أصدرت Mandiant تقريراً يوضح حدوث حملتين للبرامج الخبيثة، تم توصيلهما عبر محركات USB، خلال النصف الأول من عام 2023. الحملة الأولى تحمل اسم “Sogu” وترجع إلى مجموعة “TEMP.HEX” الصينية المعروفة بالتجسس السيبراني. تستهدف هذه الحملة العديد من الصناعات في جميع أنحاء العالم وتهدف إلى سرقة البيانات من الحواسيب المصابة. وقد تم اكتشاف ضحايا في الولايات المتحدة وفرنسا والمملكة المتحدة وإيطاليا وبولندا والنمسا وأستراليا وسويسرا والصين واليابان وأوكرانيا وسنغافورة وإندونيسيا والفلبين في قطاعات مختلفة. تحمل Sogu رمز C shellcode وتستخدم DLL الخاصة بالطلب لاختطاف الضحايا وتنفيذ ملف شرعي. تضمن Sogu الاستمرارية عن طريق إنشاء مفتاح تشغيل في التسجيل واستخدام مجدول المهام في Windows للتأكد من تشغيلها بانتظام. كما يدعم Sogu تنفيذ الأوامر وتنفيذ الملفات وسطح المكتب البعيد والتقاط لقطات من الشاشة من الحاسوب المصاب وإعداد قذيفة عكسية والتسجيل الرئيسي.
الحملة الثانية تحمل اسم “Snowydrive” وتستهدف شركات النفط والغاز في آسيا. تم خداع الضحايا لتشغيل ملف تنفيذي يبدو شرعيًا على محرك أقراص USB، مما يؤدي إلى استخراج وتنفيذ مكونات البرامج الضارة الموجودة في مجلد “Kaspersky”. تقوم المكونات بأداء أدوار محددة مثل إنشاء الاستمرارية على النظام المخترق وتفادي الكشف وإسقاط برنامج خلفي وضمان انتشار البرامج الضارة من خلال محركات USB المتصلة حديثًا. كما يدعم البرنامج الخلفي العديد من الأوامر التي تسمح بإجراءات الملفات وتسريب البيانات وقذيفة عكسية وتنفيذ الأوامر والاستطلاع. يستخدم البرنامج الضار مكتبة DLL الخبيثة التي يتم تحميلها جانبيًا بواسطة “GUP.exe” لإخفاء امتدادات الملفات والملفات المحددة بعلامات “system” أو “hidden”.
يشير هذا التقرير إلى أن هجمات البرمجيات الخبثة التي تستخدم محركات USB للانتشار لا تزال تشكل تهديدًا كبيرًا للشركات والمؤسسات في جميع أنحاء العالم. ينبغي على الشركات والمؤسسات اتخاذ خطوات لتقليل المخاطر المحتملة، بما في ذلك توفير التدريب المناسب للموظفين وتحديث برامج الحماية والتحقق من الملفات التي يتم توصيلها عبر محركات USB وتفعيل البرامج الضارة. كما ينبغي على الشركات والمؤسسات تطبيق سياسات صارمة لاستخدام المحركات USB وتحديد الأشخاص الذين لديهم الصلاحية لتوصيلها بالحواسيب في المؤسسة.
ويجب على المؤسسات والشركات اتخاذ إجراءات حماية فعالة لتقليل خطر العدوى بالبرامج الضارة المستندة إلى USB، بما في ذلك توفير التدريب المناسب للموظفين حول كيفية التعامل مع محركات USB والتحقق من الملفات الموجودة عليها، وتحديث برامج الحماية بانتظام وتطبيق سياسات صارمة لاستخدام المحركات USB، بما في ذلك تحديد الأشخاص الذين لديهم الصلاحية لتوصيلها بالحواسيب في المؤسسة.
بالإضافة إلى ذلك، يجب على المؤسسات اتخاذ إجراءات لتقليل احتمال وجود منافذ USB غير الضرورية على الأجهزة المستخدمة في المؤسسة، والتأكد من تشفير البيانات المخزنة على أجهزة USB المستخدمة في المؤسسة.
علاوة على ذلك، يجب على المؤسسات الاستثمار في تقنيات الكشف عن البرامج الضارة المستندة إلى USB والتي تتضمن الكشف المتقدم عن السلوكيات الغير المعتادة والتحليل الديناميكي للملفات، والرصد المستمر للشبكة والأنظمة لتحديد أي أنشطة غير معتادة أو مشبوهة.
