برمجيات مخصصة تضيق خطر التجسس الإلكتروني في آسيا الوسطى
نقلت Backend News عن Kaspersky أن حملة نشطة منذ يناير 2025 استخدمت برمجيات مخصصة وبابين خلفيين OctLurk وSilkLurk وأداة PlugX لاستهداف جهات حكومية وصحية وبحثية في آسيا الوسطى وسوريا.
حوّلت حملة تجسس في آسيا الوسطى تخصيص البرمجيات الخبيثة إلى إشارة أمنية رئيسية، إذ ذكرت Backend News نقلاً عن نتائج Kaspersky أن المهاجمين بنوا شيفرة لا تعمل إلا على أجهزة محددة بدلاً من الانتشار الواسع في كل نظام مصاب.
تعمل الحملة منذ يناير 2025 وتستهدف وكالات حكومية ومؤسسات صحية وجهات بحثية وقطاعات حيوية أخرى في آسيا الوسطى وسوريا، وفق النتائج المنسوبة إلى Kaspersky. ويضع ذلك الحادث في فئة أصغر لكنها أصعب في الاكتشاف: فالمشغلون يضحون بالانتشار الواسع مقابل وصول طويل إلى مؤسسات تملك سجلات حساسة أو وظائف عامة.
العنصر التقني الحاسم هو فحص الهدف. وجد فريق Global Research and Analysis Team في Kaspersky أن البرمجية الخبيثة تبحث عن معرف فريد، مثل اسم الحاسوب أو الرقم التسلسلي للقرص الصلب، قبل فك التشفير والتشغيل. وعلى جهاز غير مقصود أو داخل مختبر أمني، يمكن لهذا التصميم أن يترك العينة خاملة وأقل ظهوراً في التحليل المعتاد.
منح بابان خلفيان مخصصان، OctLurk وSilkLurk، المشغلين وصولاً طويل الأمد إلى الأنظمة المخترقة. وبعد الدخول، جلب المهاجمون الأدوات اللازمة للخطوة التالية فقط بدلاً من إسقاط حزمة كاملة مرة واحدة، ودعمت مجموعة الأدوات تسجيل ضغطات المفاتيح وسرقة كلمات مرور المتصفحات وقراءة البريد والتقاط الشاشة والبحث في مجلدات الشبكة المشتركة وجمع بيانات اعتماد خوادم حسابات الموظفين.
لم يعتمد الاستمرار على الشيفرة المخصصة وحدها. استخدم المشغلون أيضاً PlugX Remote Access Trojan إلى جانب برمجيات مراقبة عن بعد مشروعة، وهو مزيج قد يبقي الوصول متاحاً إذا أزال المدافعون مساراً واحداً وفاتهم مسار آخر. وشملت الجهات المحددة في أفغانستان وكازاخستان وقيرغيزستان وسوريا وطاجيكستان وأوزبكستان وزارات حكومية وجهات إنفاذ قانون ومزودي خدمات لوجستية ومرافق تخطيط حضري.
يبقى الإسناد محدوداً. لم تنسب Kaspersky النشاط إلى مجموعة تهديد متقدمة بعينها، بينما قيّم باحثوها بثقة متوسطة أن المشغلين ناطقون بالصينية بسبب استخدام PlugX وتشابهات في بنية المهاجمين. وقال Saurabh Sharma، الباحث الأمني الرئيسي في Kaspersky GReAT، إن بناء نسخ منفصلة لكل ضحية أظهر أن المهاجمين أعطوا الأولوية للتخفي داخل عدد صغير من المؤسسات بدلاً من حجم إصابة واسع.
بالنسبة للمدافعين، الدرس العملي هو أن البرمجيات الخبيثة الموجهة قد لا تكشف نفسها عبر الحجم. وتصبح حماية نقاط النهاية والمراقبة المستمرة للشبكات وتشديد التحكم في أنظمة دخول الموظفين وتدوير بيانات اعتماد المديرين بانتظام مهمة لأن قيمة الحملة تأتي من الوصول الهادئ وتسليم الأدوات انتقائياً وسرقة بيانات الاعتماد المخزنة لا من توزيع حمولة صاخبة.
