أفادت شركة Kaspersky أن جهات تهديد ناطقة بالصينية يُشتبه في وقوفها وراء موجة جديدة من الهجمات السيبرانية التي بدأت منذ يناير 2025، واستهدفت مؤسسات حكومية في دول آسيا الوسطى مثل أفغانستان، قيرغيزستان، طاجيكستان، أوزبكستان، وكازاخستان، إضافة إلى الجمهورية العربية السورية. هذه المؤسسات تنشط في قطاعات متعددة تشمل الصحة، البحث العلمي، وزارات الخارجية، اللوجستيات، الأمن الداخلي، التخطيط العمراني، وإدارة المرافق العامة، فضلاً عن المؤسسات التعليمية.
أدوات الهجوم: OctLurk وSilkLurk
الهجمات تميزت باستخدام بابين خلفيين جديدين مشفرين هما OctLurk وSilkLurk، إلى جانب أداة مساعدة تدعى LurkProxy لتوجيه حركة الشبكة.
- OctLurk: يتم حقنه في الذاكرة عبر محمل خاص، ويتحقق من الاتصال بالإنترنت قبل تشغيل سكربت لإطلاق LurkProxy. يجمع معلومات النظام ويرسلها إلى خادم C2 محدد، ويستطيع تحميل إضافات مباشرة في الذاكرة لتنفيذ أوامر، جمع محتوى الحافظة، التقاط صور للشاشة، وتحريك المؤشر.
- SilkLurk: يُطلق عبر سلسلة DLL Side-Loading، ثم ينشئ اتصالاً بخادم C2 عبر TCP، يجمع بيانات الضحية ويرسلها، ويستقبل أوامر لتنفيذها مثل ضبط التوقيت المحلي، تحديد فترات النوم، تحديث الإعدادات، أو تحميل إضافات جديدة.
أنشطة ما بعد الاختراق
الباحثون رصدوا أن المهاجمين استخدموا إضافات OctLurk لتنفيذ سلسلة من الأنشطة، منها:
- جمع بصمات النظام وبيانات تسجيل الدخول الناجحة.
- استخراج كلمات المرور من متصفحات مثل Chrome وFirefox.
- تشغيل Keylogger يتخفى في صورة برنامج AnyDesk.
- استخدام أداة Impacket لاستخراج بيانات من وحدات تحكم النطاق.
- فحص الشبكات الداخلية والعامة باستخدام Fscan للبحث عن خدمات مثل SSH وMySQL.
- الوصول إلى خوادم البريد الإلكتروني لجمع الرسائل أو التلاعب بها.
أما SilkLurk فقد استُخدم لإطلاق أوامر عبر PowerShell للاتصال بمصادر شبكية مشتركة باستخدام بيانات إدارية، البحث عن وثائق سرية وأرشفتها باستخدام أدوات مثل WinRAR و7-Zip، إضافة إلى إسقاط باب خلفي معروف هو PlugX المرتبط بمجموعات قرصنة صينية.
دلالات البنية التحتية والتقنيات
كشفت Kaspersky عن وجود تداخل في البنية التحتية بين هذه الحملة وهجمات سابقة تضمنت زرع برمجية SilentRaid، ما يشير إلى استخدام مشترك للبنية التحتية عبر حملات متعددة تستهدف أنظمة تشغيل مختلفة. اللافت أن كل من OctLurk وSilkLurk يعملان بشكل أساسي في الذاكرة، تاركين محمل بسيط على القرص يعتمد على بيانات خاصة بالجهاز مثل الرقم التسلسلي للقرص أو اسم الكمبيوتر لفك تشفير مواقع الحمولة ومحتواها، وهو ما يجعل عملية الهندسة العكسية والكشف الآلي أكثر صعوبة.
