تعطيل نشاط عصابة "لازاروس" الإلكترونية في السعودية

تمكنت أحدى الشركات المتخصصة في مكافحة الهجمات الإلكترونية بالتعاون مع شركاء آخرين في قطاع التقنية. من تعطيل نشاط عصابة "لازاروس" – وهي مجموعة من البرمجيات الخبيثة المسؤولة عن شن هجمات لتدمير البيانات والقيام بعمليات التجسس الإلكتروني التقليدية التي تستهدف شركات متعددة حول العالم ومن ضمنها السعودية. ويعتقد أن المهاجمين هم من كانوا يقفون وراء الهجوم على شركة "سوني بيكتشرز انترتينمنت" في العام 2014، وعملية  DarkSeoul التي استهدفت شركات وسائل الإعلام والمؤسسات المالية في العام 2013.

بعد الهجوم المدمر الذي استهدف شركة الانتاج السينمائي المعروفة "سوني بيكتشرز انترتينمنت" في العام 2014، بدأ فريق البحث والتحليل العالمي بكاسبرسكي لاب التحقيق في عينات من البرمجية الخبيثة "ديستوفر" التي اشتهرت بهذا الاسم المستخدم في الهجوم. وقاد ذلك إلى مزيد من الأبحاث الموسعة في مجموعة من الحملات الخبيثة ذات الصلة بالتجسس والتخريب الإلكتروني التي استهدفت المؤسسات المالية ومحطات البث الإعلامي وشركات التصنيع وغيرها.

وبمقارنة الخصائص المشتركة بين عائلات البرمجيات الخبيثة المختلفة، تمكن خبراء كاسبرسكي لاب من أن يجمعوا معاً نتائج تحليل لعشرات من الهجمات المعزولة وخلصوا في النهاية إلى أن جميع تلك الهجمات تعود إلى عامل تهديد واحد فقط، وذلك بحسب ما أكده المشاركون الآخرون في عملية Operation Blockbuster  من خلال تحليلاتهم الخاصة.

وتبين أن عصابة "لازاروس" الإلكترونية كانت تنشط منذ سنوات عديدة قبل وقوع حادثة الهجوم على "سوني بيكتشرز انترتينمنت"، ويبدو بأنها لاتزال نشطة حتى الآن. وقد أكدت أبحاث  كاسبرسكي لاب وغيرها من تحليلات المشاركين في عملية Operation Blockbuster أن هناك علاقة بين البرمجية الخبيثة المستخدمة في حملات مختلفة، مثل حملة Operation DarkSeoul الموجهة ضد البنوك وشركات البث الإعلامي، وكذلك حملة Operation Troy الموجهة ضد القوات المسلحة في كوريا الجنوبية وحادثة "سوني بيكتشرز".

وأثناء التحقيق، تبادل باحثوا كاسبرسكي لاب النتائج الأولية مع نظرائهم من شركة AlienVault. وفي نهاية المطاف، قرر الباحثون من كلا الشركتين توحيد جهودهم لإجراء تحقيق مشترك. وفي الوقت ذاته، كان التحقيق في نشاط عصابة "لازاروس" الإلكترونية يجري على قدم وساق من قبل شركات أخرى عديدة بمشاركة مختصين في الشؤون الأمنية. وأطلقت إحدى هذه الشركات وهي Novetta  مبادرة تهدف إلى نشر معلومات استخباراتية شاملة وقابلة للتنفيد حول نشاط عصابة "لازاروس" الإلكترونية. وفي إطار عملية Operation Blockbuster، تمكنت كاسبرسكي لاب بالتعاون مع  Novetta و AlienVault Labs وغيرها من الشركاء في القطاع من نشر نتائجها خدمة لمصلحة شريحة أوسع من الجمهور.

ومن خلال تحليل عينات متعددة من البرامج الخبيثة التي تم رصدها في حالات اختراق أمني إلكتروني مختلفة وإنشاء قواعد تتبع خاصة، تمكنت كاسبرسكي لاب وAlienVault Labs وشركات أخرى متخصصة مشاركة في عملية Operation Blockbuster من التعرف على عدد من الهجمات التي شنتها عصابة "لازاروس" الإلكترونية.

وقد تم التوصل إلى العلاقة بين العينات المتعددة من الهجمات الناشئة عن عصابة واحدة أثناء تحليل الأساليب المستخدمة من قبل العصابة الإلكترونية. وعلى وجه الخصوص، لوحظ بأن المهاجمين يقومون بإعادة استخدام رموز التشفير بشكل فاعل، وذلك من خلال استعارة أجزاء من رمز تشفير ينتمي إلى أحد البرامج الخبيثة لاستخدامه في رمز تشفير آخر.

