حذرت شركة كاسبرسكي من حملة إلكترونية جديدة تستهدف المطورين في قطاعات الطيران والتكنولوجيا المالية بمنطقة الشرق الأوسط وإفريقيا، وذلك عبر عروض توظيف وهمية على منصة LinkedIn وبرمجيات تجسس جديدة متعددة المنصات.
ورصد فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) الحملة، التي تنسبها الشركة إلى مجموعة Mirage Kitten المتخصصة في الهجمات المتقدمة المستمرة (APT)، موضحًا أن المهاجمين يستهدفون بشكل خاص مهندسي البرمجيات في مصر وإثيوبيا وأفغانستان، مع رصد برمجيات خبيثة مرتبطة بالحملة في دول أخرى من بينها ألمانيا وتركيا وإسرائيل والهند وإيرلندا.
وتأتي هذه النتائج بعد كشف كاسبرسكي في يوليو الماضي عن استخدام المجموعة لأداة باب خلفي مخصصة لنظام التشغيل Windows.
مسؤولون وهميون يستدرجون المطورين
تعتمد الحملة على الهندسة الاجتماعية لاستدراج الضحايا، إذ ينتحل المهاجمون هوية مسؤولي توظيف واستقطاب كفاءات في شركات تكنولوجية كبرى عبر LinkedIn، ثم يتواصلون مع مهندسي برمجيات يعملون في قطاعات الطيران والتكنولوجيا المالية.
وبعد بدء التواصل، يدعو المهاجمون الضحية إلى إجراء تقييم تقني، ويرسلون إليه رابطًا لتحميل «تحدي برمجة» مستضاف على خدمة تخزين سحابية شرعية تابعة لشركة أمازون.
ويستخدم المهاجمون عامل الوقت لزيادة الضغط على المرشحين، إذ يحددون مهلة قصيرة لإنجاز التحدي تتراوح بين ساعة وثلاث ساعات، إلى جانب تحذيرهم من استخدام أدوات الذكاء الاصطناعي في المهام البرمجية، الأمر الذي قد يساعد في اكتشاف الشفرة الخبيثة المخفية داخل حزمة التحدي.
البرمجيات الخبيثة تتسلل أثناء اختبار التوظيف
تبدأ عملية الاختراق بمجرد قيام المطور بتحميل تحدي البرمجة وتشغيله على جهازه. وبينما ينشغل المرشح بتنفيذ المطلوب منه وإنشاء النماذج الأولية للبرنامج، تعمل البرمجية الخبيثة في الخلفية على تثبيت نفسها دون علمه.
ويمثل هذا الأسلوب تطورًا لافتًا في هجمات التجسس الإلكتروني، إذ يستغل عملية توظيف تبدو طبيعية للوصول مباشرة إلى أجهزة مطورين قد تتمتع بصلاحيات واسعة داخل بيئات الشركات.
Mirage Kitten تتجه إلى JavaScript وNode.js
وبحسب كاسبرسكي، اعتمدت مجموعة Mirage Kitten في السابق على برمجيات خبيثة تقليدية مكتوبة بلغات مثل C وC++ وGo، وكانت تستهدف أنظمة Windows بصورة أساسية.
لكن المجموعة أعادت تطوير ترسانتها باستخدام Node.js وJavaScript، بما يسمح لها باستخدام قاعدة برمجية واحدة لاستهداف أنظمة التشغيل Windows وmacOS وLinux.
وترى كاسبرسكي أن هذا التحول يوسع نطاق التهديد، ويمنح المهاجمين مرونة أكبر في استهداف المطورين والمؤسسات التي تعتمد على بيئات تشغيل وأنظمة مختلفة.
NodeRabbit تستهدف بيئة المطورين
حدد باحثو كاسبرسكي عائلتين جديدتين من البرمجيات الخبيثة المستخدمة في الحملة، الأولى هي NodeRabbit، وهي حصان طروادة للوصول عن بُعد يعتمد على Node.js ويتم إخفاؤه داخل حزم تطوير شائعة الاستخدام.
