هجمات "Roaming Mantis" الخبيثة تصل إلى الشرق الأوسط

أفاد باحثون من شركة كاسبرسكى لاب، يوم 16 من أبريل، بوجود برمجية خبيثة جديدة تعمل على النظام أندرويد يتم توزيعها من خلال أسلوب إحكام السيطرة على أنظمة أسماء النطاقات (DNS)، وتستهدف في الأساس الهواتف الذكية في بلدان آسيا.

وواصل هذا التهديد الإلكتروني تقدّمه بعد مرور أربعة أسابيع، موسِّعًا نطاقه الجغرافي ليشمل أوروبا والشرق الأوسط، مضيفًا خيار التصيّد في استهدافه للأجهزة التي تعمل بنظام التشغيل iOS، واستغلاله لقدرات تعدين العملات الرقمية في الحواسيب الشخصية.

وقد تمّ تصميم الحملة الهجومية، التي أطلق عليها اسم Roaming Mantis؛ لسرقة معلومات المستخدمين التي تشمل بيانات اعتماد الدخول للأنظمة ومنح المهاجمين القدرة على التحكم الكامل بالأجهزة المخترقة والسيطرة عليها.

ويعتقد الباحثون أن الجهة الكامنة وراء هذه العملية والباحثة منها عن مكاسب مالية، هى عصابة جرائم إليكترونية ناطقة إمّا باللغة الكورية أو الصينية.

وتشير نتائج كاسبرسكي لاب إلى أن جهة الهجوم الكامنة وراء حملة Roaming Mantis تبحث عن أجهزة توجيه ضعيفة ليتم إحكام السيطرة عليها لاختراق الأنظمة وتوزيع البرمجيات الخبيثة من خلال خدعة بسيطة لكنها فعالة للغاية، تتمثل بالتحكّم بإعدادات DNS الخاصة بأجهزة التوجيه المصابة، إلاّ أن طريقة اختراق أجهزة التوجيه ما زالت غير معروفة.

وبمجرد أن تنجح السيطرة على نظام DNS، فإن أي محاولة من جانب المستخدمين للوصول إلى أى موقع ويب سوف تؤدي بهم إلى عنوان ويب ذي مظهر أصلي، ولكن بمحتوى مزور يأتي من خادم تابع للجهة المهاجِمة. ويتضمن هذا المحتوى طلبًا بتحديث متصفح الويب Chrome كالتالي: "To better experience the browsing، update to the latest chrome version of Chrome"(احصل على أحدث إصدار من Chrome للاستمتاع بتجربة التصفح بشكل أفضل). ويؤدى النقر على هذا الرابط إلى بدء تثبيت تطبيق تروجان باسم facebook.apk أو chrome.apk، يحتوي على منفذ خلفي لدخول المهاجمين إلى النظام أندرويد.

وتتحقق برمجية Roaming Mantis الخبيثة مما إذا كان نظام أندرويد قد خضع لتغييرات جذرية، فتطلب إذنًا بإشعاره بأي اتصالات أو أنشطة تصفح يقوم بها المستخدم، كما أنها قادرة على جمع مجموعة واسعة من البيانات، تشمل بيانات الاعتماد الخاصة بالدخول إلى الأنظمة عبر المصادقة الثنائية. كما أن اهتمام الجهة المهاجمة بهذا الأمر، بجانب حقيقة أن جزءًا من شيفرة هذه البرمجية الخبيثة يتضمن إشارات مرجعية لخدمات مصرفية نقالة وهويّات خاصة بتطبيقات ألعاب شائعة في كوريا الجنوبية، يوحي بوجود دافع مالي محتمل وراء هذه الحملة.

وكانت الأبحاث الأولية التي أجرتها كاسبرسكي لاب، قد كشفت عن وجود 150 هدفًا لهذه الحملة، لا سيما في كوريا الجنوبية وبنجلادش واليابان، إلاّ أنها كشفت أيضًا عن وجود آلاف الاتصالات التي تضرب خوادم القيادة والسيطرة الخاصة بالمهاجمين يوميًا، ما يُشير إلى وجود نطاق أوسع للهجوم. وتضمّنت البرمجيات الخبيثة دعمًا لأربع لغات هي الكورية والصينية المبسطة واليابانية والإنجليزية.

وتم توسيع نطاق الهجوم في الحملة حتى باتت تدعم 27 لغة، بينها البولندية والألمانية والعربية والبلغارية والروسية، وقدّم المهاجمون أيضًا أسلوبًا آخر يتمثل فى إعادة توجيه إلى صفحات تصيّد تحمل سمات شركة "أبل" في حال واجهت البرمجية الخبيثة في عملها جهازًا يعمل بالنظام iOS. وتتمثل أحدث إضافة إلى ترسانة أدوات التخريب الخاصة بالحملة، في موقع خبيث ذي قدرة على تعدين العملات الرقمية في الحواسيب الشخصية.

وتشير ملحوظات كاسبرسكي لاب إلى حدوث موجة واحدة على الأقل من الهجمات الواسعة، إذ لاحظ الباحثون استهداف أكثر من 100 من عملاء كاسبرسكي لاب في غضون أيام قليلة.

وأشار سوغورو إيشيمارو، الباحث الأمني في شركة كاسبرسكى لاب اليابان، إلى وجود دافع كبير وراء تهديد حملة Roaming Mantis، مستبعدًا أن يتقلص في المستقبل القريب.

وقال: "أدركنا منذ البداية أنه تهديد نشط وسريع التغيّر، وتُظهر الأدلة الجديدة توسعًا كبيرًا في المناطق الجغرافية المستهدفة لتشمل أوروبا والشرق الأوسط وغيرهما، ونعتقد بأن المهاجمين مجرمو إنترنت يبحثون عن مكاسب مالية، وقد وجدنا عددًا من الأدلة التي تشير إلى أنهم يتحدثون إما الصينية أو الكورية". وشدّد المسئول على أن استخدام أجهزة التوجيه المصابة وأنظمة DNS المسيطر عليها "يسلّط الضوء على الحاجة إلى حماية معززة للأجهزة واستخدام اتصالات آمنة".