حملة اختراق واسعة تستهدف مزودي خدمات الإنترنت

تعرضت مزودات خدمات الإنترنت (ISPs) في الصين والساحل الغربي للولايات المتحدة لحملة استغلال واسعة النطاق، حيث استخدم المهاجمون تقنيات سرقة المعلومات وتعدين العملات الرقمية على الأنظمة المُخترقة.

آلية الهجوم وتقنيات التسلل

بحسب تقرير أمني من فريق أبحاث تهديدات Splunk، فقد شملت الهجمات:

• استخدام أدوات برمجية تساعد على سرقة البيانات وتحقيق استمرارية التحكم في الأنظمة المصابة.
• تنفيذ عمليات غير ملحوظة لتجنب الاكتشاف، باستثناء بعض الأدلة التي تركتها الحسابات المخترقة.
• الاعتماد على لغات البرمجة النصية مثل Python وPowerShell لتنفيذ الأوامر في بيئات مقيدة واستخدام Telegram API للاتصال والتحكم عن بُعد (C2).

استغلال الثغرات عبر هجمات القوة الغاشمة

تمكنت الجهات المهاجمة من اختراق أكثر من 4,000 عنوان IP تابع لمزودي خدمات الإنترنت، حيث استُخدمت هجمات القوة الغاشمة لاستغلال بيانات اعتماد ضعيفة، مع الإشارة إلى أن هذه الهجمات انطلقت من عناوين IP مرتبطة بأوروبا الشرقية.

البرمجيات الضارة المستخدمة في الهجوم

1. تنفيذ أكواد خبيثة عبر PowerShell لإجراء:
   • فحص الشبكات بحثًا عن أهداف جديدة.
   • سرقة بيانات المستخدمين.
   • نشر XMRig لتعدين العملات الرقمية باستخدام موارد الضحايا.
2. تعطيل برامج الحماية قبل تنفيذ الحمولة الخبيثة، لمنع اكتشاف أدوات التعدين.
3. برمجيات خبيثة متقدمة لسرقة المعلومات، تتمتع بقدرات مثل:
   • التقاط لقطات شاشة.
   • سرقة محتوى الحافظة (Clipboard)، خاصة عناوين محافظ العملات الرقمية مثل Bitcoin (BTC)، Ethereum (ETH)، Binance Chain (ETHBEP2)، Litecoin (LTC)، وTRON (TRX).
   • إرسال البيانات المسروقة إلى بوت على Telegram.

أدوات أخرى مستخدمة في الهجوم

• Auto.exe: يُستخدم لتحميل قوائم كلمات المرور (pass.txt) وعناوين IP (ip.txt) من خادم التحكم لتنفيذ هجمات القوة الغاشمة.
• Masscan.exe: أداة فحص جماعي تُستخدم لمسح آلاف عناوين IP بحثًا عن المنافذ المفتوحة واستغلالها.

أهداف محددة للهجوم

أكد الباحثون في Splunk أن الهجوم استهدف عناوين IP تابعة لمزودي خدمات الإنترنت في الساحل الغربي للولايات المتحدة والصين، حيث تم تنفيذ مسح شامل لعناوين IP، تلاه استغلال المنافذ المفتوحة وهجمات تخمين كلمات المرور.

🔴 ينصح الخبراء بضرورة تأمين الأنظمة باستخدام كلمات مرور قوية، وتفعيل حلول الأمن السيبراني المتقدمة لرصد الأنشطة المشبوهة ومنع هجمات القوة الغاشمة.