عصابة التجسس الإلكتروني "Darkhotel" تشن هجمات خبيثة مستغلة وثائق مسربة من "هاكينج تيم".

في أعقاب حادثة تسريب وثائق تخص شركة "هاكينج تيم" المتخصصة في بيع برامج تجسس نظامية لبعض الحكومات ووكالات إنفاذ القانون، بدأ عدد من عصابات التجسس الإلكتروني تستخدم، ولأغراض خبيثة خاصة بها، الأدوات التي تقدمها شركة "هاكينج تيم" إلى عملائها لتنفيذ الهجمات. وقد شمل هذا شن هجمات عديدة لاستغلال الثغرات استهدفت Adobe Flash Player وWindows OS. وقد تم تطويع واحدة على الأقل من هذه الهجمات لأغراض أخرى من قبل عصابة التجسس الإلكتروني المحترفة "Darkhotel".

توصلت الشركة الأمنية كاسبرسكي لاب إلى أن “Darkhotel”- وهي عصابة تجسس إلكتروني على مستوى عال من الاحتراف اكتشفها خبراء الشركة في العام 2014 وتشتهر بقدرتها على اختراق شبكات Wi-Fi في الفنادق الفاخرة لسرقة معلومات عن مجموعة مختارة من كبار المسؤولين التنفيذيين للشركات- تلجأ إلى استخدام هجمات "استغلال الثغرات غير المكتشفة" والمجمّعة من شركة "هاكينج تيم" منذ مطلع يوليو، وذلك في أعقاب الاختراق العنيف الذي تعرضت له شركة "هاكينج تيم" بتاريخ 5 يوليو وتسبب في تسريب وثائق بالغة السرية خاصة بها. وعلى ما يبدو أن عصابة “Darkhotel”، التي لم يعرف عنها بأنها كانت من ضمن عملاء "هاكينج تيم"، كانت تسطو على الملفات المسربة.  

ولم يكن هجوم "استغلال الثغرات غير المكتشفة" هو الوحيد الذي تشنه هذه العصابة، إذ تشير نتائج كاسبرسكي لاب الإحصائية إلى احتمال قيام عصابة “Darkhotel”، على مدى السنوات القليلة الماضية، بشن ست هجمات "استغلال الثغرات غير المكتشفة" أو أكثر مستهدفة برامج Adobe Flash Player، وبأنها، على ما يبدو، كانت تستثمر أموالاً طائلة لدعم استكمال ترسانتها الخبيثة. في العام 2015، وسعت عصابة “Darkhotel” نطاق انتشارها الجغرافي حول العالم، في حين تواصل  شن العديد من هجمات التصيد الاحتيالي التي تستهدف مناطق مثل كوريا الشمالية وكوريا الجنوبية وروسيا واليابان وبنغلاديش وتايلند والهند وموزامبيق وألمانيا. 

دعم إضافي من قبل شركة "هاكينج تيم"

تمكن الباحثون الأمنيون في كاسبرسكي لاب من رصد تقنيات وأنشطة جديدة لعصابة “Darkhotel” تعرف باسم الهجمات الخبيثة المتقدمة المستمرة عبر الإنترنت (APT) والتي لاتزال نشطة لأكثر من ثماني سنوات. وفي هجمات لها تعود إلى تاريخ 2014 وما قبل، كانت العصابة تسيء استخدام شهادات المصادقة الإلكترونية (Code-Signing Certificates) وتلجأ إلى طرق غير مألوفة مثل اختراق وصلات الإنترنت   Wi-Fiفي الفنادق لتلغيمها بأدوات تجسس على أنظمة مستهدفة. وقد شهد العام 2015 انتشار واسعاً لهذه التقنيات والأنشطة، وتمكنت كاسبرسكي لاب أيضاً من اكتشاف وسائل قرصنة الكترونية جديدة، منها على سبيل المثال، الملفات الخبيثة القابلة للتنفيذ، والاستخدام المتواصل لشهادات المصادقة الإلكترونية المسروقة وتقنيات خدع الهندسة الاجتماعية بصورة مستمرة واستغلال الثغرات غير المكتشفة المسرّبة من شركة "هاكينج تيم":     

