وتقنيات الثغرات الأمنية وهي مواقع انترنت لها أهمية كبيرة لدى الضحايا والتي تكون قد اخترقت من قبل المهاجمين وتم استخدامها لدى رموز تشفير خبيثة لاستهداف الضحية.

وعلى سبيل المثال، لاحظت “كاسبرسكي لاب” أن هناك أكثر من 100 موقع على شبكة الإنترنت تعاني من ثغرات أمنية، إن اختيار المواقع الإلكترونية يعكس اهتمامات محددة لدى المهاجمين. ففي إسبانيا مثلاً، لوحظ أن الكثير من المواقع الإلكترونية المصابة تعود إلى الحكومات المحلية.

وعندما يقوم أي مستخدم بعيد عن الشبهة بفتح ملف “PDF” خبيث مصمم بحرفية عالية باستخدام نظام لا يحظى بالحماية الكافية، فيتعرض الجهاز للإصابة تلقائياً، مما يتيح للمهاجم فرصة التحكم الفوري بالنظام المستهدف.

وفي حال تعرض المستخدم للإصابة، تواصل ملفات التجسس في “Epic” طريقها لكي تتصل فوراً بخادم الأوامر والتحكم (C&C) لغرض إرسال حزمة من المعلومات عن نظام الضحية.

وعندما يتعرض النظام للاختراق، يتلقى المهاجمون لمحة موجزة عن معلومات الضحية، وبناءً على ذلك، يقومون بإرسال مجموعة من الملفات المعرفة مسبقاً والتي تحتوي على سلسلة من الأوامر ليصار إلى تنفيذها. بالإضافة لذلك، يقوم المهاجمون بتحميل أدوات مخصصة للتحكم بالحركات الانتقالية الجانبية. وهذا يشمل برنامج اختراق “keylogger” محدد وملفات الأرشفة “RAR” وبرامج خدمية رئيسية أخرى مثل أداة “DNS Query” من “مايكروسوفت”.

المرحلة الأولى من عملية “Turla” أثناء التحليل، راقب باحثو “كاسبرسكي لاب” المهاجمين وهم يستخدمون البرنامج الخبيث “Epic” لنشر ملفات تجسس أكثر تعقيداً تعرف باسم “نظام Cobra/Carbon” أو تعرف أيضاً باسم “Pfinet” عن طريق بعض من برامج مكافحة الفيروسات.

وبعد فترة وجيزة، ذهب المهاجمون إلى أبعد من ذلك واستخدموا مثبت “Epic” لتحديث ملف تعريف “Carbon” بحيث يتوافق مع مجموعة مختلفة من خوادم الأوامر والتحكم (C&C)، ويشير الفهم الفريد لكيفية تشغيل ملفي التجسس هذين إلى وجود رابط بينهما وكذلك بوجود رابط بين المهاجمين أنفسهم.

وأوضح كوستين ريو مدير فريق الأبحاث والتحليل العالمي في “كاسبرسكي لاب” قائلاً: “إن تحديثات ملف تعريف البرنامج الخبيث المعروف باسم نظام “Carbon” هو أمر مثير للاهتمام لأنه مشروع آخر يتعلق بعامل التهديد “Turla”. وهذا يدل على أننا نواجه إصابات متعددة المستويات بدأت بحملة “Epic Turla” وسرعان ما تفشت وانتشرت لتوقع عدداً أكبر من الأفراد المرموقين ضحية لها. وفي حال كانت الضحية تحظى بمكانة مرموقة، يتم تخصيص نظام “Turla Carbon” المحدث بالكامل استعداداً لمهاجمتها”.