ماتريوشكا خطيرة: كل ما تحتاج لمعرفته عن ملفات البرامج الخبيثة متعددة التنسيقات

تزايد ظهور الملفات المصممة بتقنية التنسيقات المتعددة في الهجمات السيبرانية خلال السنوات الأخيرة. وتتيح للمهاجمين تمرير البرامج الضارة خلسة عبر مرشحات البريد الإلكتروني وأدوات فحص الملفات، وتضليل الضحايا في هجمات التصيد الاحتيالي، فضلاً عن تعقيد عمليات التحقيق في الحوادث الأمنية. ولتحقيق ذلك، يتعمد المهاجمون بناء ملف يمكن للنظام تفسيره بتنسيقات مختلفة وفقًا للتطبيق الذي يفتحه.  ومن الأمثلة الكلاسيكية على ذلك ملف يمكن التعامل معه كصورة بتنسيق PNG أو كأرشيف ZIP. وكل ما يتطلبه الأمر هو تغيير امتداد الملف، أو ببساطة استخدام أحد التطبيقين لفتحه.

دعونا نلقي نظرة على الأسباب التي تجعل إنشاء مثل هذه الملفات ممكنًا من الأساس، ومجموعات التنسيقات التي ظهرت بالفعل في الهجمات الواقعية، وكيف يمكن للمؤسسات حماية نفسها من هذا التهديد.

لماذا يُعد إنشاء الملفات متعددة التنسيقات ممكنًا؟

نادرًا ما تكون تنسيقات البيانات المستخدمة في الملفات متعددة التنسيقات غريبة أو غير مألوفة. ويعود الأمر برمته إلى دمج ذكي بين تنسيقات شائعة تصادف توافقها من الناحية الهيكلية. وتستغل الملفات متعددة التنسيقات واحدة على الأقل من السمات الاستثنائية التالية في بعض تنسيقات الملفات:

• تتطلب معظم تنسيقات الملفات فك تشفيرها وقراءتها بدءًا من البايت الأول تمامًا، غير أن بعضها يتطلب قراءتها من النهاية. وخير مثال على ذلك هو أرشيف ZIP: لا يمنع وجود بداية تالفة أو مفقودة التطبيقات من قراءة الملف، نظرًا لأن جميع الرؤوس المطلوبة توجد بالفعل في النهاية. ويتيح ذلك للمهاجمين ببساطة دمج ملفين معًا – كما في المثال السابق، صورة PNG وأرشيف ZIP. وتُقرأ البداية كصورة PNG صالحة، بينما تُقرأ النهاية كأرشيف ZIP سليم.
• تعمل العديد من التنسيقات على غرار دمى الماتريوشكا الروسية المتداخلة: رغم أنها تحمل ظاهريًا امتدادًا محددًا يتطابق مع الغرض المخصص لها، إلا أن الملف في جوهره عبارة عن أرشيف ZIP يحتوي على البيانات الضرورية في الداخل. وتتضمن هذه المجموعة مستندات Office الحديثة (DOCX/XLSX/PPTX) وحزم تثبيت Android (APK) وملفات مكتبة Java (تنسيق JAR)، وغيرها الكثير.
• لا تفرض بعض التنسيقات متطلبات هيكلية صارمة – أو تكون متطلباتها مرنة بما يكفي لتمكين التطبيق الذي يعالج الملف من تحديد موقع المقطع الذي يحتاجه حتى وإن لم يكن ذلك المقطع في البداية.

يوثق مستودع Polydet على منصة GitHub أمثلة عديدة لتركيبات الملفات الممكنة لبناء ملف متعدد التنسيقات. ووفقًا لتصنيف إطار MITRE، تندرج هذه التقنية تحت فئة التمويه والتنكر (T1036.008، التمويه بنوع الملف).

أمثلة على الملفات متعددة التنسيقات في هجمات سيبرانية شهيرة

تكشف تحليلات حملات البرامج الضارة المتاحة للجمهور عن شتى أنواع الملفات متعددة التنسيقات. ويكيّف المهاجمون سيناريو الهجوم بأكمله ليتوافق مع تركيبة محددة من أنواع الملفات.

