برمجية «Adwind» تعصف بأكثر من 68 ألف مستخدم دون علمهم

تمكن الباحثون في شركة كاسبرسكي لاب المتخصصة في أمن المعلومات من اكتشاف برمجية خبيثة عصفت بأكثر من 68 ألف مستخدم حتى نهاية الشهر الماضي.
وأشار الباحثون إلى أن قائمة مهام البرمجية الخبيثة "Adwind" تشمل القدرة على تسجيل ضربات المفاتيح، وسرقة كلمات المرور المخزنة مؤقتًا والسطو على البيانات من نماذج الويب، والتقاط صور للشاشة الرئيسية، إضافة إلى القدرة على التقاط صور وتسجيل الفيديو من كاميرا الويب، إضافة إلى تسجيل الصوت من الميكروفون، وتحويل الملفات، وجمع معلومات عامة حول النظام ومعلومات المستخدم، إلى جانب سرقة مفاتيح تشفير العملات الإلكترونية، وإدارة الرسائل النصية القصيرة لنظام التشغيل أندرويد، وسرقة شهادات " VPN"، ومن ضمن إمكانات البرمجية الخبيثة الواسعة أنها قابلة للتشغيل على منصات متعددة الوظائف، بالإضافة إلى حقيقة أنها لم تكن قد اكتشفت من قبل أي من برامج مكافحة الفيروسات، وهو ما جذب اهتمام الباحثين على الفور نحوها.
وأكدت كاسبر أن أنه في حين أن برمجية "Adwind" تُستخدم بالدرجة الأولى من قبل المهاجمين الانتهازيين وتنتشر على نطاق واسع في حملات البريد الإلكتروني المزعج، ظهرت هناك حالات استخدمت فيها لشن هجمات موجهة.
واستنادًا إلى طبيعة وخصائص الأهداف المحددة، فإن مستخدمي هذه البرمجية ينحصرون في فئات محددة وهي المحتالون الراغبون بالانتقال إلى المستوى التالي، أي استخدام البرمجية الخبيثة لارتكاب جرائم تزوير أكثر تطورا، والمنافسون غير الأكفاء، ومرتزقة الإنترنت ومن يعرفون أيضا بجواسيس الأجرة، والأفراد من القطاع الخاص الذين يريدون التجسس على الأشخاص الذين يعرفونهم، كما أن من إحدى السمات الرئيسية المميزة لهذه البرمجية عن غيرها من البرمجيات الخبيثة التجارية الأخرى أنه يجري توزيعها علنًا في شكل خدمة مدفوعة، بحيث يدفع العميل رسومًا مقابل استخدام البرمجية الخبيثة.
وأشارت كاسبر الى انها اكتشفت هذه البرمجية من خلال محاولة شن هجوم موجه ضد أحد البنوك في سنغافورة، والذي تم بداية عبر فتح ملف خبيث من نوع "JAR" مرسل كمرفق عبر رسالة بريد إلكتروني خبيثة لموظف مستهدف في البنك.
إضافة إلى العديد من الشركات التي تعرضت لبرمجية أخرى من النوع ذاته والتي أطلق عليها "Adwind RAT" والتي عرفت كوسيلة قرصنة إلكترونية تتيح التسلل من الباب الخلفي "backdoor" وهي متاحة للشراء ومكتوبة كليًا بلغة "جافا"، وهو ما يجعلها برمجية خبيثة متعددة المنصات، وهي قابلة للتشغيل على أنظمة ويندوز، وأو إس إكس، ولينوكس، وأندرويد، مما يتيح قدرات فائقة للتحكم بسطح المكتب عن بعد وجمع وتسريب البيانات، في حال قام المستخدم المستهدف بفتح ملف "JAR" المرفق تقوم البرمجية الخبيثة بتثبيت نفسها تلقائيًا وتحاول الاتصال بمخدم مركز التحكم والسيطرة.
وفي دراسة بحثية أجرتها كاسبرسكي خلال الفترة بين عامي 2013 و 2016، جرى استخدام إصدارات مختلفة من برمجية "Adwind" الخبيثة في هجمات استهدفت نحو 443,000 مستخدم من القطاع الخاص وشركات تجارية وغير تجارية حول العالم بما فيها الإمارات، وهي لا تزال نشطة.
وتم اكتشاف ذلك عبر تحليل ما يقرب من 200 عينة من هجمات التصيد الإلكتروني المنظمة من قبل مجرمين مجهولين خلال الفترة بين أغسطس من العام الماضي وشهر يناير من العام الجاري لنشر البرمجية الخبيثة " Adwind"، واستطاعوا تحديد معظم الأهداف في قطاعات مختلفة مثل تلك التي تنشط في مجال التصنيع والتمويل والهندسة والتصميم والبيع بالتجزئة، فضلًا عن القطاع الحكومي والشحن والاتصالات والبرمجيات والتعليم والأغذية والإنتاج والرعاية الصحية والإعلام والطاقة.
وأظهر التوزع الجغرافي للمستخدمين المستهدفين خلال هذه الفترة أن نصف أولئك المستخدمين تقريبا والذين مثلوا 49%، كانوا يعيشون في الدول العشر التالية، وهي: الإمارات، وألمانيا، والهند، والولايات المتحدة، وإيطاليا، وروسيا، وفيتنام، وهونغ كونغ، وتركيا، وتايوان.
واستنادًا إلى الدراسة بشأن نشاط المستخدمين على لوحة الرسائل الداخلية وبعض الملاحظات الأخرى، بلغ عدد المستخدمين نحو 1,800 مستخدم في النظام بنهاية عام 2015. وهذا ما يجعلها واحدة من أكبر منصات البرمجيات الخبيثة المتوفرة حاليًا.
وركزت توصيات الدراسة على الحذر من هذه البرمجية؛ كونها متوفرة لدى مجرمي الإنترنت المحتملين الذين يتطلعون إلى دخول مجال الجرائم الإلكترونية، وان معظم مستخدمي البرمجية الخبيثة لديهم مستوى متوسط أو عال من المعرفة بالكمبيوتر، ولا يزال المجرمون من جميع الفئات يستخدمونها.