أعلن باحثو كاسبرسكي، المتخصصة في أمن الحواسيب، عن رصد واقعتين أمنيتين، تقف وراءهما اثنتان من عصابات التهديدات المتقدمة المستمرة، استهدفتا جهتين مرتبطتين بالأبحاث الخاصة بتطوير لقاح لفيروس كورونا؛ هيئة تابعة لإحدى وزارات الصحة، وشركة للمستحضرات الصيدلانية. وأبدى خبراء كاسبرسكي مستوىً عاليًا من الثقة في نسبة الأنشطة التخريبية إلى عصابة Lazarus سيئة السمعة.
وعلى الرغم من تكاتف العالم من أجل التوصل إلى لقاح للضاء على فيروس كورونا، يوجد جانب مظلم يتمثل بمحاولة بعض الجهات التخريبية استغلال الأمر لتحقيق مكاسب خاصة.
وواصل خبراء كاسبرسكي تتبّع الحملات التي تستهدف مختلف القطاعات، واكتشفوا أن عصابة Lazarus قد لاحقت جهات مرتبطة بمكافحة الجائحة قبل شهرين فقط، واستطاعوا رصد حادثتين أمنيتين محدّدتين.
وتمثلت الحادثة الأولى في شنّ هجوم على هيئة تابعة لإحدى وزارات الصحة، حيث جرى في 27 أكتوبر الماضي اختراق خادمين عاملين بالنظام “ويندوز” ببرمجيات خبيثة متطورة، معروفة لدى كاسبرسكي بالاسم wAgent.
وأظهر تحليل دقيق أن هذه البرمجية لديها مخطط إصابة مماثل للمخططات التي استخدمتها عصابة Lazarus سابقًا في هجمات شنتها على شركات عاملة في مجال العملات الرقمية.
وجرى في الحادثة الثانية استهداف شركة للمستحضرات الصيدلانية في 25 سبتمبر الماضي، وفق ما أظهرت أدوات القياس الخاصة بكاسبرسكي. وتعمل الشركة المستهدفة على تطوير لقاح لفيروس كورونا وتملك التصاريح اللازمة لإنتاجه وتوزيعه.
واستخدم المهاجمون هذه المرة البرمجية الخبيثة Bookcode، التي أبلغت كاسبرسكي سابقًا عن ارتباطها بعصابة Lazarus، في هجوم على سلاسل توريد عبر شركة برمجيات كورية جنوبية. شهد باحثو كاسبرسكي أيضًا قيام عصابة Lazarus في السابق بعملية تصيّد موجّه أو اختراق استراتيجي لمواقع ويب لتوزيع برمجية Bookcode.
وتتسم البرمجيتان الخبيثتان wAgent وBookcode بتشابه الوظائف، مثل المنفذ الخلفي المتكامل، إذ يمكن لمشغل البرمجيات الخبيثة التحكّم في جهاز الضحية بالطريقة التي يريدها تقريبًا.
العلاقة بين الهجومين وLazarus
أشار سيونغسو بارك الخبير الأمني لدى كاسبرسكي، إلى أن هذين الحادثين يكشفان عن اهتمام العصابة بالمعلومات المتعلقة بالجائحة، بالرغم من اهتمامها في الغالب بالأنشطة المالية، معتبرًا ذلك تذكيرًا بقدرتها على إجراء أبحاث في شؤون استراتيجية.
ودعا الخبير الأمني جميع الجهات المشاركة حاليًا في أنشطة تتعلّق بمكافحة الجائحة، مثل أبحاث اللقاحات أو التعامل مع تبعات الأزمات، إلى أن “تظلّ في حالة تأهب قصوى تحسّبًا للهجمات الرقمية”.
وتستطيع منتجات كاسبرسكي الكشف عن البرمجيات الخبيثة wAgent، وتعرّفها بالاسم HEUR:Trojan.Win32.Manuscrypt.gen والاسم Trojan.Win64.Manuscrypt.bx. في حين يجري تعريف البرمجية الخبيثة Bookcode بالاسم Trojan.Win64.Manuscrypt.ce.
وتوصي كاسبرسكي باتخاذ الإجراءات الأمنية التالية للبقاء في مأمن من التهديدات المتطورة:
• منح فريق مركز العمليات الأمنية إمكانية الوصول إلى أحدث معلومات التهديدات. وتُعدّ بوابة Kaspersky Threat Intelligence Portal منصة واحدة يمكن للمنشآت عبرها الوصول إلى أحدث المعلومات الخاصة بالتهديدات، حيث تتاح البيانات المتعلقة بالهجمات الرقمية والرؤى التي جمعتها كاسبرسكي بشأنها على مدار أكثر من 20 عامًا. ويمكن الوصول إلى مزايا البوابة المجانية التي تتيح للمستخدمين فحص عناوين الويب وعناوين بروتوكول الإنترنت IP والملفات.
• تزويد الموظفين بالتدريب على أساسيات الأمن الرقمي، نظرًا لأن العديد من الهجمات الموجّهة تبدأ بالتصيّد وتعتمد على أساليب الهندسة الاجتماعية.
• المنشآت التي ترغب في إجراء تحقيقاتها الخاصة بإمكانها الاستفادة من Kaspersky Threat Attribution Engine. الذي يطابق بين الشيفرات البرمجية الخبيثة وقواعد بياناتها، ويستطيع بناءً على أوجه التشابه في الشيفرة أن ينسبها إلى حملات تخريبية جرى الكشف عنها سابقًا.
• تنفيذ حلول الكشف عن التهديدات والحماية منها عند النقاط الطرفية، مثل الحلّ Kaspersky Endpoint Detection and Response، للتمكّن من اكتشاف التهديدات والتحقيق فيها ومعالجة الحوادث في الوقت المناسب.
• تنفيذ حل أمني على المستوى المؤسسي يكون قادرًا على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة، مثل الحلّ Kaspersky Anti Targeted Attack Platform.