• الاستخدام المتواصل لشهادات المصادقة الإلكترونية المسروقة. يبدو أن عصابة “Darkhotel” لديها مخزون هائل من شهادات المصادقة الإلكترونية المسروقة وتقوم باستخدام مدراء التحميل (Downloaders) وبرامج الباب الخلفي الخبيثة (Backdoors) التي يتم تسجيل الدخول باستخدامها لغرض التحايل على النظام المستهدف. تشمل شهادات المصادقة الإلكترونية التي تم إبطالها مؤخراً: Xuchang Hongguang Technology Co. Ltd - وهي الشركة التي تم استغلال شهادات المصادقة الإلكترونية الخاصة بها في الهجمات السابقة المنفذة باستخدام هذه الوسيلة.
• هجمات التصيد الاحتيالي المستمرة. تتسم الهجمات الخبيثة المتقدمة المستمرة عبر الإنترنت (APT) التي تشنها عصابة “Darkhotel” بأنها في الواقع مستمرة: فهي تحاول شن هجمات التصيد الإحتيالي على الهدف، وفي حال لم تنجح في ذلك، تعاود الكرة مرة أخرى ولكن بعد مضي عدة أشهر وباستخدام خطط الهندسة الاجتماعية ذاتها تقريباً.
• استخدام هجمات "استغلال الثغرات غير المكتشفة" المسرّبة من شركة "هاكينج تيم". يحتوي موقع الإنترنت المخترق tisone360.com على مجموعة من برمجيات الباب الخلفي الخبيثة وانواع لهجمات أخرى قائمة على استغلال الثغرات الأمنية، ومن أبرزها، هجمة استغلال الثغرة غير المكتشفة في برنامج Flash المستخدم من قبل شركة "هاكينج تيم".  

وقال كورت بومغارتنر، باحث الأمن الرئيسي في كاسبرسكي لاب: "تعود عصابة Darkhotel بنوع آخر من هجمات استغلال الثغرات غير المكتشفة في برامج Adobe Flash Player المثبت على أحد مواقع الإنترنت المخترقة، وتبدو أنها قد استعانت هذه المرة بالوثائق المسربة من شركة "هاكينج تيم". لقد تمكنت عصابة  Darkhotel سابقاً من شن هجمات مختلفة عن طريق استغلال ثغرات غير مكتشفة في برنامج Flash المثبت في نفس الموقع الإلكتروني المخترق الذي أصدرنا تقريراً بشأنه على أنه إحدى هجمات الثغرات غير المكتشفة التي تشن على برنامج Adobe في يناير من العام 2014. وعلى ما يبدو أن عصابة  Darkhotel  قد تمكنت من تجميع رصيد وافر من الثغرات الأمنية غير المكتشفة وشبه المكتشفة في برنامج Flash على مدى السنوات القليلة الماضية، ومن المحتمل أنها استطاعت جمع المزيد من تلك الثغرات لشن هجمات دقيقة تستهدف أفراداً رفيعي المستوى حول العالم. ومن خلال الهجمات السابقة، يمكننا التوصل إلى أن Darkhotel تتجسس على الرؤوساء التنفيذيين وكبار نواب الرؤوساء ومدراء المبيعات والتسويق وموظفي الأبحاث والتطوير."

وقد عملت العصابة، منذ العام الماضي، على تعزيز تقنياتها الدفاعية، فعلى سبيل المثال، قامت بتوسيع نطاق قائمة تكنولوجياتها الخاصة بمكافحة التتبع. وقد صمم مدير التحميل (Downloader) – إصدار عام 2015- للتعرف على تكنولوجيات مكافحة الفيروسات المتوفرة لدى نحو 27 شركة امن، وذلك بهدف تخطيها وتجاوزها.