كشفت شركة TrendAI المتخصصة في الأمن السيبراني عن برمجية خبيثة جديدة غير موثقة سابقاً تحمل اسم ASHVEIN، نُسبت إلى مجموعة التهديد الروسية الموالية لموسكو UAC-0099، والتي تستخدمها في حملات تجسس إلكتروني تستهدف موظفين ومسؤولين داخل مؤسسات الحكومة الأوكرانية.
وتُعد ASHVEIN من أكثر الأدوات الهجومية تطوراً التي ظهرت مؤخراً ضمن ترسانة المجموعة، إذ تجمع بين قدرات سرقة البيانات والرقابة الإلكترونية والتحكم الكامل عن بُعد بالأجهزة المصابة، مع اعتمادها على أساليب متقدمة لإخفاء أوامر التشغيل داخل عناصر HTML غير مرئية، في محاولة للتهرب من أنظمة الرصد والتحليل الأمني.
ووفقاً للباحثين، تتابع TrendAI هذا النشاط تحت اسم Earth Sirrush، المعروف سابقاً باسم SHADOW-EARTH-065، بينما تشير المؤشرات إلى أن المجموعة تواصل تطوير أدواتها الهجومية بوتيرة متسارعة منذ بداية الحرب الروسية الأوكرانية.
ما هي برمجية ASHVEIN وكيف تعمل؟
تُعرف البرمجية داخلياً لدى مطوريها باسم TelemetryBrowser، وهي عبارة عن مزيج يجمع بين برمجيات سرقة المعلومات وأحصنة طروادة الخاصة بالتحكم عن بُعد.
وتتمتع ASHVEIN بمجموعة واسعة من القدرات الهجومية التي تجعلها أداة تجسس متكاملة، حيث تستطيع سرقة كلمات المرور وبيانات الاعتماد المخزنة داخل متصفحي جوجل كروم وموزيلا فايرفوكس، بالإضافة إلى التقاط صور للشاشة ومراقبة نشاط المستخدم وجمع الملفات الموجودة على الجهاز المستهدف.
كما توفر البرمجية للمهاجمين إمكانية تنفيذ أوامر PowerShell عن بعد، وجمع بصمات الأجهزة وتحليل مكوناتها، فضلاً عن إنشاء قنوات اتصال مشفرة مع خوادم القيادة والسيطرة لتبادل البيانات المسروقة والأوامر التشغيلية.
ومن أبرز الخصائص التقنية التي رصدها الباحثون قيام البرمجية بإخفاء التعليمات التشغيلية داخل عناصر HTML غير مرئية للمستخدم، ما يجعل اكتشافها أكثر تعقيداً مقارنة بالبرمجيات التقليدية.
وفي بعض النسخ تستخدم البرمجية منصة GitHub كآلية احتياطية لاسترجاع بيانات التحكم عبر ما يعرف بأسلوب Dead Drop Resolver، وهو تكتيك يسمح للمهاجمين بإخفاء البنية التشغيلية الخاصة بهم داخل خدمات شرعية واسعة الانتشار.
تاريخ مجموعة UAC-0099 وتطور أدواتها
ظهرت مجموعة UAC-0099 لأول مرة على رادارات فرق الاستجابة للطوارئ الأوكرانية خلال عام 2023، إلا أن أنشطتها تعود إلى منتصف عام 2022، بالتزامن مع تصاعد العمليات العسكرية الروسية داخل أوكرانيا.
وخلال السنوات الماضية استهدفت المجموعة جهات حكومية وأمنية وعسكرية وهيئات حرس الحدود وشركات الخدمات اللوجستية الأوكرانية، مع تركيز واضح على جمع المعلومات الاستخباراتية ودعم العمليات العسكرية الروسية.
ويرى باحثون لدى ESET أن المجموعة قد تؤدي أحياناً دور وسيط الوصول الأولي لصالح مجموعة Sandworm الروسية الشهيرة، والتي تُعرف بتنفيذ هجمات تخريبية واسعة النطاق ضد البنية التحتية الأوكرانية.
