رغم اعتقال بعض من أهم مشغليه في مطلع عام 2024، ما يزال شركاء برمجية Grandoreiro الخبيثة يستخدمونها في الحملات الجديدة. اكتشف فريق البحث والتحليل العالمي (GReAT) في كاسبرسكي إصداراً جديداً من البرمجية يركز على المكسيك ويستهدف حوالي 30 مصرفاً. ومن المقرر تسليط الضوء على هذه الاكتشافات في قمة المحللين الأمنيين (SAS) 2024. إذ تُعد برمجية Grandoreiro الخبيثة واحدة من أكثر التهديدات نشاطاً على مستوى العالم، حيث تمثل حوالي 5% من هجمات أحصنة طروادة المصرفية هذا العام. وتُعد المكسيك واحدة من أكثر البلدان المستهدفة بمتغيرات برمجية Grandoreiro الخبيثة، بما يشمل الإصدار الجديد، حيث شهدت 51 ألف حادثة مسجلة هذا العام.
وفق بيانات شركة كاسبرسكي، فقد بدأت برمجية Grandoreiro الخبيثة نشاطها منذ عام 2016. وفي عام 2024، استهدف التهديد أكثر من 1,700 مؤسسة مالية و276 محفظةً للعملات المشفرة في 45 دولةً وإقليماً، فيما أضاف كلاً من آسيا وإفريقيا لقائمة أهدافه، مما يجعله تهديداً مالياً عالمياً حقاً.
بعد مساعدة الإنتربول للسلطات البرازيلية لتتمكن من اعتقال مشغلي برمجية حصان طروادة المصرفية Grandoreiro، اكتشفت كاسبرسكي أن قاعدة المجموعة البرمجية قد تم تقسيمها لإصدارات مجزأة أخف وزناً من برمجية حصان طروادة لمواصلة هجماتها. وقد تمكن تحليل حديث من تحديد إصدار يركز بشكل أساسي على المكسيك، حيث تم استخدامه لاستهداف ما يقرب من 30 مؤسسةً ماليةً. ومن المرجح أن يتمكن صانعوا البرمجيات من الوصول للكود المصدري وإطلاق حملات جديدة باستخدام الإصدارات المبسطة من البرمجيات الخبيثة القديمة.
قال فابيو أسوليني، رئيس فريق GReAT لمنطقة أمريكا اللاتينية: «تؤكد كافة التطورات الأخيرة الطبيعة المتطورة للتهديد. وقد تمثل الإصدارات المجزأة والأخف اتجاهاً قابلاً للتمدد لما هو أبعد من المكسيك ويصل لمناطق أخرى تتجاوز أميركا اللاتينية حتى. ومع ذلك، نعتقد أن زمرة من الجهات التابعة الموثوقة هي الوحيدة القادرة على الوصول للكود المصدري للبرمجية الخبيثة لتطوير مثل هذه الإصدارات الأخف وزناً. تعمل برمجية Grandoreiro الخبيثة بشكل مختلف عن نموذج البرمجيات الخبيثة كخدمة التقليدي الذي اعتدنا عليه. فلن تجد إعلانات على المنتديات السرية تبيع حزمة برمجية Grandoreiro الخبيثة، بل أنها محدودة الوصول على ما يبدو.»
تشكل الإصدارات المتعددة من برمجية Grandoreiro الخبيثة، بما يشمل الإصدار الجديد من البرمجية الخبيثة، ما يقرب من 5% من هجمات حصان طروادة المصرفية العالمية التي اكتشفها كاسبرسكي في عام 2024، مما يجعلها واحدة من أكثر التهديدات نشاطاً في جميع أنحاء العالم. كما قامت كاسبرسكي بتحليل العينات الأحدث من الإصدار الرئيسي من برمجية Grandoreiro الخبيثة لعام 2024، ولاحظت خطوات جديدة. حيث تقوم البرمجية بتسجيل نشاط الفأرة لمحاكاة أنماط المستخدم الحقيقية لتجنب الاكتشاف بواسطة أنظمة تحليل السلوك الأمنية القائمة على تعلم الآلة. ومن خلال إعادة تشغيل حركات الفأرة الطبيعية، تهدف البرمجية الخبيثة لخداع أدوات مكافحة الاحتيال لتصنف النشاط بأنه قانوني.
بجانب ما سبق، اعتمدت برمجية Grandoreiro الخبيثة أسلوب تشفير يُعرف باسم سرقة النص المشفر (CTS)، والذي لم تسجل شركة كاسبرسكي استخدامه في برمجية خبيثة من قبل. في هذه الحالة، تهدف البرمجية الخبيثة لتشفير سلاسل الأكواد الخبيثة. أضاف أسوليني: «تتمتع برمجية Grandoreiro الخبيثة ببنية كبيرة ومعقدة، مما يسهل على الأدوات الأمنية أو المحللين اكتشاف ما إذا كانت سلاسلها غير مشفرة. ويبدو أن هذا هو السبب الذي دفعهم لتقديم هذه التقنية الجديدة بهدف تصعيب الكشف عن هجماتهم وتحليلها.»
تدفق العدوى الأخير للبرمجية الخبيثة Grandoreiro
للحماية من البرمجيات الخبيثة المالية، يوصي خبراء كاسبرسكي الأمنيون المؤسسات بما يلي:
- فعّل سياسة الرفض الافتراضي لحسابات المستخدمين المهمة، وخاصةً تلك الموجودة في الأقسام المالية، مما يضمن حصر الوصول على موارد الويب المشروعة فقط.
- وفر تدريب الوعي بالأمن السيبراني للموظفين، وخاصة أولئك المسؤولين عن المحاسبة، مع التأكد من كونه يتضمن تعليمات حول كيفية اكتشاف صفحات التصيد الاحتيالي.
- استخدم حلول حماية لخوادم البريد الإلكتروني المزودة بقدرات مكافحة التصيد الاحتيالي مثل حل Kaspersky Security for Mail Server لتقليل فرصة الإصابة من خلال رسالة بريد إلكتروني تصيدية.
في حين يجب على المصارف تثقيف زبائنها، يُنصح الأفراد بما يلي:
- تجنب الروابط أو المستندات المرفقة في الرسائل غير المتوقعة أو المشبوهة. الحذر من صفحات الويب، بدايةً من عنوان الويب الصحيح وانتهاءً بتفاصيل الواجهة.
- استخدم حلاً أمنياً موثوقاً، مثل حل Kaspersky Premium، والذي يحمي الأصول الرقمية من مجموعة واسعة من التهديدات السيبرانية المالية.
- ثبت التطبيقات من مصادر موثوقة فقط.
- لا تمنح حقوقاً أو أذونات للتطبيقات قبل التأكد من تطابقها مع مجموعة ميزات هذه التطبيقات.
- ثبت أحدث التحديثات والإصلاحات لجميع البرمجيات المستخدمة.
لمزيد من التفاصيل، قم بزيارة موقع Securelist. من المقرر أن يقدم فريق GReAT تحليلاً شاملاً ونظرةً عامةً حول برمجية Grandoreiro الخبيثة في النسخة السادسة عشرة من قمة المحللين الأمنيين (SAS) التي تقمها كاسبرسكي، وتنعقد في الفترة بين 22 و25 أكتوبر 2024.
