هاكرز يتحدثون الصينية يستهدفون حكومات آسيا الوسطى

تستمر التهديدات السيبرانية في التحول والتطور، حيث يستهدف هاكرز يتحدثون الصينية حكومات آسيا الوسطى بأدوات جديدة وخطيرة.

هاكرز يتحدثون الصينية يستهدفون حكومات آسيا الوسطى باستخدام OctLurk و SilkLurk

يشتبه في أن مجموعة من المهاجمين الناطقين بالصينية تقف وراء موجة جديدة من الهجمات السيبرانية التي تستهدف المنظمات الحكومية في آسيا الوسطى، بما في ذلك أفغانستان وقيرغيزستان وطاجيكستان وأوزبكستان وكازاخستان والجمهورية العربية السورية، منذ يناير 2025.

تعمل هذه المنظمات المستهدفة عبر عدة قطاعات، مثل الرعاية الصحية والبحث والمكاتب الحكومية ووزارات الخارجية واللوجستيات ووكالات إنفاذ القانون والتخطيط الحضري وإدارة المرافق والمؤسسات التعليمية العامة، وفقًا لشركة كاسبرسكي. ولم يتم ربط النشاط بأي خصم أو مجموعة معروفة.

أدوات الهجوم

تتميز الهجمات باستخدام اثنين من الأبواب الخلفية الغامضة التي تتعقبها شركة الأمن السيبراني الروسية باسم OctLurk و SilkLurk، بالإضافة إلى أداة متخصصة تحمل الاسم الرمزي LurkProxy لتوجيه حركة المرور الشبكية.

قال الباحثون سورابه شارما وياروسلاف كيكيل: “يمكن لـ OctLurk و SilkLurk تنزيل وإدخال إضافات إضافية لأداء إجراءات ضارة أخرى، بما في ذلك إطلاق سلاسل الأوامر، وأداء أنشطة نظام الملفات، وتوليد أحداث لوحة المفاتيح والفأرة، ومسح الشبكة، واستخراج بيانات الاعتماد، وتسجيل ضغطات المفاتيح، وسرقة كلمات المرور من المتصفحات، وجمع البريد الإلكتروني، والوصول عن بُعد.”

لا يزال المتجه الأولي للوصول المستخدم في هذه الهجمات غير معروف. ومع ذلك، وجدت تحليلات كاسبرسكي أن OctLurk يتم حقنه في الذاكرة ويتم نشره بواسطة محمل، حيث يقوم المهاجمون أيضًا بالتحقق من الاتصال بالإنترنت إلى النطاق “dns.ssentialserv[.]xyz” قبل تنفيذ نص دفعي مسؤول عن إطلاق LurkProxy. ثم يقوم الأداة بإقامة اتصال مع خادم بعيد (“154.196.162[.]76”) لأغراض القيادة والتحكم (C2).

الأنشطة بعد الاختراق

بمجرد تشغيله، يقوم OctoLurk أولاً بجمع معلومات النظام، وتشفيرها، وإرسالها إلى خادم C2 محدد مسبقًا (“dns.multitoconference[.]com”) عبر اتصال مقبس تدفق. وهو مزود بقدرة تحميل الإضافات المستلمة من الخادم مباشرة في الذاكرة لتمكين تنفيذ الأوامر، وعمليات الملفات، وجمع وتعديل محتوى الحافظة، والتقاط لقطات الشاشة، وتحركات الفأرة.

لقد وُجد أن المهاجمين يستفيدون من إضافة سطر الأوامر الخاصة بالباب الخلفي لتنفيذ سلسلة من الإجراءات، بما في ذلك:

• جمع معلومات عن المضيف وجمع بيانات شاملة حول النظام المخترق.
• تشغيل أوامر لتصدير أحداث تسجيل الدخول الناجحة لتسجيلات الدخول التفاعلية عن بُعد واستعلام تلك الأحداث لمستخدمين محددين.
• جمع تجزئات كلمات المرور من وحدات التحكم في النطاق باستخدام أداة “secretsdump.py” من Impacket.
• إسقاط وتنفيذ مسجل ضغطات المفاتيح الذي يتنكر كـ AnyDesk لتجنب الكشف.
• فك تشفير واستخراج كلمات المرور من Google Chrome وMozilla Firefox.
• إقامة وصول عن بُعد إلى جهاز الضحية باستخدام وكيل Pandora RC.
• مسح الشبكات الداخلية والعامة باستخدام Fscan لتحديد الخدمات التي تعمل على منافذ معينة، مثل SSH على المنفذ 22 وMySQL على المنفذ 3306، ثم محاولة الوصول إلى هذه الخدمات باستخدام بيانات الاعتماد من ملف كلمات المرور المسمى “pp.txt”.
• الاتصال بخادم البريد الإلكتروني، والتحقق باستخدام اسم المستخدم وكلمة المرور، وإصدار أوامر لجمع أو تعديل البريد الإلكتروني.

يمكن لـ LurkProxy، من جانبه، العمل كوكيل عكسي في وضعين متميزين، إما كوكيل SOCKS5 أو وكيل شفاف. في أي وقت، يمكن أن يعمل البرمجيات الخبيثة في وضع واحد فقط لتوجيه حركة المرور الشبكية عبر عنوان مستهدف.

الأداة الثالثة في ترسانة المهاجمين هي SilkLurk، التي يتم تشغيلها بواسطة DLL، والتي يتم تنفيذها بدورها باستخدام تسلسل تحميل DLL. بعد ذلك، يقوم الباب الخلفي بإنشاء مقبس TCP والاتصال بخادم C2 المحدد في تكوينه، يليه جمع معلومات الضحية وإرسالها إلى الخادم.

ردًا على ذلك، يرسل الخادم أمرًا يجب تنفيذه على نقطة النهاية المصابة. قد يتضمن ذلك الحصول على الوقت المحلي للنظام، وتحديد فترة النوم التي تحدد تكرار استعلام الباب الخلفي لخادم C2، وإرسال أو تحديث تكوين الباب الخلفي، واستقبال وإدخال إضافات إضافية في الذاكرة.

التداخل مع هجمات سابقة

قالت كاسبرسكي إنها وجدت تداخلًا في البنية التحتية بين الحملة ومجموعة سابقة من الهجمات التي تتضمن غرسة قائمة على C++ تحمل الاسم الرمزي SilentRaid (المعروفة أيضًا باسم MystRodX وTrustFall).

“يشير هذا التداخل إلى بنية تحتية مشتركة عبر حملات تستهدف أنظمة تشغيل متعددة، على الرغم من أنه لا يزال غير واضح ما إذا كانت هذه الأنشطة قد جرت في وقت واحد أو في أوقات مختلفة،” قالت كاسبرسكي. “تسلط ظهور إطار البرمجيات الخبيثة متعدد الإضافات OctLurk وSilkLurk الضوء على كيفية تحسين المهاجمين باستمرار لتكتيكاتهم لتجنب الكشف والحفاظ على السيطرة على الشبكات المخترقة.”

“تعمل كلتا العائلتين بشكل أساسي في الذاكرة، مما يترك فقط محملًا بسيطًا على القرص يعتمد على بيانات محددة للجهاز (يستخدم OctLurk رقم تسلسل القرص، ويستخدم SilkLurk اسم الكمبيوتر) لفك تشفير مواقع المحتوى والحمولات. تجعل هذه الترميز المحددة للضحايا من الصعب بشكل كبير عكس الهندسة والكشف الآلي.”

في ظل هذه التهديدات المتزايدة، من الضروري أن تتبنى الحكومات استراتيجيات فعالة لمواجهة هذه الهجمات وحماية بياناتها.