كاسبرسكي تكشف تفاصيل عن هجوم استغلالي يستهدف مستخدمي الهواتف المحمولة في جنوب شرق آسيا

في وقت سابق من شهر مارس، نشرت شركة تريند مايكرو نتائج بحث عن حملة واسعة تقوم على شنّ هجمات تُعرف باسم "بِركة الشرب" Watering Hole وتستهدف المستخدمين في جنوب شرق آسيا ببرمجية تجسس قوية تسمى LightSpy.

وفي أعقاب نشر نتائج الدراسة البحثية تلك، نشر فريق البحث والتحليل العالمي في كاسبرسكي تفاصيل إضافية مهمة عن هذه الحملة التي تستهدف مستخدمي الهواتف المحمولة من خلال روابط خبيثة تؤدي إلى منتديات وقنوات اتصال مختلفة.
 
وعرضت كاسبرسكي في بحثها المنشور على Securelist.com تحليلاً لما يلي:

• الجدول الزمني الخاص بتوظيف إطار المراقبة ابتداء من يناير 2020.

• عينات غير معروفة سابقًا من برمجية LightSpy التي تُزرع في الأجهزة المحمولة العاملة بالنظام Android.
• آثار لبرمجيات تجسس مزروعة تستهدف أجهزة حاسوب بأنظمة Windows وMac وLinux، وأجهزة توجيه بـ Linux.
• مؤشرات جديدة لحدوث اختراقات، وتفاصيل أخرى حول الهجوم.
 
ماذا يُعرف عن هجمات LightSpy؟
توزّع الجهة التخريبية الكامنة وراء الحملة روابط إلى مواقع خبيثة تحاكي مواقع أصلية يرتادها ضحاياهم المستهدفون. وبمجرد أن يزور الضحية موقع الويب المفخّخ، تحاول سلسلة استغلال مخصصة تنفيذ "شيفرة قشرة" shellcode، ما يؤدي إلى تشغيل البرمجية الخبيثة الأصلية بالكامل على هاتف الضحية.
 

صفحة لموقع "بركة شرب"
ونجحت البرمجية الخبيثة في استهداف أجهزة iPhone تعمل بإصدارات حتى 12.2 من النظام iOS. ويُعدّ المستخدمون لأجهزة iPhone بالإصدار الأحدث 13.4 من النظام iOS، في مأمن من هذه الثغرات، التي تستهدف مستخدمي الأجهزة العاملة بنظام التشغيل Android؛ إذ وجد الباحثون عدة إصدارات من هذه البرمجية تستهدف هذا النظام. وعلاوة على ذلك، حدّد باحثو كاسبرسكي بعض المؤشرات على وجود برمجيات خبيثة تستهدف أجهزة Mac وLinux وWindows، بجانب أجهزة توجيه تستند على النظام Linux.
 
ووجد البحث أيضًا أن البرمجية تنتشر من خلال المشاركات والردود في المنتديات، علاوة على منصات الاتصال الشائعة عن طريق نشر روابط عليها تؤدي إلى الصفحات المزيفة المفخخة بالبرمجية القادرة على كسر حماية نظام التشغيل لمنح المهاجمين القدرة على تسجيل المكالمات والصوت وقراءة الرسائل في تطبيقات معينة، وغيرها من الأنشطة الخبيثة.
 
ولا تكفي المعلومات المتاحة حاليًا عن الحملة لتحديد الجهة التخريبية التي تقف وراءها، ما جعل كاسبرسكي تطلق على المهاجمين اسم TwoSail Junk مؤقتًا.
 
وقال ألكسي فيرش الباحث الأمني في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن الفريق حرص على تتبع هذه الحملة وبنيتها التحتية منذ يناير من هذا العام، معتبرًا أنها تشكّل مثالًا مثيرًا للاهتمام على إمكانية وضع بُنية منهجية مرنة وتوظيفها لغايات التجسس في جنوب شرق آسيا، وأضاف: "هذه الاستراتيجية المبتكرة هي شيء رأيناه سابقًا لدى SpringDragon، في حين أن تحديد الموقع الجغرافي المستهدف من البرمجية الخبيثة LightSpy يقع ضمن عمليات استهداف إقليمية سابقة قامت بها SpringDragon، وLotusBlossom، وBillbug APT، وهو ما ينطبق على البنية التحتية واستخدام المنفذ الخلفي "إيفورا". وعلى الرغم من أن الحملة بلغت ذروتها في فبراير، أي عندما شهدنا أعلى نمو للروابط التي تؤدي إلى المواقع الخبيثة، فإنها ما زالت نشطة ولا نزال نراقبها".