اكتشفت شركة كاسبرسكي لاب، للأمن الرقمي مجموعة «صقور الصحراء» للتجسس الإلكتروني التي تستهدف العديد من المؤسسات البارزة والأفراد المرموقين بدول المنطقة، وهي أول مجموعة عربية معروفة تقوم بتطوير وتشغيل عمليات تجسس إلكتروني واسعة النطاق. وتمكنت المجموعة من مهاجمة أكثر من 3000 ضحية في أكثر من 50 بلداً حول العالم، وسرقة أكثر من مليون ملف ووثيقة.
ولفتت كاسبرسكي إلى أن أعلى نسبة استهداف في الإمارات تركزت على وسائل الإعلام والجهات الحكومية، إلى جانب ضحايا لا يمكن الكشف عن القطاع الذي يعملون فيه حالياً.
وقالت ان المجموعة تستهدف المعلومات الحساسة التي تساعدها في تنفيذ عمليات أكبر، وأنها استهدفت الضحايا الذين يمتلكون كما من المعلومات الحساسة والسرية المتعلقة بمناصبهم الرفيعة في الشركات والمؤسسات التي يعملون فيها.
ولفتت الشركة في رد على أسئلة «البيان الاقتصادي» إلى بين أكثر الأهداف المفضلة لدى هؤلاء القراصنة هم الناشطون والمراسلون الصحافيون والمؤسسات التعليمية والدينية والصناعية والمالية والحكومية والطاقة.
ورداً على سؤال عن نوعية المؤسسات المستهدفة في الإمارات قالت الشركة: تضم قائمة المستهدفين القطاعات الحكومية والعسكرية والصحف والتلفزيونات والمؤسسات المالية والتجارية ومراكز الأبحاث والتعليم والقادة السياسيين والناشطين الاجتماعيين وشركات الأمن والحماية التقليدية في دول مجلس التعاون الخليجي.
وأشارت الشركة إلى أنها تلقت اشارات بوجود احتمالية شن حملات تجسس الكترونية منذ صيف 2014، إلا ان صقور الصحراء عمليا بدأت هجومها الأول في 2011 ونفذت أول عملية تخريبية في 2013، بشكل متقطع، إلا ان بداية العام الجاري سجلت نشاطا كبيرا في عملياتها.
تأخير
وفي رد على سؤال عن سبب تأخرها في كشف هذه المجموعة قالت: ان طبيعة الحملات التي تقوم بها هذه المجموعات هي موجهة بعناية فائقة لكي تستطيع الدخول إلى أجهزة الضحايا، بدون ترك أي اثر يلفت الانتباه لأطول فترة ممكنة. وبما أن معظم أهداف هذه المجموعة هي شركات محددة، فمن الصعب التحقق من وجود كمبيوترات مصابة بهذه البرمجيات الخبيثة.
وأعربت عن ثقتها بأن المعلومات التي تم تقديمها لجهاز الانتربول الدولي وبعض الجهات ذات الاختصاص ستؤدي حتماً إلى العثور على هذه العصابة الإلكترونية وأن تعمل على حماية الضحايا.
وأكدت الشركة أن هذه المجموعة كانت طوال الفترة السابقة تبحث عن المعلومات الحساسة التي لا تقدر بثمن في الدرجة الأولى.
الصيد مستمر
أكدت كاسبرسكي أن هناك 30 شخصاً على الأقل في ثلاث فرق تتوزع في بلدان مختلفة يقومون حالياً بتشغيل حملات «صقور الصحراء» الخبيثة.
وقال ديميتري بيستوزيف، الخبير الأمني في فريق الأبحاث والتحليل العالمي في كاسبرسكي لاب: إن الأفراد الذين يقفون وراء عامل التهديد هذا، لديهم عزيمة قوية بالإضافة إلى أنهم نشيطون ولديهم خبرة تقنية وسياسية وثقافية جيدة.
ونتوقع أن تواصل هذه العملية تطوير المزيد من فيروسات حصان طروادة (Trojan) واستخدام تقنيات أكثر تقدماً. وبتوفر التمويل الكافي، ستتمكن هذه الحملة اكتساب أو تطوير خصائص خبيثة جديدة من شأنها أن تعزز من قدراتها وكفاءتها الهجومية.
