تكتيكات على الحافة: قراصنة روس يطلقون برمجيات خبيثة متخفية على أوكرانيا في هجمة تجسسية خاطفة

بدأ الأمر برسالة بريد إلكتروني تبدو بريئة، تعرض وسيلة لعبور نقطة تفتيش على الحدود الأوكرانية - طُعم مغرٍ في بلد يعيش حربًا. لكن خلف اللغة البيروقراطية والوثائق التي تبدو رسمية كانت تختبئ أجندة خفية: سلالة جديدة من البرمجيات الخبيثة، مُهندسة للتجسس، تتسلل بهدوء إلى الأنظمة الأوكرانية. إنها أحدث فصول الصراع السيبراني الذي يشتعل بالتوازي مع المعارك على الأرض، حيث لا تقل الخديعة الرقمية فتكًا عن قوة النيران.

كشف باحثو الأمن السيبراني في ClearSky عن حملة تجسس تستغل قطعتين غير معروفتين سابقًا من البرمجيات الخبيثة - BadPaw وMeowMeow - لاستهداف كيانات أوكرانية. يبدأ الهجوم بحيلة تصيّد كلاسيكية: رسالة بريد إلكتروني مصاغة بالأوكرانية تحتوي رابطًا إلى أرشيف ZIP. أما المستند المرفق، المتنكر في هيئة تصريح لعبور نقاط التفتيش الحدودية، فهو طُعم ذو دلالة جيوسياسية، مُفصّل على مقاس أزمة أوكرانيا الراهنة.

ما إن يُفتح الأرشيف حتى تتكشف الهجمة الحقيقية. يقوم BadPaw، وهو المُحمّل الأولي، بتنزيل MeowMeow وتثبيته بصمت - وهو باب خلفي متطور. يمكن لهذه البرمجية تمشيط الأجهزة المصابة بحثًا عن ملفات محددة والتلاعب بالبيانات كما تشاء - قراءةً وكتابةً أو حذفًا لمعلومات حساسة. ولا تتوقف البراعة التقنية للحملة عند هذا الحد؛ إذ جرى برمجة MeowMeow على استشعار الآلات الافتراضية وأدوات تحليل الأمن السيبراني، وتدمير نفسه ذاتيًا إذا استشعر بيئة بحثية، ما يعقّد جهود دراسته وعرقلة عملياته.

أُرسلت الرسائل من عناوين على ukr.net، وهو مزود بريد إلكتروني أوكراني شرعي استُغل سابقًا في حملات مرتبطة بروسيا لاصطياد بيانات الاعتماد. وتنسب تحليلات ClearSky العملية بدرجة ثقة عالية إلى جهة فاعلة متحالفة مع الدولة الروسية، وتلمّح - بقدر أقل من اليقين - إلى تورط APT28، المعروفة أيضًا باسم Fancy Bear أو BlueDelta أو Forest Blizzard. ويُعتقد على نطاق واسع أن هذه المجموعة تعمل تحت مظلة الاستخبارات العسكرية الروسية، ولها تاريخ حافل بالتجسس السيبراني ضد وكالات حكومية ومقاولين دفاعيين وشركات لوجستية.

ورغم أن هوية الأهداف المحددة ونجاح الحملة لم يُكشف عنهما، فإن تعقيد الهجوم يشير إلى استمرار التصعيد في الأعمال العدائية السيبرانية. وتأتي هذه العملية في وقت أفادت فيه CERT-UA الأوكرانية بحملة منفصلة تستخدم برمجيات خبيثة مختلفة، ما يبرز الوتيرة المتواصلة للحرب الرقمية التي تواجهها المؤسسات الأوكرانية.

إن أحدث موجة من البرمجيات الخبيثة تذكير صارخ: في العالم المعتم للتجسس السيبراني، الحدود رخوة وساحة المعركة في كل مكان. وبينما تستعد أوكرانيا لهجمات إضافية - رقمية ومادية - لم تكن الحاجة إلى اليقظة أكثر إلحاحًا من أي وقت مضى. فكل رسالة خبيثة تنجح في المرور قد تكون كلفتها أكبر بكثير من البيانات: قد تكون أمن دولة بأكملها.

WIKICROOK

• التصيّد: التصيّد جريمة سيبرانية يرسل فيها المهاجمون رسائل مزيفة لخداع المستخدمين كي يكشفوا بيانات حساسة أو ينقروا روابط خبيثة.
• الباب الخلفي: الباب الخلفي طريقة خفية للوصول إلى حاسوب أو خادم مع تجاوز فحوصات الأمان المعتادة، وغالبًا ما يستخدمه المهاجمون للسيطرة سرًا.
• APT28 (Fancy Bear): APT28 (Fancy Bear) مجموعة اختراق مرتبطة بالاستخبارات العسكرية الروسية (GRU)، سيئة الصيت بالتجسس السيبراني والهجمات التخريبية على الحكومات والمنظمات حول العالم.
• الآلة الافتراضية: الآلة الافتراضية حاسوب قائم على البرمجيات يعمل داخل حاسوب آخر، ويوفر بيئات معزولة لأنظمة تشغيل ومهام مختلفة.
• مُحمّل البرمجيات الخبيثة: مُحمّل البرمجيات الخبيثة برنامج يثبت سرًا برمجيات خبيثة أخرى - غالبًا أشد خطورة - على جهاز أو شبكة.