كشف باحثون في كل من كاسبرسكي لاب وكينغز كوليدج لندن، عن صلة بين تهديد حديث لهجمات التجسس السيبراني «مون لايت ميز» Moonlight Maze التي استهدفت وزارة الدفاع الأميركية البنتاغون ووكالة ناسا للفضاء وغيرها في أواخر التسعينات، وبين برمجية «تورلا» «Turla» الخبيثة التي كانت تتصل بـ«مون لايت ميز» من خلال مدخل مستتر لسحب المعلومات من شبكات الضحايا منذ 2011 وحتى اليوم.
وتظهر التقارير المعاصرة عن «مون لايت ميز» كيف بدأت الشبكات العسكرية والحكومية الأمريكية، وكذلك الجامعات والمؤسسات البحثية وحتى وزارة الطاقة الكشف عن الخروقات في أنظمتها منذ عام 1996. وفي عام 1998، بدأ مكتب التحقيقات الاتحادي ووزارة الدفاع تحقيقاً شاملاً. وأصبحت القصة علنية في عام 1999، ولكن الكثير من الأدلة ظلت سرية، وبقيت تفاصيل «مون لايت ميز» محاطة بالأسطورة والسرية.
وعلى مر السنين، ذكر المحققون الأصليون في ثلاثة بلدان مختلفة أن «مون لايت ميز» تطورت إلى أن أصبحت هجمات «تورلا» الخبيثة، وهو ممثل التهديد الناطق بالروسية المعروف أيضاً باسم «الأفعى» و«أوروبروس» و«الدب السام» و«الكريبتون». ويعتقد تقليدياً بأن «تورلا» قد أصبحت نشطة منذ عام 2007.
تقصّي
وفي عام 2016، أثناء بحثه عن كتابه «صعود الآلات»، قام توماس ريد من كلية كينغز لندن بتتبع مسؤول النظام السابق الذي تم اختراق خادم المؤسسة التابعة له من قبل مهاجمي «مون لايت ميز». هذا الخادم، ‘HRTest’، قد استخدم لشن هجمات على الولايات المتحدة. وقد احتفظ موظف تكنولوجيا المعلومات المتقاعد الآن بالخادم الأصلي ونسخ من كل ما يتعلق بالهجمات، وسلمه إلى كينغز كوليج وكاسبرسكي لاب لإجراء المزيد من التحليل.
تحقيقات
وقضى باحثو كاسبرسكي لاب، خوان أندريس جوريرو سايد وكوستن رايو، بالإضافة إلى توماس ريد وداني مور من كلية كينغز، تسعة أشهر في إجراء تحليل تقني مفصل لهذه العينات. أعادوا خلالها بناء عمليات المهاجمين وأدواتهم وتقنياتهم، وأجروا تحقيقاً موازياً لمعرفة ما إذا كان بإمكانهم إثبات العلاقة المزعومة مع «Turla».
وكان «مون لايت ميز» عبارة عن هجوم على أساس يونكس مفتوحة المصدر يستهدف أنظمة سولاريس، وتشير النتائج إلى أنها استفادت من مدخل مستتر على أساس LOKI2 (وهو برنامج صدر في عام 1996 يمكن المستخدمين من استخراج البيانات عن طريق قنوات سرية). وقد دفع ذلك الباحثين إلى إلقاء نظرة ثانية على بعض عينات لينكس النادرة التي استخدمتها «تورلا» والتي اكتشفها كاسبرسكي لاب في عام 2014. واسمها «Penquin Turla»، وتستند هذه العينات أيضا على LOKI2.