وتمنح NodeRabbit المهاجمين قدرة واسعة على التحكم في الجهاز المصاب، كما تستخدم أساليب تستهدف بيئة عمل المطورين للحفاظ على الوصول إلى الأجهزة لفترات أطول.
ومن بين هذه الأساليب تثبيت إضافات وهمية لمساحة العمل تعمل بالتوازي مع Microsoft Visual Studio Code، فضلًا عن تعديل مستودعات الشفرة البرمجية المحلية للمطورين، بحيث يتم تشغيل التهديد تلقائيًا عند حفظ أو دمج الشفرة في مشروعاتهم.
PollCat تجمع بيانات من أجهزة الضحايا
أما البرمجية الخبيثة الثانية، التي أطلقت عليها كاسبرسكي اسم PollCat، فهي أيضًا حصان طروادة للوصول عن بُعد ومكتوبة بلغة JavaScript.
وتنتظر PollCat قيام الضحية بإدخال كلمة مرور تستخدم لمرة واحدة يوفرها مسؤول التوظيف الوهمي للوصول إلى تحدي البرمجة، ثم تبدأ في جمع معلومات عن النظام وفحص المجلدات وإرسال البيانات إلى المهاجمين.
ويُظهر هذا الأسلوب كيف يمكن للمهاجمين استغلال تفاصيل تبدو طبيعية في إجراءات التوظيف، مثل رموز الوصول وكلمات المرور المؤقتة، لتنفيذ أنشطة خبيثة على أجهزة المرشحين.
كاسبرسكي: المطورون أهداف عالية القيمة
وقال عمر أمين، الباحث الأمني الخبير في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن انتقال Mirage Kitten من البرمجيات الخبيثة التقليدية إلى تهديدات تعتمد على JavaScript يمثل تحولًا مهمًا في أساليب المجموعة.
وأوضح أن استغلال عمليات التوظيف ودمج الشفرة الخبيثة داخل أدوات المطورين اليومية يمكن أن يساعد المهاجمين على تجاوز بعض الحدود الأمنية للمؤسسات دون اكتشافهم بسهولة.
وأشار إلى أن المطورين يمثلون أهدافًا مرتفعة القيمة في عمليات التجسس الإلكتروني، نظرًا لما يتمتعون به عادة من صلاحيات وصول واسعة إلى شبكات وبيئات العمل داخل الشركات.
توصيات لحماية المؤسسات من هجمات APT
ولتقليل مخاطر هجمات Mirage Kitten وغيرها من مجموعات الهجمات المتقدمة المستمرة، توصي كاسبرسكي المؤسسات باتباع مجموعة من الإجراءات، من أبرزها:
- استخدام حلول أمنية متقدمة مثل Kaspersky Next لتوفير الحماية المستمرة والرؤية الشاملة للتهديدات، إلى جانب إمكانات الكشف والاستجابة للنقاط الطرفية (EDR) والكشف والاستجابة الموسعة (XDR).
- الاستفادة من خدمات الأمن المدارة، بما في ذلك Compromise Assessment وManaged Detection and Response (MDR) وخدمات الاستجابة للحوادث، بهدف اكتشاف التهديدات والتحقيق فيها ومعالجتها.
- تزويد فرق أمن المعلومات ببيانات استخبارات تهديدات شاملة من خلال Kaspersky Threat Intelligence للمساعدة في تحديد المخاطر السيبرانية وفهم سياقها والاستجابة لها في الوقت المناسب.
- توعية فرق التطوير وموظفي التوظيف بخطورة عروض العمل والاختبارات البرمجية غير الموثوقة، خصوصًا عندما تطلب تنزيل ملفات أو حزم برمجية من مصادر خارجية.
وتسلط الحملة الضوء على تطور أساليب الهندسة الاجتماعية والتجسس الإلكتروني، حيث لم يعد المهاجمون يعتمدون فقط على رسائل التصيد التقليدية، بل أصبحوا يستغلون سيناريوهات مهنية موثوقة، مثل التوظيف والاختبارات التقنية، للوصول إلى المطورين والأجهزة التي يستخدمونها.
