أفاد فريق البحث والتحليل العالمي في Kaspersky (GReAT) أن الجهات الفاعلة في مجال التهديد تستخدم تطبيق Telegram لتثبيت برامج ضارة من نوع Trojan وتستهدف أفرادًا في قطاعي التكنولوجيا المالية والتجارة في بلدان متعددة في أوروبا وآسيا وأمريكا اللاتينية والشرق الأوسط عملية تجسس عالمية تستهدف الشركات والشركات.
تم تصميم البرامج الضارة في هذا النشاط لسرقة البيانات الحساسة مثل كلمات المرور والتحكم في أجهزة المستخدمين لأغراض التجسس، مما يهدد الأمن الشخصي وأمن الشركة.
ويعتقد خبراء كاسبرسكي لاب أن هذا النشاط مرتبط بشبكة DeathStalker سيئة السمعة، والتي تعمل في مجال التهديدات المستمرة المتقدمة (APT)، حيث تقوم بعمليات القرصنة المدفوعة الأجر وتقدم خدمات القرصنة المهنية والاستخبارات المالية، وأعتقد أنها مرتبطة بالمجموعة.
في سلسلة من الهجمات الأخيرة التي تتبعتها كاسبرسكي لاب، حاولت جهات التهديد إصابة الضحايا ببرمجيات DarkMe الضارة. هذا هو حصان طروادة للوصول عن بعد (RAT) المصمم لسرقة المعلومات من الخوادم التي يتحكم فيها المهاجم وتنفيذ الأوامر عن بعد.
واستهدفت الحملة الضحايا في قطاعي البيع بالتجزئة والتكنولوجيا المالية، وتشير المؤشرات الفنية إلى أن البرمجيات الخبيثة تم توزيعها عبر قنوات تيليجرام التي تركز على هذه المواضيع. وانتشرت الحملة في جميع أنحاء العالم، حيث عثرت كاسبرسكي على ضحايا في أكثر من 20 دولة في أوروبا وآسيا وأمريكا اللاتينية والشرق الأوسط.
كشف تحليل سلسلة العدوى أن المهاجم قام بإرفاق ملف أرشيف ضار بالرسائل الموجودة في قناة Telegram. ملفات الأرشيف هذه، مثل ملفات RAR وZIP، ليست ضارة في حد ذاتها، ولكنها تحتوي على ملفات ضارة ذات امتدادات (.lnk،.com،.cmd). عندما يقوم ضحية محتملة بتشغيل هذه الملفات، يتم تثبيت برنامج DarkMe الضار كجزء من سلسلة من الإجراءات.
لا يستخدم المهاجمون Telegram لنشر البرامج الضارة فحسب، بل قاموا أيضًا بتحسين أمان التشغيل وطرق الإزالة بعد الاستغلال. بمجرد التثبيت، قامت البرامج الضارة بحذف الملفات المستخدمة لنشر DarkMe.
ولعرقلة التحليل أكثر ومحاولة الهروب من الاكتشاف، قام المهاجمون بزيادة حجم ملف الغرسة، وأزالوا الدلائل الأخرى، مثل: الملفات، والأدوات، ومفاتيح التسجيل اللاحقة للاختراق، بعد تحقيق مبتغاهم.
وتعليقًا على هذه الحملة، قال ماهر يموت، كبير الباحثين الأمنيين في فريق GReAT في كاسبرسكي: “بدلًا من استخدام أساليب التصيد الاحتيالي التقليدية، استعانت مصادر التهديد بقنوات تيليجرام لدسّ البرمجية الخبيثة. وفي حملات سابقة، رصدنا أيضًا استخدام هذه العملية منصات مراسلة أخرى، مثل Skype، كنواقل للعدوى الأولية. وقد تجعل هذه الطريقة الضحايا المحتملين أكثر ميلًا للثقة بالمرسل وفتح الملف الخبيث، قياسًا على ما هو عليه الحال مع موقع تصيد احتيالي. وبالإضافة إلى ذلك، قد يؤدي تنزيل الملفات من خلال تطبيقات المراسلة إلى إثارة تحذيرات أمنية أقل بالمقارنة مع التنزيلات الاعتيادية عبر الإنترنت، وهو أمر مُواتٍ لمصادر التهديد. وفي حين أننا عادة ما نوصي بالتيقظ لرسائل البريد الإلكتروني والروابط المشبوهة، فإن هذه الحملة تسلط الضوء على الحاجة إلى الحذر عند التعامل حتى مع تطبيقات المراسلة مثل Skype وتيليجرام”.
وتجدر الإشارة إلى أن مجموعة (Deathstalker) كانت معروفة سابقًا باسم (Deceptikons)، وهي مصدر تهديد نشط منذ عام 2018 على أقل تقدير، وربّما منذ عام 2012. ويُعتقد أنها مكونة من المرتزقة الإلكترونيين أو القراصنة المأجورين، إذ يبدو أن لدى مصدر التهديد أعضاء متمرسون يتولون تطوير مجموعات أدوات داخليًا، ولديهم فهم لمنظومة التهديدات المتقدمة المستمرة. والهدف الأساسي للمجموعة هو جمع المعلومات التجارية، والمالية، والشخصية، ومن الوارد أن يكون ذلك لأغراض تنافسية أو استخباراتية تجارية لخدمة عملائها.
وعادة ما تستهدف المجموعة الشركات الصغيرة والمتوسطة، والشركات المالية، وشركات التكنولوجيا المالية، وشركات المحاماة، وفي بعض المناسبات، الكيانات الحكومية. ومع استهداف هذه الأنواع من الأهداف، لم يسبق إطلاقًا رصد قيام مجموعة (DeathStalker) بسرقة الأموال، وهو سبب اعتقاد كاسبرسكي أنها منظمة استخباراتية خاصة.
علاوة على ذلك، تميل المجموعة إلى تجنب تحديد أنشطتها بشكل صريح عن طريق تقليد الأعضاء الآخرين في مشهد APT أو تضمين نسخ زائفة.