أرسلت مجموعة Head Mare البرنامج الضار PhantomPyramid في هيئة مرفق ZIP. وكان الملف يتألف من تعليمات برمجية قابلة للتنفيذ لنظام Windows (تنسيق EXE) مع أرشيف ZIP صغير مدمج في نهايته. وعندما يفتح الضحية الأرشيف، يجد بداخله ملفًا يحمل الامتداد PDF.LNK، والذي يقوم بدوره بتشغيل المرفق متعددة التنسيقات نفسه – لكن هذه المرة كملف قابل للتنفيذ.

في الهجوم الذي وثقه فريق JPCERT، أنشأ المهاجمون ملفًا يبدأ بهيكل PDF واكتشفته معظم أدوات الفحص كملف PDF، غير أنه كان يحمل الامتداد DOC ويُفتح في تطبيقات Office كمستند DOC سليم وصالح يحتوي على وحدات ماكرو ضارة.

استخدمت الهجمات التي تنشر فيروسا حصان طروادة StrRAT وRatty ملفًا متعدد التنسيقات مبنيًا من حزمة مثبت Windows تحمل توقيعًا (MSI) مع تعليمات برمجية بلغة Java ضارة (JAR) مثبتة في النهاية.

استخدمت هجمات StrelaStealer ملفًا متعدد التنسيقات بامتداد HTML: مكتبة Windows (DLL) تم إلحاق مستند HTML خادع في نهايتها. وتولى ملف اختصار (LNK) داخل الأرشيف استدعاء الملف مرتين: الأولى عبر أمر start (وهو النظير البرمجي للنقر المزدوج، لفتح المستند في المتصفح)، والثانية باستخدام أداة rundll32 لتنفيذ مكتبة DLL الضارة.

في هجوم محاكًى يتسم بالبراعة، دمج باحثون ملفي ZIP عاديين معًا، ووجدوا أن برامج الأرشفة الشائعة عرضت الملف المدمج بطرق متباينة: أظهر بعضها الأرشيف الأول فقط، وعرض بعضها الثاني فقط، بينما أظهرت برامج أخرى كلا الأرشيفين معًا كأنهما ملف أرشيف واحد بمحتويات مشتركة. وإذا كان المهاجم على دراية بالبنية التحتية للضحية ويعلم البرامج المثبتة لديه، فيمكنه استغلال هذا الدمج لعرض ملف معين أمام أدوات الأمان، وعرض ملف آخر مختلف تمامًا أمام الضحية.

وظّف المهاجمون ماتريوشكا برمجية ضارة ومعقدة في حملة استهدفت نشر برنامج سرقة المعلومات IcedID. حيث أرفقوا أرشيف ZIP برسائل البريد الإلكتروني الاحتيالية، وعند فك ضغطه يُنتج ملف صورة قرص ISO. وكان هذا الملف الأخير بدوره يستخرج ملف تعليمات CHM (تعليمات Windows) مصممًا بتقنية الملف متعدد التنسيقات. وعندما يفتحه الضحية باستخدام أداة مساعدة تعليمات Windows الافتراضية، يُنفذ الملف برنامجًا نصيًا بلغة JavaScript مدمجًا داخل محتوى المساعدة، ليتولى بدوره تشغيل تطبيق mshta القياسي (مستضيف تطبيق Microsoft HTML) وتوجيهه نحو ملف CHM ذاته. وقد عمد منفذو الحملة إلى تضمين تطبيق HTA داخل ملف CHM بطريقة تضمن ألا يؤثر وجوده إطلاقًا على قراءة الملف كمستند تعليمات بريء. بينما يتجاهل معالج HTA من جانبه كل البيانات الزائدة في مطلع الملف بسلاسة حتى يعثر على برنامج HTA النصي المستهدف.

