Adwind: برمجية خبيثة تغزو أكثر من 400 ألف مستخدم وشركة عالميا

أصدر فريق الأبحاث والتحليلات العالمي في شركة كاسبرسكي لاب بحثًا موسعًا بشأن Adwind: وسيلة الوصول عن بعد RAT، وهي برمجية خبيثة متعددة المنصات والوظائف تعرف أيضًا بأسماء؛ هي: AlienSpy و Frutas و Unrecom و Sockrat و  JSocket و  jRat والتي يتم توزيعها من خلال منصة واحدة للبرمجية الخبيثة المتاحة كخدمة.

ووفقًا لنتائج الدراسة البحثية التي أجريت خلال الفترة بين عامي 2013 و 2016، جرى استخدام إصدارات مختلفة من برمجية Adwind الخبيثة في هجمات استهدفت نحو 443,000 مستخدمًا من القطاع الخاص وشركات تجارية وغير تجارية حول العالم بما فيها الإمارات العربية المتحدة. ولاتزال المنصة والبرمجية الخبيثة نشطة.

وفي نهاية العام 2015، أصبح باحثو كاسبرسكي لاب مدركين لمخاطر البرمجية الخبيثة غير العادية التي اكتشفت خلال محاولة شن هجوم موجه ضد أحد البنوك في سنغافورة. فقد كان هناك ملف خبيث اسمه JAR مرسل كمرفق عبر رسالة بريد إلكتروني خبيثة لموظف مستهدف في البنك.

ومن ضمن إمكانات البرمجية الخبيثة الواسعة أنها قابلة للتشغيل على منصات متعددة الوظائف، بالإضافة إلى حقيقة أنها لم تكن قد اكتشفت من قبل أي من برامج مكافحة الفيروسات، وهو ما جذب اهتمام الباحثين على الفور نحوها.

وتبين أن الشركة قد تعرضت لهجوم عن طريق برمجية Adwind RAT الخبيثة، وهي وسيلة قرصنة إلكترونية تتيح التسلل من “الباب الخلفي” backdoor متاحة للشراء ومكتوبة كليًا بلغة الـ “جافا“، وهو ما يجعلها برمجية خبيثة متعددة المنصات، وهي قابلة للتشغيل على أنظمة ويندوز، وأو إس إكس، ولينوكس، وأندرويد، مما يتيح قدرات فائقة للتحكم بسطح المكتب عن بعد وجمع وتسريب البيانات.

وفي حال قام المستخدم المستهدف بفتح ملف JAR المرفق تقوم البرمجية الخبيثة بتثبيت نفسها تلقائيًا وتحاول الاتصال بمخدم مركز التحكم والسيطرة.

وأوضحت كاسبرسكي لاب أن قائمة مهام البرمجية الخبيثة تشمل القدرة على تسجيل ضربات المفاتيح، وسرقة كلمات المرور المخزنة مؤقتًا والسطو على البيانات من نماذج الويب، والتقاط صور للشاشة الرئيسية، إضافة إلى القدرة على التقاط صور وتسجيل الفيديو من كاميرا الويب.

كما تشمل قائمة مهام البرمجية الخبيثة تسجيل الصوت من الميكروفون، وتحويل الملفات، وجمع معلومات عامة حول النظام ومعلومات المستخدم، إلى جانب سرقة مفاتيح تشفير العملات الإلكترونية، وإدارة الرسائل النصية القصيرة لنظام التشغيل أندرويد، وسرقة شهادات VPN.

وأشارت الشركة الروسية المتخصصة في أمن المعلومات إلى أنه في حين أن Adwind تُستخدم بالدرجة الأولى من قبل المهاجمين الانتهازيين وتنتشر على نطاق واسع في حملات البريد الإلكتروني المزعج، ظهرت هناك حالات استخدمت فيها لشن هجمات موجهة.

وفي آب/أغسطس الماضي ذُكر اسم Adwind في أخبار تتعلق بحملة تجسس إلكتروني استهدفت وكيل النيابة الأرجنتيني الذي عثر عليه ميتًا في كانون الثاني/يناير من العام 2015.