وإلى جانب ذلك، تمكن الباحثون من اكتشاف أوجه الشبه في طريقة عمل المهاجمين. فأثناء تتبع وتحليل آثار الهجمات الإلكترونية المختلفة، اكتشف الباحثون بأن جميع الـ (Droppers) -  وهي ملفات خاصة تستخدم لتثبيت أشكال مختلفة من حمولات بيانات الـ (payload) الخبيثة – تحتفظ بحمولاتها من الـ (payloads) في أرشيف مضغوط (ZIP) محمي بكلمة مرور. وكانت كلمة مرور الأرشيف المستخدمة في حملات مختلفة هي ذاتها وتم تشفيرها من داخل الـ (dropper).  وتم تطبيق الحماية الأمنية لكلمة المرور من أجل منع النظم الآلية من استخراج وتحليل حمولات بيانات الـ (payload)، إلا أنها في الحقيقة قدمت عوناً كبيراً للباحثين قادهم في النهاية إلى التعرف على العصابة الإلكترونية.

وهناك طريقة خاصة يستخدمها المجرمون لازالة أي أثر يدل على وجودهم في الأنظمة المصابة، إلى جانب بعض التقنيات الأخرى التي استخدموها لتجنب اكتشافهم عن طريق منتجات مكافحة الفيروسات، والتي أتاحت للباحثين وسائل إضافية ساعدتهم على اكتشاف الهجمات ذات الصلة. وفي نهاية المطاف، لوحظ أن  العشرات من الهجمات الموجهة، التي اعتبر من يقفون وراءها على أنهم مجهولي الهوية، كانت ترتبط بعصابة إلكترونية واحدة.

وقد دلّت تواريخ التحليل التراكمي للعينات بأنه من المحتمل أن يكون قد تم إجراء التحليل التراكمي الأول للعينات الخبيثة في عام 2009، أي قبل خمس سنوات من الهجوم المدمر على "سوني". وقد لوحظ تزايد عدد العينات الجديدة بشكل ديناميكي منذ العام 2010. وهذا ما يجعل عصابة "لازاروس" الإلكترونية عامل تهديد مستقر وطويل الأمد. واستنادا إلى بيانات التعريف المستخلصة من العينات التي خضعت للتحقيق، لوحظ بأنه كان يتم جمع معظم البرامج الخبيثة المستخدمة من قبل عصابة "لازاروس" الإلكترونية على ما يبدو خلال ساعات العمل  الرسمي حسب التوقيت الزمني للمناطق، أي بتوقيت غرينتش (+8) و (+9) بتوقيت غرينتش.

وقال جوان غيريرو، باحث أمني أول في كاسبرسكي لاب، "كما توقعنا تماماً، يشهد عدد الهجمات التي تستهدف مسح البيانات نمواً مطرداً. ويشكل هذا الصنف من البرمجيات الخبيثة نوعاً من الأسلحة الإلكترونية المدمرة. إن القدرة على مسح الآلاف من أجهزة الكمبيوتر بضغطة زر واحدة تمثل مكافأة كبيرة لأي فريق متخصص في اختراق شبكات الكمبيوتر مكلف بتضليل وتعطيل الشركة المستهدفة. إن قيمة هذا النوع من الهجمات التي تندرج كجزء من مفهوم الحرب الهجينة، حيث تقترن هجمات مسح البيانات مع الهجمات الديناميكية لتعطيل البنى التحتية للدول، لاتزال تجربة افتراضية مثيرة للاهتمام ولكنها أقرب ما تكون إلى الواقع، وهو أمر لا يبعث على الارتياح. ونحن فخورون بتعاوننا مع شركائنا في القطاع لوضع عراقيل في وجه هذه العصابة الإلكترونية الشرسة والمستعدة لتسخير هذه التقنيات المدمرة في سبيل تحقيق أغراضها الخبيثة."

وأشار جيمي بلاسكو، كبير العلماء في شركة AlienVault بالقول، "تمتلك هذه العصابة جميع المهارات اللازمة والإصرار على تنفيذ حملات التجسس الإلكتروني بهدف سرقة البيانات أو التسبب بإلحاق الضرر. وبجمع تلك المهارات مع استخدام تقنيات التضليل والخداع، تمكن المهاجمون من شن عدة حملات خبيثة بنجاح على مدى السنوات القليلة الماضية." وأضاف، "تبين عملية Operation Blockbuster كيف أن لتبادل  المعلومات على مستوى القطاع والتعاون فيما بين الشركاء دور فاعل في تحقيق تقدم ملفت من حيث منع قراصنة الإنترنت من مواصلة شن هجماتهم الإلكترونية الخبيثة."

ونوّه أندريه لودويج، المدير الفني الأول لشركة Novetta Threat Research و Interdiction Group بالقول، "لقد أتاحت عملية Operation Blockbuster  لكل من  Novetta وكاسبرسكي لاب وشركائنا مواصلة توحيد جهودهم لتأسيس منهجية لتعطيل الهجمات الخبيثة التي تشنها عصابات إلكترونية عالمية بارزة في محاولة لعرقلة جهودهم المبذولة لإلحاق المزيد من الأذى بضحاياهم." وأضاف، "إن مستوى التحليل الفني المتعمق الذي أجري في إطار عملية Operation Blockbuster هو شيء نادر فعلاً، كما إن تبادل نتائجنا البحثية مع شركائنا في القطاع لتحقيق النفع العام من خلال زيادة مستوى الوعي حول ذلك، هو شيء أكثر ندرة أيضاً."