اكتشاف برمجية خبيثة ثنائية الوظيفة تستهدف منطقة الشرق الأوسط

أثناء عمليات التحقيق في أحد الحوادث أمنية التي وقعت مؤخراً، اكتشفت شركة بالو ألتو نتوركس برمجية خبيثة من فئة “ويبشيل” Webshell، والتي يعتقد بأنها استخدمت من قبل الجهة الإجرامية للوصول عن بعد إلى شبكة إحدى المؤسسات المستهدفة في منطقة الشرق الأوسط.

تكونت البرمجية الخبيثة من برمجيتي Webshell منفصلتين، تعمل الأولى على حفظ وتحميل وظائف البرمجية الثانية بالكامل، لتُمكن بدورها الجهة المهددة من تشغيل مجموعة متنوعة من الأوامر انطلاقاً من السيرفر المستهدف. وبسبب وجود هاتين الطبقتين، تم باستخدام اسم “ثنائية الوظيفة” لوصف وتتبع حركة برمجية Webshell الخبيثة هذه.

تمكنت بالو ألتو نتوركس من استخراج الأوامر التي تم تنفيذها من قبل برمجية “ويبشيل” ثنائية الوظيفة انطلاقاً من سجلات السيرفر المستهدف.

وأظهرت نتائج عمليات التحليل التي قامت بها بأن الأوامر الصادرة عن الجهة المهددة تعود إلى شهر يونيو من العام 2016، ما يشير إلى تمكن الجهة المهددة من الوصول إلى الهدف منذ حوالي العام. بالإضافة إلى أن الأوامر الصادرة تظهر بأن الجهة المهددة كانت مهتمةً بجمع بيانات وحسابات التفويض السرية من السيرفر المستهدف باستخدام أداة ميميكاتز Mimikatz.

كما رصدت استخدام الجهة المهاجمة لبرمجية “ويبشيل” الخبيثة ثنائية الوظيفة لتتحرك بشكل جانبي على طول الشبكة من خلال نسخ نفسها وغيرها من برمجيات “ويبشيل” الخبيثة ونشرها في السيرفرات الأخرى.

وامتازت برمجية “ويبشيل” الخبيثة ثنائية الوظيفة بمنهجية فعالة مكونة من طبقتين، ما جعل من الصعوبة بمكان اكتشافها. وبفضل الطبقات المتعددة، وتضمين محتوى الموقع الالكتروني الشرعي (المرخص له) الذي يتم عرضه بشكل صحيح ضمن المتصفح، فإن الجهة التي أطلقت هذه البرمجية باتت تتمتع بفترات وصول طويلة إلى الشبكة دون الكشف عنها، وهو ما اتضح بجلاء من خلال قدرتها على الوصول إلى النظام المستهدف، والتلاعب به، لما يقرب من عام كامل.

واستنادا إلى الأوامر الصادرة للبرمجية ثنائية الوظيفة، فقد استخدمت الجهات المهددة برمجية “ويبشيل” هذه بهدف تقديم كافة المتغيرات الضرورية لأداة ميميكاتز Mimikatz كي تتمكن من جمع كلمات سر الدخول إلى الحسابات المسجلة. كما استخدمت الجهة المهددة البرمجية ثنائية الوظيفة بهدف التحرك أفقياً عن طريق نسخ برمجيات “ويبشيل” الخبيثة، ونشرها عن بعد ضمن الأنظمة أخرى المرتبطة بالشبكة.