عززت الهجمات الأخيرة لمجموعة ToddyCat مستوى القلق في الأوساط الأمنية، بعد رصد توسّعها في استخدام أدوات وتقنيات جديدة لسرقة بيانات البريد الإلكتروني الخاصة بالشركات، من بينها أداة مخصصة تحمل اسم TCSectorCopy، وفق تحليل تقني صادر عن شركة كاسبرسكي.
أساليب جديدة للحصول على رموز الوصول
أوضحت كاسبرسكي أن المهاجمين باتوا يعتمدون على آلية تتيح لهم الحصول على رموز OAuth 2.0 من خلال متصفح المستخدم نفسه، بما يسمح باستخدامها خارج حدود البنية التحتية المخترقة للوصول إلى البريد الإلكتروني المؤسسي.
ويمثل هذا الأسلوب تطورًا استراتيجيًا في قدرات المجموعة، التي تنشط منذ عام 2020 وتستهدف منظمات في أوروبا وآسيا مستخدمة أدوات مثل Samurai وTomBerBil لسرقة كلمات المرور وملفات تعريف الارتباط من متصفحات مختلفة.
استغلال ثغرات وتطوير برمجيات خبيثة جديدة
في أبريل الماضي، استغلت المجموعة ثغرة في أداة ESET Command Line Scanner (CVE-2024-11859) لنشر برمجية خبيثة غير موثقة سابقًا تُعرف باسم TCESB.
كما كشفت كاسبرسكي عن نسخة PowerShell جديدة من أداة TomBerBil ظهرت في هجمات بين مايو ويونيو 2024، بقدرات تشمل استخراج بيانات من متصفح Firefox وتشغيلها على وحدات تحكم النطاق بصلاحيات واسعة عبر بروتوكول SMB لنسخ الملفات من الأجهزة البعيدة.
وتعمل البرمجية من خلال مهمة مجدولة تنفذ أوامر PowerShell للبحث عن سجل التصفح والكوكيز وكلمات المرور على أجهزة الشبكة، ثم تنسخها حتى لو كانت محمية بتقنية DPAPI، إذ تتمكن من الحصول على المفاتيح اللازمة لفك تشفير البيانات.
H4 — TCSectorCopy.. أداة مخصصة لنسخ ملفات Outlook
طورت ToddyCat أداة جديدة باسم TCSectorCopy مكتوبة بلغة ++C، تهدف إلى تجاوز القيود التي تمنع الوصول إلى ملفات OST الخاصة ببريد Outlook أثناء تشغيل التطبيق.
تقوم الأداة بفتح القرص في وضع القراءة فقط ثم نسخ الملف قطاعًا بقطاع إلى مسار يحدده المهاجم. بعد ذلك، تُستخدم أداة XstReader مفتوحة المصدر لاستخراج محتوى المراسلات.
سرقة رموز الوصول في Microsoft 365
اعتمدت المجموعة أيضًا على أداة SharpTokenFinder للحصول على رموز JWT مباشرة من الذاكرة لدى المؤسسات التي تستخدم Microsoft 365.
وفي إحدى الحوادث، منعت برامج الحماية محاولة الأداة تفريغ عملية Outlook.exe، فاستعان المهاجمون بأداة ProcDump التابعة لـ Sysinternals لتجاوز هذا الحاجز وإتمام عملية التفريغ.
تطور مستمر في التكتيكات
وأكدت كاسبرسكي أن مجموعة ToddyCat تعمل بشكل مستمر على تطوير تقنياتها لإخفاء نشاطها والحصول على بيانات المراسلات المؤسسية من داخل البنى التحتية المخترقة، ما يجعلها واحدة من أكثر مجموعات التهديد تقدّمًا وتطورًا في هذا المجال.
