استطاع خبراء كاسبرسكي تحديد نسخة ذات وظائف جديدة من البرمجية الخبيثة Janicab، التي تستخدمها عصابة DeathStalker، المختصة بالتهديدات المتقدمة المستمرة، للتسلل إلى مؤسسات معينة عدّة قطاعات. ورُصدت النسخة الجديدة في مناطق في أوروبا والشرق الأوسط، ووُجد أنها تستغلّ بعض خدمات الويب الرسمية، مثل يوتيوب YouTube، ضمن سلسلة الإصابة.
ويمكن أن تؤدي الإصابة بالبرمجية Janicab، مثلاً، إلى تحديات لوجستية وقانونية مستهدفة، وتحسين مكانة المنافسين، وعمليات تدقيق مفاجئة قد تكشف عن تحيزات وإساءات في استخدام الملكية الفكرية، ما يجعل أضرارها تختلف عن الأضرار التقليدية الناجمة عن هجمات من قبيل الابتزاز الرقمي أو الفدية.
يمكن اعتبار Janicab برمجية خبيثة معيارية مكتوبة بلغة مفسَّرة، ما يعني أن الجهة التخريبية قادرة على إضافة الوظائف أو تضمين الملفات، أو إزالتها، بجهد ضئيل. وتبيَّن من قراءات كاسبرسكي الواردة عن بُعد أن نسخ Janicab الأحدث قد شهدت تغيّرات ملموسة في بنيتها الهيكلية، مع وجود نسخ أرشيفية تحتوي على العديد من الملفات المكتوبة بلغة Python، وغيرها من القطع المستخدمة لاحقاً في عملية الاختراق، وذلك بالرغم من أن آلية التوصيل لا تزال قائمة على التصيّد. بمجرد أن يتمّ خداع الضحية وفتح الملف الخبيث، يجري بالتتابع تحميل سلسلة من الملفات الخبيثة على النظام.
وتتمثل إحدى السمات المميِّزة لبرمجية DeathStalker في استخدامها لخدمات DDR أو خدمات الويب، لاستضافة سلسلة مشفَّرة يُفكّ تشفيرها لاحقاً بغرسة من البرمجيات الخبيثة. ووفقاً لتقرير جديد، استطاعت كاسبرسكي تحديد استخدام روابط يوتيوب قديمة كانت موجودة في عمليات اقتحام تمّت في العام 2021. وكانت العصابة قادرة على العمل بسرية وتكرار استخدام بنيتها الخاصة بالقيادة والسيطرة، نظراً لصعوبة العثور على روابط الويب غير المدرجة.
واشتملت المؤسسات المتأثرة التي وقعت ضمن المجال التقليدي للعصابة DeathStalker، في الأساس، على مؤسسات قانونية ومالية واستثمارية. لكن كاسبرسكي سجلت أيضاً نشاط استهدف وكالات السفر. واعتُبرت أوروبا والشرق الأوسط من مناطق العمل المثالية للعصابة، ولكن بدرجات متفاوتة بين دول المنطقتين.
وقال الدكتور أمين حاسبيني رئيس مركز الأبحاث لمنطقة الشرق الأوسط وتركيا وإفريقيا في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن بالإمكان الافتراض بأمان، بأن الأهداف الرئيسة لعصابة DeathStalker تتمثل في سرقة المعلومات السرية الخاصة بالنزاعات القانونية المتعلقة بكبار الشخصيات وبالأصول المالية الكبيرة، فضلاً عن المعلومات التجارية التي تمسّ التنافسية، والمعلومات حول عمليات الدمج والاستحواذ، وذلك بالنظر إلى أن المؤسسات القانونية والمالية “هدف مشترك لهذه العصابة”. وأضاف: “يجب على المؤسسات العاملة في هذه القطاعات الاستعداد لمثل حالات الاختراق هذه، وتحديث نماذجها الخاصة بالتهديدات، لضمان بقاء البيانات آمنة”.
وينبغي للمؤسسات المتأثرة أن تعتمد على القوائم البيضاء للتطبيقات، وتدعيم أنظمة التشغيل، باعتبارها أساليب فعّالة لمنع محاولات الاقتحام، وذلك نظراً لاستمرار العصابة في استخدام برمجيات خبيثة مستندة إلى لغة مفسَّرة، مثل Python وVBE وVBS في محاولات الاختراق الحديثة. كذلك على جهات الحماية أن تبحث أيضاً عن إجراءات المتصفحة إنترنت إكسبلورر Internet Explorer التي تعمل من دون واجهة مستخدم، نظراً لأن Janicab يستخدم المتصفح في الوضع المخفي للتواصل مع البنية الأساسية للقيادة والسيطرة.
هذا، ويمكن العثور على مزيد من المعلومات حول طبيعة سجل الحوادث في Securelist.com.
