«كاسبرسكي» تكشف عن حملة تجسس رقمي في الشرق الأوسط استمرت 6 سنوات

كشفت كاسبرسكي عن حملة تجسس رقمي استهدفت لمدة طويلة أفرادًا ناطقين بالفارسية في إيران.

ونشطت العصابة التخريبية التي تقف وراء الحملة، والتي أطلق عليها اسم Ferocious Kitten (القط الشرس)، منذ العام 2015 على الأقلّ. وعملت على إيصال برمجية خبيثة دُعيت MarkiRAT إلى المستهدفين لتسرق بياناتهم وتنفّذ أوامر على أجهزتهم.ولهذه البرمجية نسخ يمكنها اختراق متصفح Chrome وتطبيق Telegram لدى المستخدم الضحية.

وفي مارس من هذا العام، جرى تحميل مستند إغراء مشبوه إلى موقع VirusTotal حيث نُشر على الملأ من خلال تغريدة على Twitter قرر باحثو كاسبرسكي، عند ملاحظتها، إجراء مزيد من التحقيق حول المسألة، ليجدوا حملة مراقبة استمرت 6 سنوات ضد أفراد ناطقين بالفارسية في إيران. وأطلق الباحثون على الجهة التي تقف وراء الحملة اسم Ferocious Kitten الذي يعني “القط الشرس”.

وظلّت هذه العصابة ناشطة منذ العام 2015 على الأقل، وتستهدف ضحاياها بمستندات مفخخة تحتوي على وحدات ماكرو خبيثة. وتتنكر هذه المستندات في هيئة صور أو مقاطع فيديو تصوّر أعمالًا ضد النظام الإيراني كاحتجاجات أو أنشطة من معسكرات المقاومة. وتحاول الرسائل المرفقة بتلك مستندات إقناع المستهدفين بفتح الصور أو مقاطع الفيديو المرفقة، فإذا فعلوا يجري إسقاط الملفات التنفيذية الخبيثة في النظام المستهدف، في أثناء عرض المحتوى المرئي للملف على الشاشة.

وتُسقط الملفات التنفيذية الحمولة الخبيثة الرئيسة، وهي عبارة عن برمجية خبيثة مصممة خصيصًا تُعرف باسم MarkiRAT، والتي تشغّل، بمجرد تنزيلها إلى النظام المصاب، برمجية keylogger لتسجيل كل محتوى الحافظة وجميع الضغطات على لوحة المفاتيح، كما تتيح للمهاجمين إمكانية تنزيل الملفات وتحميلها وتمنحهم القدرة على تنفيذ أوامر مختلفة على الجهاز المصاب.

وتمكن باحثو كاسبرسكي من اكتشاف العديد من النسخ المتغيرة من MarkiRAT؛ فوجدوا لإحداها القدرة على اعتراض تشغيل تطبيق Telegram وإطلاق برمجية خبيثة معه، وهي تقوم بذلك عن طريق البحث في الجهاز المصاب عن مستودع البيانات الداخلي الخاص بالتطبيق، وفي حال العثور عليه، تنسخ البرمجية MarkiRAT نفسها فيه ثم تعدِّل الاختصار الذي يقوم بتشغيل Telegram لتنفيذ هذا المستودع المعدل مع التطبيق نفسه.

وثمة نسخة أخرى تعدّل اختصار متصفح Chrome في جهاز الضحية بطريقة مشابهة، لتصبح النتيجة تشغيل تطبيق Chrome لكن مع تنفيذ حمولة MarkiRAT بجانبه في كل مرة يطلق فيها المستخدم هذا التطبيق. وهناك نسخة ثالثة هي نسخة ذات منفذ خلفي من Psiphon؛ أداة VPN مفتوحة المصدر التي تُستخدم غالبًا لتجاوز الرقابة على الإنترنت. ووجدت كاسبرسكي أيضًا دليلًا على أن الجهات التخريبية طوّرت عمليات زرع خبيثة تستهدف أجهزة Android، على الرغم من أن الباحثين لم يتمكنوا من الحصول على أية عينات محدّدة لتحليلها.