كما تكشف التحقيقات عن تطور ملحوظ في أساليب المجموعة، حيث انتقلت تدريجياً من الاعتماد على أدوات مبنية بواسطة PowerShell ولغة Go إلى تطوير برمجيات أكثر تعقيداً تعتمد على C# وإطار .NET مع إضافة طبقات حماية وإخفاء متقدمة.
وتشمل قائمة الأدوات التي استخدمتها المجموعة خلال الأعوام الأخيرة برمجيات مثل LONEPAGE وTHUMBCHOP وCLOGFLAG وMATCHBOIL وMATCHWOK وDRAGSTARE وBadPaw وMeowMeow وLUNCHPOKE وBURNYBEAR، ما يعكس حجم الاستثمار المستمر في بناء منظومة تجسس متكاملة.
أساليب إصابة تعتمد على الخداع وانتحال المؤسسات الرسمية
أكد الباحثون أن UAC-0099 تستخدم عدداً من تقنيات التوزيع المتطورة لإيصال ASHVEIN إلى الضحايا، بما في ذلك تقنية تحميل المكتبات الجانبي DLL Sideloading، وملفات الأقراص الافتراضية VHD، إضافة إلى برامج تحميل مخصصة مبنية على .NET.
ومن الأمثلة البارزة على ذلك ملف تنفيذي يحمل اسم AnswerFromPolice، يحتوي على مستند مايكروسوفت وورد مزيف يدّعي أنه رد رسمي صادر عن الشرطة الوطنية الأوكرانية.
وعند فتح الملف، تظهر الوثيقة الوهمية التي تبدو شرعية للضحية، بينما تعمل البرمجية الخبيثة في الخلفية لتثبيت مكوناتها وإصابة الجهاز دون إثارة الشكوك.
ويُعد هذا النوع من الهجمات قائماً على مبدأ الهندسة الاجتماعية، حيث يستغل ثقة الموظفين بالوثائق الصادرة عن المؤسسات الحكومية من أجل رفع معدلات نجاح الاختراق.
استخدام الذكاء الاصطناعي لإرباك المحللين الأمنيين
من أخطر التطورات التي رُصدت خلال نشاط المجموعة استخدامها لتقنية تُعرف باسم GuardBreaker، وهي محاولة للتأثير على أدوات التحليل المدعومة بالذكاء الاصطناعي.
ووفقاً لشركة ESET، تضمنت إحدى العينات الخبيثة نصوصاً داخل ملف VBScript تطلب شرح كيفية تصنيع سلاح نووي، وهو محتوى أُدرج عمداً بهدف دفع النماذج اللغوية إلى تفعيل أنظمة الحماية الخاصة بها والتوقف عن تحليل بقية الشفرة البرمجية.
وكان الهدف من هذه الحيلة إرباك منصات التحليل الآلي ومنعها من التركيز على السلوك الحقيقي للبرمجية الخبيثة، إلا أن الباحثين يشيرون إلى أن هذا الأسلوب لم يستمر لفترة طويلة، ويبدو أن المجموعة تخلت عنه لاحقاً.
ويُنظر إلى هذه الواقعة باعتبارها مؤشراً جديداً على بدء المهاجمين في استهداف أنظمة الذكاء الاصطناعي الدفاعية نفسها، وليس فقط المستخدمين أو البنى التحتية الرقمية.
توسع الاستهداف نحو قطاعات مدنية ولوجستية
تشير أحدث المعلومات الاستخباراتية إلى أن أنشطة UAC-0099 لم تعد تقتصر على المؤسسات الحكومية والعسكرية فقط، بل امتدت لتشمل شركات الخدمات اللوجستية ومشغلي البنية التحتية المدنية داخل أوكرانيا.
ويربط الخبراء هذا التوسع بأهمية شبكات الإمداد والخدمات الداعمة في النزاعات الحديثة، إذ أصبحت المعلومات المتعلقة بسلاسل التوريد وحركة الإمدادات والخدمات اللوجستية ذات قيمة استخباراتية عالية.
ويعكس ذلك استمرار تطور الحرب السيبرانية المرافقة للصراع العسكري، حيث تسعى الجهات المهاجمة إلى بناء صورة شاملة عن القدرات التشغيلية والاقتصادية للدولة المستهدفة، عبر الجمع المستمر للمعلومات من المؤسسات الحكومية والمدنية على حد سواء.