كيف تتعامل أدوات الأمان مع الملفات متعددة التنسيقات

توضح الأمثلة السابقة بوضوح كيف تتيح حيلة القراءة المزدوجة هذه للمهاجمين نشر البرامج الضارة على كمبيوتر الضحية. لكن كيف تتعامل مرشحات البريد الإلكتروني وأنظمة الاستجابة والاكتشاف عند نقاط النهاية (EDR) فعليًا مع مثل هذه الملفات؟ تعتمد الإجابة كليًا على الحل الأمني المعني، لذا يتعين التحقق من ذلك – إما بمراجعة الوثائق التقنية للجهة المطورة، أو بإجراء اختبارات خاضعة للسيطرة داخل البنية التحتية للمؤسسة مع اتخاذ كافة الاحتياطات اللازمة.  وبوجه عام، لا يصح في جميع الأحوال وبصورة مطلقة سوى نقطتين أساسيتين:

• لا تثق معظم حلول الأمان بالامتداد المصرّح به للملف؛ بل تفحص بدايته لتحديد بنيته الفعلية. ولهذا السبب، في الهجوم الموضح أعلاه، جرى تحليل ملف PDF الذي يحمل الامتداد DOC على أنه مستند PDF غير ضار، بينما استقرت وحدة الماكرو الضارة في الجزء المدمج الخاص بمستند DOC.
• إذا بدأ الملف بهيكل غير ضار (على سبيل المثال كصورة) وتطابق امتداده مع ذلك، فمن المرجح ألا يخضع لتحليل أكثر تقدمًا. ويستطيع المهاجمون استغلال هذه الثغرة: قد تطلب التعليمات المرفقة بالملف من الضحية إعادة تسميته بحيث يرتبط سلوك النظام اللاحق بالحمولة الضارة الثانية بدلاً من الصورة.

كيفية حماية مؤسسة من هجمات الملفات متعددة التنسيقات

لا يتطلب التصدي للملفات متعددة التنسيقات حلولاً تقنية أو تنظيمية معقدة – بل يتطلب بدلاً من ذلك تطبيقًا صارمًا ومستمرًا لقواعد النظافة السيبرانية الأساسية عبر المؤسسة بأكملها:

• استخدم قوائم سماح مغلقة للتطبيقات المصرح بتشغيلها على محطات عمل الموظفين. واستبعد تطبيقات Windows القديمة، وأدوات Microsoft الإدارية غير المستخدمة، وبرامج الوصول عن بُعد ونقل الملفات، وأي برامج أخرى تُعد قديمة أو يحتمل أن تشكل خطرًا.
• استخدم حلول أمان متقدمة للبريد الإلكتروني مزودة بتقنية CDR (تكنولوچيا نزع سلاح المحتوى وإعادة بنائه، التي تجرد المرفقات المشبوهة وتعيد بناءها في نسخ أكثر أمانًا) وتكنولوچيا التفجير الآمن (تشغيل المرفقات المشبوهة في بيئة معزولة لتحليلها). وقم بتكوين إعدادات التحليل العميق للمرفقات التي تُظهر علامات خارجية تدل على أنها ملفات متعددة التنسيقات: كل ملفات الأرشيف ومستندات Office، والملفات ذات الامتدادات غير القياسية، وما شابه ذلك.
• بالمثل، قم بتكوين حل EDR لإجراء تحليل عميق للملفات متعددة التنسيقات المحتملة أيضًا.
• أنشئ قواعد مراقبة ترسل تنبيهات عند رصد ارتباطات غير اعتيادية بين عملية والملفات الممررة إليها للمعالجة – مثل تشغيل ملف CHM عبر أداة mshta، أو تشغيل ملف HTML عبر أداة rundll32، كما هو موضح في الأمثلة السابقة.
• أضف معلومات أساسية عن الملفات متعددة التنسيقات إلى برنامج التوعية الأمنية للموظفين حتى يظل المستخدمون في حالة تأهب عند تلقي تعليمات بتغيير امتداد ملف ما أو التعامل معه بطريقة غير اعتيادية – كفتحه باستخدام تطبيق محدد، على سبيل المثال.