أفاد باحثو كاسبرسكي بوجود حملة تخريبية مستمرة تنفذها عصابة التهديدات المتقدمة المستمرة، المسماة ToddyCat، والتي تركّز في عملها على اختراق خوادم Microsoft Exchange المتعددة باستخدام برمجيتين خبيثتين؛ Samurai backdoor وNinja Trojan. واستهدفت الحملة في الأساس القطاعات الحكومية والعسكرية في أوروبا وآسيا.
وتُعدّ ToddyCat واحدة من العصابات الجديدة والمتطورة نسبيًا في مجال التهديدات المتقدمة المستمرة على إنترنت، واكتشف باحثو كاسبرسكي نشاطها لأول مرة في ديسمبر 2020 عندما نفذت عددًا من الهجمات على خوادم Microsoft Exchange لدى الجهات التي تستهدفها. وفي فبراير ومارس 2021، لاحظت كاسبرسكي تصعيدًا سريعًا في نشاط العصابة، حين بدأت في استغلال ثغرة ProxyLogon على خوادم Microsoft Exchange لاختراق العديد من المؤسسات في أوروبا وآسيا. لكن اعتبارًا من سبتمبر 2021، نقلت العصابة اهتمامها إلى أجهزة سطح المكتب لدى الجهات الحكومية والهيئات الدبلوماسية في آسيا، وتعمل باستمرار على تحديث ترسانتها وتواصل إلى الآن شنّ مزيد من الهجمات.
وبينما لم يتضح بعد ناقل الإصابة في الأنشطة التخريبية الحديثة التي مارستها ToddyCat، فقد أجرى الباحثون تحليلًا شاملاً للبرمجيات الخبيثة المستخدمة في الحملات. وتوظف العصابة أداتي Samurai Backdoor وNinja Trojan المتطورتين في التجسّس الرقمي، والمصممتين لاختراق الشبكات المستهدفة بعمق، مع الحفاظ على ميزة التخفّي.
وتُعدّ برمجية Samurai منفذًا خلفيًا متكاملًا يشكّل المرحلة النهائية للهجوم ويسمح للمهاجم بإدارة النظام عن بُعد والتحرّك جانبيًا داخل الشبكة المخترَقة. وتتسم هذه البرمجية الخبيثة بقدرتها على استخدام أدوات تحكّم متعددة في سير تنفيذ التعليمات البرمجية، ما يصعّب تتبع ترتيب الإجراءات في الشيفرة البرمجية. كذلك، تُستخدم هذه البرمجية لإطلاق برمجية خبيثة أخرى تُدعى Ninja Trojan، وهي أداة تنسيقية معقّدة تسمح لعدة مشغلين بالعمل على الجهاز نفسه في وقت واحد.
وتتيح Ninja Trojan أيضًا مجموعة كبيرة من الأوامر التي تسمح للمهاجمين بالتحكّم في الأنظمة البعيدة مع تجنب الانكشاف. وعادة ما تُحمَّل في ذاكرة الجهاز وتشغَّل بأدوات تحميل متنوعة. وتبدأ البرمجية هذه العملية عن طريق استرداد معلِّمات التهيئة من الحمولة المشفرة، ثم تتسلل بعمق إلى الشبكة المخترقة. وتتضمن قدرات هذه البرمجية الخبيثة إدارة أنظمة الملفات، وتشغيل واجهات الاستخدام البعيدة، وإعادة توجيه حزم TCP، وحتى السيطرة على الشبكة خلال أطر زمنية محددة، والتي يمكن تهيئتها ديناميكيًا باستخدام أمر محدّد.
وتشبه البرمجية الخبيثة أيضًا بعض البُنى الهيكلية المعروفة، التي تبدأ في إدارة الأنظمة بعد اختراقها، مثل CobaltStrike، فيما تسمح لها مزايا التخفي بالحدّ من عدد الاتصالات المباشرة من الشبكة المستهدفة إلى أنظمة القيادة والسيطرة البعيدة دون الوصول إلى الإنترنت. بالإضافة إلى ذلك، يمكنها التحكّم في مؤشرات HTTP وتمويه حركة المرور التخريبية في طلبات HTTP، ما يجعلها تبدو شرعية عن طريق تعديل ترويسة HTTP ومسارات URL، وهي مزايا تُكسب Ninja Trojan قدرة مميزة على التخفي.
وأكّد غيامباولو ديدولا الخبير الأمني لدى كاسبرسكي أن ToddyCat “عصابة تهديد متطورة” تتمتع بمهارات تقنية عالية، مشيرًا إلى قدرتها على التخفّي وتجنّب الانكشاف، والوصول إلى أكبر المؤسسات وأقواها. وقال: “ما زلنا لا نمتلك رؤية كاملة تحيط بعمليات هذه العصابة وتكتيكاتها، بالرغم من عدد أدوات التحميل والهجمات التي تم اكتشافها خلال العام الماضي، وقد لاحظنا تركيزها على القدرات المتقدّمة للبرمجيات الخبيثة، فـ Ninja Trojan، كما يتضح من اسمها، برمجية يصعب اكتشافها، وبالتالي يصعب إيقافها”. وأوضح ديدولا أن أفضل طريقة لمواجهة هذا النوع من التهديدات تتمثل في استخدام دفاعات متعددة المستويات، تتيح معلومات عن الأصول الداخلية وتبقى على اطلاع على أحدث معلومات التهديدات”.
