كشفت شركة Rapid7 للأمن السيبراني عن حملة تجسس إلكتروني متطورة تستهدف أجهزة الاتصالات والبنية التحتية الشبكية العاملة بنظام Linux في كوريا الجنوبية وتايوان، حيث لجأ المهاجمون إلى أساليب تمويه متقدمة تجعل البرمجيات الخبيثة تبدو وكأنها مكونات شرعية تابعة لحلول حماية البريد الإلكتروني المستخدمة على نطاق واسع داخل المؤسسات.
وتعكس الحملة مستوى متقدمًا من الاحترافية لدى الجهات المنفذة، إذ لم تكتفِ باستخدام أسماء ملفات أو عمليات نظام تبدو مألوفة للمسؤولين الأمنيين، بل عمدت إلى انتحال هوية منتجات أمنية حقيقية تحظى بثقة واسعة في البيئات المستهدفة، بهدف التخفي لفترات طويلة وتجنب الاكتشاف.
برمجيات خبيثة تنتحل هوية حلول أمن البريد الإلكتروني
بحسب الباحثين، تعتمد الجهات المهاجمة على تقليد أسماء وخصائص برامج أمنية معروفة مثل SpamSniper في كوريا الجنوبية وShareTech في تايوان، وهما من الحلول الشائعة المستخدمة لحماية البريد الإلكتروني ومنع الرسائل المزعجة والبرمجيات الضارة.
ويُعد انتحال أسماء العمليات أو الملفات أحد أساليب التهرب الدفاعي المعروفة في عالم البرمجيات الخبيثة، إذ يؤدي إلى إخفاء النشاط الضار بين العمليات الشرعية العاملة على النظام، ما يصعّب على المحللين الأمنيين ملاحظة السلوك المشبوه أثناء عمليات الفحص الروتينية.
لكن العينات التي رصدتها Rapid7 ذهبت إلى أبعد من ذلك، حيث صُممت لتتوافق مع البيئة المحلية لكل دولة مستهدفة، وتختار أسماء وعمليات تحاكي المنتجات الأكثر انتشارًا داخل المؤسسات، بما يمنحها مظهرًا طبيعيًا داخل الشبكات المستهدفة.
وشملت الأدوات المكتشفة نسخة جديدة من الباب الخلفي الشهير BPFDoor، إلى جانب إصدار معدل من البرمجية Rekoobe، فضلًا عن برمجية جديدة لم يُكشف عنها سابقًا أطلقت عليها الشركة اسم AVERAT.
تطور مستمر في قدرات BPFDoor للتخفي داخل الشبكات
يُعد BPFDoor من أخطر الأبواب الخلفية التي استهدفت شبكات الاتصالات خلال السنوات الأخيرة، وقد ارتبط سابقًا بعمليات تجسس طويلة الأمد استهدفت مزودي خدمات الاتصالات في الشرق الأوسط وآسيا.
ويعتمد البرنامج على استغلال تقنية Berkeley Packet Filter أو BPF المدمجة داخل أنظمة Linux، والتي تتيح مراقبة حركة الشبكة وتحليل الحزم المارة عبر الخادم.
وتكمن خطورته في أنه لا يستجيب للاتصالات التقليدية، بل يبقى خاملاً إلى أن يتلقى ما يعرف باسم “الحزمة السحرية” أو Magic Packet، وهي إشارة خاصة تفعّل وظائفه الخفية.
وأشارت Rapid7 إلى أن مطوري البرمجية واصلوا تحديثها استجابةً للجهود الأمنية الرامية إلى كشفها، حيث باتت تستخدم أساليب أكثر تعقيدًا لتجاوز أنظمة المراقبة.
فبعد أن طورت شركات الأمن قواعد لاكتشاف الحزم غير الطبيعية المرتبطة بالبرمجية، بدأ المهاجمون بإخفاء إشارات التفعيل داخل طلبات HTTPS عادية، مستفيدين من بيئات الاتصالات التي تعتمد على فك تشفير SSL في نقاط وسيطة، ما يتيح تمرير أوامر التفعيل دون إثارة الشبهات.
كما أظهرت بعض العينات أسماء عمليات مشابهة لتلك المستخدمة داخل أنظمة Oracle الخاصة بإدارة المشتركين وعمليات التزويد في شبكات الاتصالات، في محاولة إضافية للاندماج داخل البيئة المستهدفة.
Rekoobe وTinyShell.. أدوات للتجسس وسرقة البيانات
بمجرد تنشيط BPFDoor، يقوم البرنامج بإطلاق جلسة TinyShell، وهي أداة تتيح للمهاجمين تنفيذ أوامر تفاعلية عن بُعد وتحميل الملفات وتنزيلها من الأنظمة المصابة.
