الفيروس الإلكتروني «فلايمر» يتربِّص بالشرق الأوسط

حذَّر خبراء دوليون في مجال أمن الإنترنت من خطورة فيروس «فلايمر» (إسمه التقني «دبليو 32. فلايمر»W32.Flamer) الذي ينتمي إلى نوع «الدودة الإلكترونية»، مع الإشارة الى أنه استهدف منطقة الشرق الأوسط أخيراً. ووصف الخبراء هذا الفيروس بأنه أداة تجسّسية خبيثة. وفي وقت سابق من هذه السنة، تصدّرت أخبار «فلايمر» وسائل الإعلام عندما تمكّن من توجيه ضربة إلكترونية كبيرة الى المشروع النووي الإيراني. وذكّر «فلايمر» بالفيروس «ستاكسنت» Stuxnet (وهو من فئة الفيروسات التي تسمى «حصان طروادة» Trojan Horse Viruses) الذي ضرب مفاعلاً نووياً إيرانياً في العام الماضي، بأن استهدف آلاته بعد أن تعرّف إليها من رقمها الكودي التجاري، ثم أوقف عملها. ويتميّز «فلايمر» بقدرته على التسلل بصمت الى الحواسيب، كما يوحي به اسم «الدودة»، ثم يتغلل فيه، ويسيطر على عملياته كافة، بما فيها التوقّف عن العمل كليّاً.
تجربة عن خطر إلكتروني
لأن خطر فيروس «فلايمر» مازال ماثلاً، أجرت شركة «سيمانتك» دراسة تحليلية مفصّلة لاثنين من خوادم القيادة والتحكّم التي استخدِمَت في هجمات «فلايمر» المُشار إليها آنفاً.
وجرت تهيئة الخادم الأول في آذار (مارس) 2012، والثاني في آيار (مايو) 2012. وفي الحالين، وبعد دقائق معدودة من تهيئة الخادم، رُصِد تفاعل أول مع أحد الحواسيب المستهدَفة بالفيروس. وخلال أسابيع قليلة، تمكّن الخادمان من التحكّم بمئات الحواسيب المخترَقة والمنتشرة في أماكن متباعدة جغرافياً.
وعلى رغم أن الخادِمَيْن اللذين اعتمدت «سيمانتك» عليهما في هذه الدراسة المعمَّقة، يتضمّنان أُطر تحكّم متماثلة، غير أنهما يؤدّيان أعمالاً مختلفة، لها أهداف متباينة. واستطاع الخادم الأول تجميع قرابة 6 غيغابايت من البيانات المخزّنة في الحواسيب المُخترَقة خلال أسبوع.
وبالمقارنة، جَمَع الخادم الثاني قرابة 75 ميغابايت من البيانات المخزّنة في الحواسيب المخترَقة، لأن مهمته اقتصرت على زرع وحدة تحكّم في الحواسيب المخترَقة.
يُذكر أن عملية القيادة والتحكّم تجري عبر تطبيق شبكي يُسمّى «نيوز فور يو» Newsforyou (ترجمتها حرفياً «أخبار لك»)، الذي يعالج تفاعل «فلايمر» مع الكومبيوتر المخترق، ليوفر منصة تحكّم مبسّطة يتمثل دورها في تمكين المهاجِمين لاحقاً من تحميل حُزم من البيانات المُشفّرة على تلك الحواسيب. وفي مرحلة لاحقة، تطلق هذه الحُزم مجموعات من البيانات الى الكومبيوتر. ويبدو أن استخدام تطبيق «نيوز فور يو» ليس حصراً بفيروس «فلايمر»، بل أنه مصمّم للتواصل مع الحواسيب التي اخترقتها عبر نشر برمجيات خبيثة تستعمل برتوكولات مختلفة.
ورجّحت التجربة أن «فلايمر» ينشر نُسخاً من نفسه، وأحياناً يُطلِق برمجيات خبيثة مختلفة تماماً.
ولاحظ خبراء «سيمانتك» أن خوادم القيادة والتحكّم تستطيع الكشف عن المعلومات غير المرغوبة، حتى لو كانت ضئيلة العدد تماماً، إضافة إلى قدرتها على تعطيل عمليات تسجيل الدخول غير الضرورية، إضافة إلى حذف مُدخلات في قواعد البيانات على فترات منتظمة. وتساهم هذه الأمور في إعاقة أي تحقيق متخصّص، في حال استيلاء طرف ثالث على هذه الخوادم.
براعة ناقصة
على رغم حذاقة المهاجِمين فإنهم تركوا هفوة وراءهم. واكتُشِف ملف فيه معلومات عن عملية تهيئة الخادم الذي انطلق منه «فلايمر». كما كشفت سجلات مشفّرة وموجودة في قاعدة البيانات، أن الحواسيب المخترَقة كانت في منطقة الشرق الأوسط. واستطاع خبراء «سيمانتك» أن يستردوا ألقاب أربعة من المشاركين، بدا أنهم أنجزوا مهمات التشفير في مراحل مختلفة، ترجع إلى العام 2006.
وظهر أيضاً أن المهاجِمين اعتمدوا توزيعاً واضحاً للأدوار. وبرز منهم من هو مسؤولٌ عن تهيئة الخادم (وهم المديرون)، والمسؤول عن تحميل حزم المعلومات وتنزيل البيانات المُختلَسة من منصة التحكم (وهم المشغّلون)، ومن يتولى المسؤولية عن مفاتيح التشفير بمعنى فك تشفير البيانات المختلَسة (وهم المهاجِمون).
وعلى رغم كلّ ما بذله المهاجِمون للحؤول دون الكشف عن هوياتهم، في حالِ الاستيلاء على الخوادم من قبل طرف آخر، تمكَّن خبراء «سيمانتك» من اكتشاف أن الخادم الثاني يحتوي وحدة تصدر تعليمات تقضي ب «إنتحار» الفيروس «فلايمر»، بمعنى أنه يزيل نفسه من الحواسيب، فيغدو من غير المستطاع تتبعه!
في المقابل، تطلبت منصة التحكم كلمة سرّ مخزّنه على هيئة تسلسل مشفّر. ولم يتمكن خبراء الشركة من فك هذا التشفير لمعرفة كلمة السرّ، فظلّت مجهولة.
يُذكر أن عملية تحليل خوادم القيادة والتحكم جرت عبر جهد مشترك بين شركتي «سيمانتك» و«كاسبرسكي» الروسية المتخصّصة أيضاً في برامج أمن المعلومات. ومن الممكن زيارة موقع «سيمانتك» للاطلاع على تحليل مفصّل لخوادم القيادة والتحكم، وتهيئة الخوادم، وتطبيق «نيوز فور يو» الذي عكف على تطويره أربعة أشخاص على أقل تقدير منذ العام 2006، ومنصة التحكم المستخدمة من قبل المشغّلين، وقاعدة البيانات التي تدعم هذا التطبيق.