اكتشف باحثون في شركة كاسبرسكي لاب نسخة معدلة من برمجية SynAck Trojan الخبيثة لطلب الفدية تتسم بأنها تستخدم أسلوب Doppelgänging لتجاوز أنظمة الحماية الأمنية من الفيروسات عن طريق "الاختباء" في عمليات مشروعة، وهي المرة الأولى التي يُشاهد فيها هذا الأسلوب من طلب الفدية على أرض الواقع.
وتقوم الجهة الكامنة وراء تطويرSynAckبتنفيذ حيل أخرى لتجنب الكشف؛ إذ تعمل على تشتيت جميع شيفراتها البرمجية والانسحاب إذا كانت هناك دلائل تشير إلى أنه سوف يتم إطلاقها من خلال الآلية الأمنية المعروفة باسم "صندوق الرمل"، أو الملعب البرمجي، والخاصة بالتشغيل الآمن للبرامج، وذلك قبل تجميع العينات البرمجية.
وكانت برمجية SynAck اكتشفت في خريف العام 2017، ولوحظ في شهر ديسمبر تركيزها على استهداف المستخدمين الناطقين بالإنجليزية مع شنّ هجمات القوة الغاشمة عبر ما يُعرف بـ"بروتوكول سطح المكتب البعيد"، يليها التنزيل التثبيت اليدوي للبرمجية الخبيثة. ويُطبّق البديل الجديد الذي كشف عنه باحثو كاسبرسكي لاب منهجاً أكثر تعقيداً، وذلك باستخدام أسلوب Doppelgänging لتفادي الكشف.
وينطوي هذا الأسلوب الذي تمّ الإبلاغ عنه في ديسمبر الماضي، على إدخال شيفرة برمجية من دون ملف باستغلال ميزة وظيفية في النظام "ويندوز" وعملية تنفيذ غير موثقة في مُلقمّ العمليات بالنظام. ويمكن للمهاجمين أن يمرّروا الإجراءات الخبيثة بعد إظهارها كعمليات غير ضارة أو شرعية، حتى وإن كانوا يستخدمون شيفرة خبيثة معروفة، وذلك عبر التلاعب في كيفية تعامل "ويندوز" مع المعاملات الخاصة بالملفات. لا يترك أسلوب Doppelgänging أي أثر خلفه يدلّ عليه، ما يصعّب اكتشاف هذا النوع من الاختراق. وهذه هي المرة الأولى التي تتم فيها ملاحظة استخدام هذا الأسلوب في عمليات حقيقية لطلب الفدية.
وتشتمل السمات الأخرى الجديرة بالملاحظة في هذا النوع الجديد من برمجية SynAck على ما يلي:
- يعمل التروجان على تشتيت شيفرته التنفيذية قبل التجميع، بدلاً من حزمها مثل معظم البرمجيات الأخرى الخاصة بطلب الفدية، ما يجعل من الصعب على الباحثين إجراء هندسة عكسية وتحليل الشيفرة الخبيثة.
- يحجب الروابط المؤدية إلى وظيفة "واجهة برمجة التطبيقات" الضرورية، ويخزن جداول الهاش في سلاسل مختلفة عن السلاسل الفعلية.
- عند التثبيت، يقوم التروجان بمراجعة الملف الدليلي Directory الذي يبدأ منه ملفه التنفيذي، وإذا ما وجد أية محاولة لإطلاقه من غير الملف الدليلي إياه، مثل وضع الحماية التلقائي المحتمل لآلية "صندوق الرمل"، فإنه ينسحب خارجاً.
- كذلك تخرج البرمجية الخبيثة منسحبة دون تنفيذ إذا كان جهاز الحاسوب الضحية يعمل بلوحة مفاتيح مضبوطة بلغة سيريلية.
- وتقوم برمجية SynAck الخبيثة، قبل تشفير الملفات على جهاز ضحية، بالتحقق من جداول الهاش لجميع العمليات والخدمات قيد التشغيل، مقارنة بقائمة التشفير الثابتة الخاصة بها، فإذا وجدت مطابقة، فإنها تحاول إنهاء العملية. وتشمل العمليات المحجوبة بهذه الطريقة الأجهزة الافتراضية والتطبيقات المكتبية وترجمات النصوص البرمجية وتطبيقات قواعد البيانات وأنظمة النسخ الاحتياطي وتطبيقات الألعاب وغيرها، ربما لتسهيل ضبط الملفات القيّمة التي يمكن أن تكون مرتبطة بالعمليات الجارية.
ويعتقد الباحثون أن الهجمات التي تستخدم هذا النوع الجديد من SynAck موجّهة بدرجة كبيرة، فحتى الآن، لاحظوا عددًا محدودًا من الهجمات في الولايات المتحدة والكويت وألمانيا وإيران، بطلبات فدية قدرها 3,000 دولار.
واعتبر أنتون إيڤانوڤ كبير محلّلي البرمجيات الخبيثة لدى كاسبرسكي لاب، أن السباق بين المهاجمين والمدافعين في الفضاء الإلكتروني "سباق بلا نهاية"، مشيراً إلى أن قدرة أسلوب عملية Doppelgänging على إيصال البرمجيات الخبيثة خلف خطوط الحماية ومن خلال أحدث الإجراءات الأمنية دون الكشف عنها، "تمثل تهديداً كبيراً استطاع المهاجمون، بصورة متوقعة، استغلاله بسرعة كبيرة"، وقال: "يوضّح بحثنا كيف استخدمت البرمجية المغمورة نسبياً SynAck هذا الأسلوب لتحسين القدرة على التخفي والإصابة في هجمات طلب الفدية، ولحسن الحظ، تم تنفيذ منطق الكشف عن هذا الأسلوب قبل أن ينتشر في الواقع انتشاراً واسعاً".
وبوسع حلول كاسبرسكي لاب الكشف عن هذه النسخة من SynAck بالأسماء التالية:
- Trojan-Ransom.Win32.Agent.abwa
- Trojan-Ransom.Win32.Agent.abwb
- PDM:Trojan.Win32.Generic
وتوصي الشركة باتخاذ الإجراءات التالية للحفاظ على أمن المستخدمين والأجهزة من هجمات طلب الفدية:
- الحرص على النسخ الاحتياطي للبيانات بانتظام.
- استخدام حل أمني موثوق به مُمكّن بتقنيات كشف السلوك ويستطيع صدّ الإجراءات الخبيثة.
- الحفاظ دائماً على تحديث البرمجيات والتطبيقات على جميع الأجهزة.
- توعية الموظفين وفرق تقنية المعلومات في الشركات، والحفاظ على البيانات الحساسة منفصلة مع تقييد الوصول إليها، واستخدام حل أمان متخصص، مثل Kaspersky Endpoint Security for Business.
- عند الوقوع ضحية لهجمة أدّت إلى تشفير الملفات، فما على المستخدم سوى اللجوء إلى جهاز نظيف للتحقق من موقع No More Ransom، عساه يعثر على أداة لفك التشفير يمكن أن تساعد في استعادة الملفات المشفرة.
يمكن الاطلاع على مدونة كاسبرسكي لاب Securelist.com لمعرفة المزيد من البرمجية الخبيثة SynAck.
