المسار الهادئ لـ BusySnake إلى الشبكات الحساسة

ما يجعل BusySnake مثيراً للاهتمام ليس فقط ما يسرقه، بل أيضاً كيفية اندماجه في كتاب تشغيل أوسع للوصول. فالحملة المرتبطة بوسم Armored Likho، والمتتبعة أيضاً تحت الاسم المؤقت Eagle Werewolf، تشير إلى عملية تصيد احتيالي مركزة استهدفت الوكالات الحكومية وقطاع الطاقة الكهربائية في روسيا والبرازيل وكازاخستان. وهذه المجموعة من الأهداف مهمة لأنها توحي بحملة مصممة للوصول إلى الاعتمادات وبناء موطئ قدم لاحق، لا بعملية اقتحام صاخبة وسريعة.

حقائق سريعة

• BusySnake هو سرّاق معلومات لنظام Windows مرتبط بسرقة اعتمادات المتصفح وملفات تعريف الارتباط.
• تعتمد مسار التسليم المبلغ عنه على رسائل بأسلوب التصيد الموجّه ومرفقات خبيثة.
• يمكن ضبط الاستمرارية عبر المهام المجدولة في Windows، بما في ذلك إنشاء المهام عبر COM.
• يمكن أن يمنح نفق SSH عكسي المشغلين وصولاً خفياً للخارج من مضيف الضحية.
• تشمل فئات الضحايا المبلغ عنها الوكالات الحكومية وقطاع الطاقة الكهربائية.

لماذا هذا مهم تقنياً

من زاوية دفاعية، يذكّر BusySnake بأن سرّاق البيانات غالباً ما يكون بداية الاختراق، لا نهايته. فكل من كلمات مرور المتصفح وملفات تعريف الارتباط تعد أصولاً عالية القيمة لأنها قد تتيح الاستيلاء على الحسابات أو إعادة تشغيل الجلسات حتى عندما لا يسيطر المهاجم بالكامل على نقطة النهاية. وهذا يعني أن إغراءً واحداً ناجحاً يمكن أن يفتح الوصول إلى صناديق البريد، والبوابات الإلكترونية، وغيرها من الخدمات السحابية المرتبطة التي تقع بعد الاختراق الأول.

وتفصيل الاستمرارية مهم بالقدر نفسه. فالمهام المجدولة في Windows شائعة في الإدارة الطبيعية، لذا يمكن للبرمجيات الخبيثة التي تنشئها أن تختبئ على مرأى من الجميع إذا كانت المراقبة خشنة أكثر من اللازم. وقد يقلل استخدام مسار COM الخاص بـ Schedule.Service بدلاً من استدعاء أوضح عبر سطر الأوامر من احتمال اكتشافات بدائية، ولهذا يحتاج المدافعون إلى بيانات تتبع العمليات وإنشاء المهام معاً، لا كلٌ على حدة.

كما أن استخدام BusySnake المبلغ عنه لنفق SSH عكسي يضيف طبقة أخرى. إذ يمكن للأنفاق الصادرة أن تتيح للمشغل الحفاظ على قدرة الوصول العكسي من دون فتح خدمة واردة صاخبة، وهو أمر مفيد بشكل خاص في الشبكات التي تكون فيها ضوابط المحيط صارمة لكن حركة المرور الصادرة أقل تدقيقاً. وعملياً، قد يحول ذلك محطة عمل مخترقة إلى نقطة ترحيل هادئة.

المعلومات المتاحة تدعم تحليلاً للمخاطر، لا إسناداً قاطعاً للدافع أو للاختراق الكامل. وحتى وقت كتابة هذا النص، لم تثبت المعلومات العامة بشكل كامل النطاق الكامل للمستخدمين المتأثرين أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق.

دروس دفاعية

ينبغي على المؤسسات في القطاعين الحكومي والطاقوي التعامل مع التصيد المعتمد على الأرشيفات والاختصارات كأولوية في التحكم. ويمكن أن يساعد ترشيح المرفقات، والمصادقة متعددة العوامل المقاومة للتصيد، وبيانات تتبع الطرفية الخاصة بإنشاء المهام المجدولة، والتنبيهات الخاصة بالوصول إلى مخزن اعتمادات المتصفح من عمليات غير المتصفح. كما قد يكشف البحث عن نشاط Python غير المعتاد، وآثار PyArmor، وسلوك SSH الصادر المريب عن اختراق في مراحله المبكرة قبل أن يصبح الوصول دائماً.

الخلاصة

العبرة الأوسع بسيطة: مجموعات الاختراق الحديثة تمزج بشكل متزايد بين ميزات Windows العادية، وسرقة المتصفح، والنفق الخفي في سلسلة تشغيل واحدة. وبالنسبة للمدافعين، لم يعد التحدي مجرد حظر أول رسالة بريد. بل يتمثل في التعرف على متى يكون مسار تنفيذ يبدو روتينياً هو في الحقيقة الخطوة الافتتاحية في حملة أطول للحصول على الوصول.

TECHCROOK

مفتاح أمان الأجهزة: خيار بسيط للمصادقة متعددة العوامل المقاومة للتصيد على الحسابات المهمة. يضيف عامل تسجيل دخول مادي يمكن أن يساعد في تقليل قيمة كلمات المرور والجلسات المسروقة. ويُستخدم على أفضل وجه إلى جانب ممارسات قوية لنظافة كلمات المرور ومراقبة الأجهزة.

Scheda Techcrook: Hardware security key

WIKICROOK

• Infostealer: برمجية خبيثة مصممة لجمع بيانات الاعتماد وملفات تعريف الارتباط ولقطات الشاشة أو غيرها من البيانات الحساسة من الأنظمة المصابة.
• Spear-phishing: تصيد موجّه يستخدم إغراءات مصممة خصيصاً لخداع أشخاص أو مؤسسات محددة لفتح محتوى خبيث.
• Scheduled task persistence: تقنية تستخدم أتمتة Windows لإعادة تشغيل البرمجيات الخبيثة بعد إعادة التشغيل أو على فترات محددة.
• Reverse SSH tunneling: نفق صادر يتيح لمشغل بعيد الوصول إلى الخدمات على جهاز الضحية من دون تعرض وارد واضح.
• Browser credential store: الملفات والبيانات المشفرة التي يستخدمها المتصفح لحفظ كلمات المرور والجلسات وملفات تعريف الارتباط لاستخدام لاحق.