إسيت تحذر من برمجية ضارة مخفية تؤثر على 500 ألف مستخدم

أعلنت ’إسيت‘، الشركة العالمية الرائدة في مجال الأمن الرقمي، عن إجرائها لتحقيقات أدت لاكتشاف وتحديد تهديد معقد ناجم عن سلالة جديدة من البرمجيات الضارة أصابت أجهزة نصف مليون مستخدم حتى الآن.

وتحلل أحدث الأوراق البحثية التي أصدرتها ’إسيت‘ هذه البرمجيات الخبيثة، التي سميت ’ستانتينكو‘ (Stantinko)، التي تتسم بقدر كبير من الغموض وتتحايل على الضحايا لتحميل برمجيات مقرصنة من مواقع ’تورنت‘ (torrent) وهمية، حيث دأبت هذه البرمجيات على التحول بشكل مستمر لتفادي اكتشافها على مدى السنوات الخمس الماضية. ومع استهدافها بشكل رئيسي للمتحدثين باللغة الروسية، تمثل ’ستانتينكو‘ شبكة من الأجهزة المُخترَقَة (بوت نت) التي يتم كسب الأموال منها من خلال تثبيت ملحقات برامج التصفح التي تضخ إعلانات وهمية أثناء تصفح الإنترنت. وبمجرد تثبيتها على الجهاز، يمكن لهذه البرمجيات إجراء عمليات بحث ضخمة ومجهولة الهوية باستخدام محرك البحث ’جوجل‘، فضلاً قدرتها على إنشاء حسابات وهمية على موقع ’فيسبوك‘؛ مع القدرة على تسجيل الإعجاب بالصور والصفحات وإضافة الأصدقاء.

برمجية خبيثة مستترة قياسية (Modular Backdoor)

تستند قدرة برمجية ’ستانتينكو‘ على تجنب اكتشافها من قبل برامج مكافحة الفيروسات على قدرات تشويش وتخفي عالية على مرأى هذه البرامج ضمن تعليمات برمجية تبدو سليمة. وباستخدام التقنيات المتقدمة، يتم إخفاء هذه التعليمات البرمجية الخبيثة بصورة مشفرة ضمن أحد الملفات أو ضمن ملفات التسجيل الخاصة بنظام ’ويندوز‘. وبعد ذلك، يتم فك تشفير هذه التعليمات باستخدام مفتاح تم إنشاؤه أثناء دخول هذه البرمجية الخبيثة للجهاز للمرة الأولى. ولا يمكن اكتشاف السلوك الخبيث لهذه البرمجيات حتى تتلقى مكونات جديدة من مخدم السيطرة والتحكم، ما يجعل اكتشافها غاية في الصعوبة.

وبمجرد إصابة الجهاز، تقوم هذه البرمجيات بتثبيت اثنتين من خدمات ’ويندوز‘ الضارة التي يبدأ تشغيلها في كل مرة يتم فيها تشغيل النظام. وبهذا الصدد، قال فريدريك فاشون، باحث في البرمجيات الضارة لدى شركة ’إسيت‘: “من الصعب التخلص من هذه البرمجيات بعد إصابة الجهاز بها، إذ أن كل منها قادرة على إعادة تثبيت الأخرى في حال حذفها. وللتخلص من المشكلة بشكل كامل، يتعين على المستخدم حذف كلتا الخدمتين من الجهاز في ذات الوقت”.

وبمجرد دخولها إلى الجهاز، تقوم برمجية ’ستانتينكو‘ بتثبيت اثنين من ملحقات برنامج المتصفح المتوفرة على متجر ’جوجل كروم‘ الإلكتروني – وهي (The Safe Surfing) و(Teddy Protection). وبدوره، قال مارك-إتيان ليفييه، كبير باحثي البرمجيات الخبيثة لدى ’إسيت‘: “تبدو هذه البرمجيات، للوهلة الأولى، وكأنها ملحقات مشروعة لبرنامج المتصفح، حتى أنها تمتلك مواقعاً إلكترونيةً خاصةً بها. ومع ذلك، عند تثبيتها عبر ’ستانتينكو‘، تتلقى الملحقات إعداداً مختلفاً يتضمن قواعداً لتنفيذ عمليات احتيال من خلال الضغط على الإعلانات وضخ الإعلانات”.

وحال تسلل البرمجيات الضارة، يمكن لمشغلي ’ستانتينكو‘ استخدام ملحقات مرنة للقيام بأي شيء يرغبون به على النظام المخترق. ويشمل ذلك إجراء عمليات بحث ضخمة ومجهولة الهوية للعثور على موقعي (Joomla) و(WordPress) وإطلاق هجمات القوة العمياء (brute force attacks) على هذه المواقع والعثور على البيانات وسرقتها وإنشاء حسابات وهمية على موقع ’فيسبوك‘.

كيف يجني قراصنة ’ستانتينكو‘ الأموال؟

يمكن لبرمجية ’ستانتينكو‘ أن تكون مربحةً للغاية باعتبار أن الاحتيال بالضغط على الإعلانات (click fraud) يعتبر مصدر الدخل الرئيسي للقراصنة. وقدرت الأبحاث التي أجرتها شركة ’وايت أوبس‘ (White Ops) و’جمعية المعلنين الوطنيين‘ (Association of National Advertisers) في الولايات المتحدة أن عمليات الاحتيال بواسطة الضغط على الإعلانات ستكبد الشركات 6.5 مليار دولار أمريكي خلال العام الجاري فقط.

وبالإضافة إلى ذلك، يمكن أن تباع تفاصيل المواقع التي وقعت ضحية لهجمات القوة العمياء في السوق السوداء بعد اختراقها ببرمجية ’ستانتينكو‘ التي تقوم بتخمين كلمات المرور بتجربة آلاف كلمات المرور المختلفة. وبالرغم من عدم قدرة باحثي ’إسيت‘ على مشاهدة هذا النشاط الخبيث على الشبكة الاجتماعية، يمتلك مشغلو ’ستانتينكو‘ أداةً تسمح لهم بإجراء عمليات الاحتيال على موقع ’فيسبوك‘ وبيع تسجيلات الإعجاب لاستقطاب انتباه المستهلكين غير المتنبهين.

وعلاوةً على ذلك، تتمتع ملحقات (The Safe Surfing) و(Teddy Protection) بالقدرة على ضخ الإعلانات أو إعادة توجيه المستخدم. ومن جهته، قال ماثيو فاو، باحث البرمجيات الخبيثة لدى ’إسيت‘: “تسمح هذه الملحقات لمشغلي برمجية ’ستانتينكو‘ بتلقي الأموال لقاء حركة المرور التي تقدمها لهذه الإعلانات. كما وجدنا أن بعض المستخدمين يصلون إلى الموقع الإلكتروني الخاص بالمعلن بصورة مباشرة من خلال إعلانات مملوكة لبرمجية ’ستانتينكو‘”.

لمزيد من المعلومات عن برمجية ستانتينكو‘، يرجى زيارة الموقع الإلكتروني: welivesecurity.com