في السنوات الأخيرة، شهدنا زيادة ملحوظة في نشاط القراصنة المدعومين من الدولة، خاصة من الصين، حيث يستهدفون شركات الاتصالات في مناطق حساسة مثل وسط آسيا.
على مدى سنوات، كان القراصنة المدعومون من الدولة الصينية يتجسسون على شركات الاتصالات في وسط آسيا وما وراءها، باستخدام إطار عمل جديد لاستخراج المعلومات على نظام لينكس.
البرمجية الخبيثة تُعرف باسم “Showboat” أو “kworker”. وقد لاحظت مختبرات بلاك لوتس مجموعات مختلفة من نشاط Showboat ضد أهداف مختلفة تمامًا – من مزود خدمة الإنترنت (ISP) في أفغانستان إلى عنوان IP غير معروف في منطقة دونباس المتنازع عليها في شرق أوكرانيا – مما يشير إلى أن التهديدات المستمرة المتقدمة من الصين تتداولها.
على الأقل واحدة من هذه التهديدات هي Calypso، وفقًا لشركة برايس ووترهاوس كوبرز (PwC). تم رصدها لأول مرة في عام 2019، وتعتبر Calypso واحدة من مجموعات التجسس الأقل مناقشة في الصين، ربما لأن نشاطها يحدث في دول حيث تكون رؤية شركات الأمن السيبراني الغربية أقل بشكل عام: أفغانستان، كازاخستان، تركيا، والهند، على سبيل المثال. تستخدم Calypso Showboat جنبًا إلى جنب مع باب خلفي لنظام ويندوز ذو تعقيد مشابه، يُسمى “JFMBackdoor”.
إطار عمل Showboat للاستخراج
Showboat هو أداة تجسس مفيدة ولكن غير استثنائية، مما يجعل من المفاجئ أن مجموعات التهديد الصينية استخدمتها بسرية تامة، حيث تجمع ما قد يصل إلى معلومات جيوسياسية خطيرة على مدى أربع سنوات.
أهم خدعة لها، على الأرجح، هي قدرتها على مسح الأجهزة في شبكة محلية (LAN) ثم إصابتها، حتى لو لم تكن متصلة بالإنترنت العام. “لذا إذا وجدت هذا في شبكتك، فمن المحتمل أن هناك الكثير من الأشياء السيئة الأخرى في الشبكة، وأنك على وشك قضاء عطلة نهاية أسبوع طويلة جدًا”، كما يقول داني أداميتس، مهندس أمن المعلومات الرئيسي في مختبرات بلاك لوتس.
على الرغم من قدرتها، فإن Showboat لا تتساوى مع البرمجيات الخبيثة المتطورة في الصين. على سبيل المثال، تعتبر BPFdoor خبيرًا في العيش على الأرض، حيث تخفي حركة المرور الخاصة بها بشكل شبه غير ملحوظ في طلبات HTTPS وICMP pings. وفقًا لتقييم أداميتس، “Showboat ليست أفضل باب خلفي رأيته على الإطلاق. بالنسبة لي، يبدو أن هذا أشبه بإصدار أحدث من ShadowPad حيث أنه [ملحوظ بسبب] قدراته المثيرة”.
تجارب البرمجيات الخبيثة في الصين
يوسع الباحث في مختبرات بلاك لوتس، رايان إنجليش، على نقطة أداميتس. “ما تحب الصين القيام به هو تخصيص أجزاء معينة من العالم كنوع من المختبر. يقومون باختبار [البرمجيات الخبيثة] ضد أنظمة افتراضية محدثة تمامًا، ثم يخرجون بها إلى العالم الحقيقي في اختبار سوق صغير. هل تعمل هذه ضد ذلك البنك في أفريقيا؟ هل تعمل ضد تلك الشركة في فيتنام؟ وإذا فعلت، فإنهم يشعرون بمزيد من الثقة لإخراجها إلى أهداف أكثر جدية.”
مع استمرار تطور الأساليب المستخدمة من قبل هذه المجموعات، يبقى من الضروري أن تكون الشركات على دراية بالتهديدات المتزايدة وأن تتخذ تدابير وقائية مناسبة لحماية بياناتها.
