كيف يمسح فايروس «شمعون» البيانات؟

كشفت شركة متخصصة في حماية المعلومات أن الهجوم الفايروسي الأخير سبب تدمير ومسح بيانات، وذلك مرة ثانية في السعودية. وتصدر «شمعون» الأخبار المرة الأولى عام 2012 عندما استخدم في هجوم إلكتروني استهدف شركات الطاقة في المملكة العربية السعودية، ثم ظهر بوجه جديد في تشرين الثاني (نوفمبر) 2016، ليستهدف مرة أخرى شركات في المملكة. الفايروس يحمل فقط أوامر المسح، وتلزمه ملفات أخرى ليستطيع الدخول والانتشار في شبكات الشركات المستهدفة، وهذه الملفات يجب أن تكون مبنية على ملفات الشركة المصرح بها. وفي الوقت الذي تمت تغطية الهجمات في وسائل الإعلام، يبقى سؤال: كيف استطاع القراصنة المهاجمون الاستيلاء على هذه الملفات المعتمدة وتوجيه الفايروس إلى الشبكات المستهدفة، والإجابة على هذا السؤال ماتزال غامضة.
وقالت شركة «سيمانتيك» إنها اكتشفت مجموعة القرصنة «غرينبغ» عندما استهدفت مجموعة من المؤسسات في الشرق الأوسط، منها شركات تعمل في مجالات مثل الطيران والطاقة والاستثمار والتعليم، وحتى الحكومية، وإن المجموعة استخدت برمجية من نوع «حصان طروادة» لسرقة المعلومات عن بُعد، إضافة إلى مجموعة من أدوات القرصنة التي ساعدتها في سرقة ملفات معتمدة حساسة من المؤسسات المخترقة. ولا يوجد دليل قاطع على صلة مجموعة «جرينبغ» وفايروس «شمعون»، إلا أن المجموعة سيطرت على حاسوب رئيس واحد على الأقل في هجمة الفايروس التي سبقت الهجمة.
ونشطت مجموعة القرصنة والتجسس «غرينبغ» في حزيران (يونيو) الماضي، وتعتمد في هجماتها على البريد الإلكتروني لتتمكن من اختراق المؤسسة.
وترى «سيمانتيك» أن المجموعة تملك صلاحيات دخول حصرية على البرمجية الخبيثة، وتستخدم أدوات إضافية للسيطرة على أجهزة الحاسوب الأخرى المتصلة بالشبكة، وسرقة اسم المستخدم وكلمة السر الخاصة بكل حاسوب من داخل نظام التشغيل نفسه، أو حساب البريد الإلكتروني ومتصفح الإنترنت.
واستخدمت المجموعة البرمجية الخبيثة بين حزيران (يونيو) وتشرين الثاني (نوفمبر) الماضيين، ضد عدد من الأهداف، وعلى نطاق واسع في منطقة الشرق الأوسط، بوصفه جزءاً من العملية، استخدمت المجموعة البنية التحتية لإحدى شركات الطاقة لاستضافة البرمجية الخبيثة. وشملت الهجمات شركات تعمل في مجال الطيران والتعليم والمنظمات الحكومية والاستثمار، وتأثرت بها بلاد مثل السعودية والبحرين والعراق وقطر والكويت وتركيا وإيران، كما تم استهداف مؤسسة سعودية في أستراليا.
ويُعتقد أن الهجوم بدأ ببريد إلكتروني طلب من المستخدم تحميل ملف مضغوط، يحمل معلومات وصفت في البريد بأنها عرض عمل، والملف مستضاف في موقع إنترنت قانوني، قد تكون المجموعة سيطرت عليه قبل الهجمة، وبداخل الملف توجد برمجية خبيثة مختبئة، باستخدام تقنية دفق البيانات البديلة.
وتقنية «دفق البيانات البديلة» تعمل على الأقراص الصلبة على نظام «ويندوز»، وتستخدم في الأصل لإضافة تفاصيل الملف الأصلي، ولا يستطيع المستخدم رؤيتها، ما يجعلها مكاناً مثالياً للمهاجم ليخبئ بها ملفات البرمجية الخبيثة المراد زرعها داخل الحاسوب لاختراقه.
ويبني وجود «غرينبغ» على شبكة المؤسسات المستهدفة قبل هجوم مسح البيانات، صلة مبدئية لعلاقتهم بالهجمات، فاختيار «غرينبغ» للمؤسسات المستهدفة والأدوات المستخدمة جاءت قبل يوم واحد من هجوم «شمعون» في تشرين الثاني (نوفمر) الماضي، وذلك يثير الشبهات حول المجموعة، ووعدت «سيمانتيك» من جهتها، بمراقبة المجموعة «غرينبغ» إلى أن تظهر أدلة جديدة.