تفاصيل
نشطت حملة «صقور الصحراء» منذ عامين على الأقل، حيث تم البدء بتطويرها وتجهيزها في العام 2011، إلا أن العملية الرئيسية والإصابات الحقيقية انطلقت فعلياً في العام 2013. ووصلت هذه العملية إلى ذروة نشاطها في مطلع العام 2015؛
وتتركز الغالبية العظمى للأهداف في مصر وفلسطين وإسرائيل والأردن إلى جانب دول المنطقة.
ولدى خبراء كاسبرسكي لاب أسباب عديدة تدفعهم للاعتقاد بأن المهاجمين الذين يقفون وراء عملية «صقور الصحراء» هم من العرب الذين يتحدثون اللغة العربية الأم.
وعلى الرغم من أن الاهتمام الرئيسي لحملة «صقور الصحراء» يبدو أنه يتركز في دول مثل مصر وفلسطين وإسرائيل والأردن، إلا أن هناك العديد من الضحايا الآخرين الذين عثر عليهم في دول أخرى مثل قطر والسعودية والإمارات والجزائر ولبنان والنرويج وتركيا والسويد وفرنسا والولايات المتحدة وروسيا ودول أخرى.
طريقة الهجوم
إن الطريقة الرئيسية التي يلجأ إليها «صقور الصحراء» لتسليم عدوى البرمجية الخبيثة هي عن طريق التصيد الاحتيالي عبر رسائل البريد الإلكتروني والمشاركات على مواقع التواصل الاجتماعي ورسائل الدردشة.
وقد احتوت رسائل التصيد الاحتيالي على ملفات خبيثة (أو رابط توصل الضحية إلى ملفات خبيثة) أو مجموعة من المستندات أو التطبيقات النظامية. ويستخدم «صقور الصحراء» العديد من التقنيات لحث الضحايا على تشغيل الملفات الخبيثة. ومن أكثر تلك التقنيات انتشاراً على وجه التحديد تقنية تعرف بخدعة «التحكم بتغيير اتجاه امتداد الملف من اليمين الى اليسار».
وتستغل هذه الطريقة الحرف الخاص في معيار الترميز القياسي الدولي أو ما يعرف بـ Unicode لإعادة استدعاء الحروف في اسم الملف، مخفية امتداداً لملف خطير في منتصف اسم الملف وواضعة امتداداً لملف يبدو في ظاهره أنه غير مؤذٍ ولا تخريبي ولا مثير للشكوك وذلك بالقرب من نهاية اسم الملف.
وباستخدام هذا الأسلوب، الملفات التخريبية التي تحمل امتدادات مثل .exe و.scr ستبدو على أنها ملفات غير مؤذية أو ملفات عادية من نوع PDF، وحتى المستخدمين الحذرين الذين لديهم خلفية تقنية جيدة يمكن أن يقعوا فريسة وضحية لذلك. على سبيل المثال، ملف ينتهي بـ .fdp أو .scr يبدو مثل .rcs.pdf.
بعد إصابة الضحية بنجاح، تقوم «صقور الصحراء» باستخدام واحد أو اثنين من برامج التسلل (من الباب الخلفي - Backdoors) المختلفة: وهما فيروس حصان طروادة (Trojan) وهو الأداة الرئيسية لصقور الصحراء أو DHS Backdoor، وكلاهما يبدوان بأنهما قد صمما من نقطة الصفر وهما قيد التطوير المستمر. وقد تمكن خبراء كاسبرسكي لاب من اكتشاف أكثر من 100 عينة لبرمجيات خبيثة استخدمت من قبل المجموعة أثناء شن هجماتها.
الباب الخلفي
زودت الوسائل الخبيثة المستخدمة بخاصية تشغيل برنامج التسلل (من الباب الخلفي - Backdoor) بالكامل، بما في ذلك القدرة على التقاط صور للشاشة وتسجيل ضربات المفاتيح وتحميل/تنزيل الملفات وجمع معلومات حول كافة ملفات الـ Word و Excel المثبتة على القرص الصلب لكمبيوتر الضحية أو الأجهزة المتصلة بذاكرة (USB) وكذلك سرقة كلمات المرور المخزنة في سجلات النظام (Internet Explorer و live Messenger) وعمل تسجيلات صوتية.
كما استطاع خبراء كاسبرسكي لاب العثور على آثار لنشاط أحد البرامج الخبيثة الذي يبدو بأنه برنامج تسلل من الباب الخلفي يتستر خلف نظام Android ولديه القدرة على سرقة مكالمات الهواتف المتنقلة وسجلات الرسائل النصية القصيرة.