عصابة DeathStalker تتجسس على الشركات الصغيرة والمتوسطة

نشر باحثو كاسبرسكي تقريراً تفصيلياً حول عصابة DeathStalker، وهي مجموعة رقمية «مرتزقة» تُعدّ مصدرًا للتهديدات المتقدمة المستمرة، حققت منافع من هجمات تجسس إلكتروني شنتها على شركات صغيرة ومتوسطة عاملة في القطاع المالي منذ العام 2012 أو قبله. وتوضح اكتشافات أخيرة أن العصابة تستهدف الشركات في أنحاء العالم، من أوروبا إلى أمريكا اللاتينية، ما يُبرز أهمية اعتبار الأمن الرقمي ضرورة بالغة للشركات الصغيرة والمتوسطة.

وتواجه الشركات اليوم مجموعة كاملة من التهديدات الفورية، على الرغم من أن نشاط الجهات القائمة وراء التهديدات الرقمية والتي تحظى برعاية الحكومات وتشنّ هجمات متطورة، غالبًا ما يظلّ مكشوفًا. وتتراوح تلك التهديدات بين هجمات طلب الفدية وتسريبات البيانات والتجسس التجاري، وتؤدي إلى أضرار تمسّ عمليات الشركات وسمعتها.

وعادة ما تُشنّ هذه الهجمات من قبل منسقين متوسطي المستوى للبرمجيات الخبيثة، في حين يلجأ القائمون وراءها في بعض الأحيان إلى الاستعانة بمجموعات تخريبية متاحة للاستئجار (مرتزقة)، مثل DeathStalker، التي تتعقبها كاسبرسكي منذ العام 2018. ولـDeathStalker أسلوب العمل غير المألوف، إذ تركّز على التجسس الإلكتروني على شركات المحاماة ومؤسسات تعمل في القطاع المالي، وهي جهة تهديدات شديدة التكيّف تتبع نهجًا تكراريًا سريعًا في تصميم البرمجيات الخبيثة، ما يجعلها قادرة على تنفيذ حملات فعالة.

وقد مكّن بحث أجرته كاسبرسكي حديثًا من ربط نشاط DeathStalker بثلاث عائلات من البرمجيات الخبيثة، Powersing وEvilnum وJanicab، ما يوضح اتساع نطاق نشاط هذه العصابة منذ العام 2012. واستطاعت كاسبرسكي تتبّع عائلة Powersing منذ العام 2018، في حين أبلغت شركات أخرى عاملة في مجال الأمن الرقمي عن نشاط العائلتين الأخريين من البرمجيات الخبيثة. وتمكّن الباحثون، بعد تحليل أوجه التشابه في الشيفرات البرمجية ودراسة الحالات التي وقعت ضحايا لتلك العائلات البرمجية الخبيثة، من ربط بعضها بالبعض الآخر بمستوى متوسط من الثقة.

ظلت التكتيكات والأساليب والإجراءات المتبعة لدى هذه الجهة التخريبية دون تغيير على مر السنين، فهي تعتمد على رسائل بريد إلكتروني للتصيّد الموجّه مهمتها إيصال ملفات أرشيفية تتضمّن ملفات خبيثة، تُنفّذ البرمجية التي تشتمل عليها ويجري تنزيل مكونات أخرى من الإنترنت، وذلك بمجرّد أن ينقر المستخدم على رابط الاختصار، ما يسمح للمهاجمين بالتحكّم في الجهاز الضحية.

وتمكنت العصابة من التهرّب من الرقابة الأمنية وإنهاء الحملة بسرعة، باستخدامها أدوات تجسس تُعرف بالاسم dead-drop resolver، تعمل بصفة حاضنة للمعلومات تشير إلى بنية تحتية إضافية للقيادة والسيطرة، توضع على مجموعة متنوعة من وسائل التواصل الاجتماعي وخدمات التدوين والتراسل الرسمية. وتبدأ العصابة، بمجرد إصابة الضحايا، بالتواصل مع تلك الأدوات التي تعيد توجيه العصابة، وبالتالي تنجح في إخفاء سلسلة الاتصالات.