وذكرت كاسبرسكي لاب أمثلة أخرى عن الهجوم الموجه، مثل الهجوم الذي تعرض له البنك السنغافوري، مضيفةً أنه وبإلقاء نظرة متفحصة على حالات تتعلق باستخدام Adwind RAT تؤكد أن الهجمات الموجهة لم تكن الوحيدة.

وخلال مرحلة قيامهم بإجراء دراستهم البحثية، تمكن باحثو كاسبرسكي لاب من تحليل ما يقرب من 200 مثال عن هجمات التصيد الإلكتروني المنظمة من قبل مجرمين مجهولين لنشر البرمجية الخبيثة Adwind، واستطاعوا تحديد معظم الأهداف في قطاعات مختلفة مثل تلك التي تنشط في مجال التصنيع والتمويل والهندسة والتصميم والبيع بالتجزئة، فضلًا عن القطاع الحكومي والشحن والاتصالات والبرمجيات والتعليم والأغذية والإنتاج والرعاية الصحية والإعلام والطاقة.

واستنادًا إلى معلومات مستقاة من Kaspersky Security Network، تم رصد الأمثلة الـ 200 على هجمات التصيد الإلكتروني في الأشهر الستة خلال شهر آب/أغسطس 2015 وكانون الثاني/يناير 2016، وأظهرت النتائج أن أكثر من 68,000 مستخدم قد تعرضوا لهجمات صادرة عن نماذج برمجية Adwind RAT الخبيثة.

وأظهر التوزع الجغرافي للمستخدمين المستهدفين المسجلين عن طريق Kaspersky Security Network خلال هذه الفترة أن نصف أولئك تقريبًا (49%) كانوا يعيشون في الدول العشر التالية، وهي: الإمارات العربية المتحدة، وألمانيا، والهند، والولايات المتحدة، وإيطاليا، وروسيا، وفيتنام، وهونغ كونغ، وتركيا، وتايوان.

واستنادًا إلى طبيعة وخصائص الأهداف المحددة، يعتقد باحثو كاسبرسكي لاب أن عملاء منصة Adwind يتوزعون إلى الفئات التالية: المحتالون الراغبون بالانتقال إلى المستوى التالي (أي استخدام البرمجية الخبيثة لارتكاب جرائم تزوير أكثر تطورًا)، والمنافسون غير الأكفاء، ومرتزقة الإنترنت (جواسيس بالأجرة)، والأفراد من القطاع الخاص الذين يريدون التجسس على الأشخاص الذين يعرفونهم.

وذكر باحثو كاسبرسكي لاب أنه من إحدى السمات الرئيسية المميزة لبرمجية Adwind عن غيرها من البرمجيات الخبيثة التجارية الأخرى أنه يجري توزيعها علنًا ​​في شكل خدمة مدفوعة، بحيث يدفع العميل رسومًا مقابل استخدام البرمجية الخبيثة.

واستنادًا إلى التحقيق الذي أجراه الباحثون بشأن نشاط المستخدمين على لوحة الرسائل الداخلية وبعض الملاحظات الأخرى، بلغ عدد المستخدمين، وفقًا لتقديرات باحثي كاسبرسكي لاب، نحو 1,800 مستخدمًا في النظام بنهاية عام 2015. وهذا ما يجعلها واحدة من أكبر منصات البرمجيات الخبيثة المتوفرة حاليًا.

وقال ألكساندر غوستيف، خبير الأمن الرئيسي في كاسبرسكي لاب، “إن منصة Adwind في وضعها الراهن تخفض بشكل ملحوظ الحد الأدنى من المعرفة المهنية المطلوب توافرها لدى مجرمي الإنترنت المحتملين الذين يتطلعون إلى دخول مجال الجرائم الإلكترونية. ويمكننا القول هنا أنه بناء على تحقيقنا في الهجوم الذي استهدف البنك السنغافوري توصلنا إلى أن المجرم الذي وقف وراء الهجوم لم يكن من القراصنة المحترفين، ونعتقد بأن معظم عملاء منصة Adwind لديهم المستوى ذاته من المعرفة بالكمبيوتر. وهذا الاتجاه في الواقع مثير للقلق”.