ويشير الباحثون إلى أن TinyShell سبق رصده في عمليات نسبت إلى مجموعات تجسس مرتبطة بالصين استهدفت شبكات الاتصالات وأجهزة الحافة الشبكية خلال السنوات الماضية.
كما تم اكتشاف إصدار معدل من Rekoobe يستخدم تقنيات BPF لاعتراض حركة TCP وUDP وحتى بروتوكولات SCTP المستخدمة في بعض بيئات الاتصالات.
وتبين أن هذه البرمجيات تتبنى أسماء مرتبطة بمنتج SpamSniper الأمني بهدف التمويه، ما يعزز فرضية أن المهاجمين يدرسون البيئات المستهدفة بعناية قبل تنفيذ هجماتهم.
ويرى الخبراء أن دمج BPFDoor مع TinyShell وRekoobe يشير إلى بناء منصة تجسس متكاملة قادرة على التسلل والبقاء والتجسس ونقل البيانات دون جذب انتباه فرق الحماية.
AVERAT.. باب خلفي جديد يستخدم SMTP للاتصال السري
أحد أكثر الاكتشافات إثارة في هذه الحملة كان البرمجية الجديدة AVERAT، والتي تم نشرها عبر برنامج تنصيب خفي مخصص للأجهزة المستخدمة في تايوان.
وتعتمد AVERAT على بروتوكول SMTP المستخدم عادة في نقل البريد الإلكتروني كقناة اتصال وتحكم مع الخوادم التابعة للمهاجمين.
ويمنح هذا الأسلوب المهاجمين ميزة كبيرة، إذ تبدو الاتصالات وكأنها حركة بريد إلكتروني طبيعية تمر عبر المنفذ 25 المستخدم على نطاق واسع داخل المؤسسات.
ووفقًا للتحليل التقني، تمتلك البرمجية مجموعة واسعة من الوظائف التجسسية تشمل استعراض الملفات والمجلدات، وتنزيل الملفات ورفعها، وحذف البيانات، واستعراض العمليات الجارية على النظام، وإيقاف العمليات التشغيلية، وتشغيل جلسات أوامر تفاعلية عن بُعد، وإعادة تشغيل الأجهزة، وتحميل وحدات إضافية لتوسيع قدراتها، فضلًا عن إنشاء قنوات وكيلة لتمرير الاتصالات عبر الأجهزة المصابة.
كما لاحظ الباحثون أن البنية التحتية المستخدمة للتحكم في AVERAT تشبه إلى حد كبير الشبكات المعروفة باسم Operational Relay Box أو ORB، وهي شبكات من الأجهزة المخترقة تُستخدم لتوجيه العمليات الهجومية وإخفاء هوية الجهات المنفذة.
لماذا تستهدف الهجمات بوابات البريد وأجهزة الحافة الشبكية؟
تشير النتائج إلى أن الجهات المهاجمة تدرك القيمة الاستراتيجية الكبيرة التي تمتلكها بوابات حماية البريد الإلكتروني وأجهزة الحافة الشبكية داخل المؤسسات.
فهذه الأنظمة تتعامل يوميًا مع كميات ضخمة من الرسائل والبيانات وحركة الاتصالات، كما أنها تتمتع بصلاحيات واسعة تسمح لها بالوصول إلى معلومات حساسة.
وقد سبق أن شهد عام 2023 استغلال جهات تجسس مرتبطة بالصين لثغرات خطيرة في أجهزة Barracuda Email Security Gateway من أجل زرع أبواب خلفية دائمة داخل الشبكات المستهدفة.
ويرى الباحثون أن القاسم المشترك في الحملة الحالية يتمثل في “التمويه الإقليمي”، حيث تتعرف البرمجيات الخبيثة على البرامج المستخدمة داخل الدولة أو المؤسسة المستهدفة، ثم تتقمص هويتها بدقة لتقليل فرص اكتشافها.
وتوصي Rapid7 المؤسسات بمراجعة استخدام مرشحات BPF غير المتوقعة على أنظمة Linux، ومراقبة الاتصالات الصادرة عبر المنفذ 25 من العمليات التي لا ترتبط بخدمات البريد الإلكتروني، وإجراء تدقيق دوري للعمليات التي تنتحل أسماء خدمات النظام الشائعة، إضافة إلى تشديد الحماية على أجهزة التوجيه وأجهزة الحافة والبنية التحتية الحساسة في شبكات الاتصالات.
