اكتشاف برمجيات ضارة أصابت أجهزة مليون مستخدم في العالم

أعلنت شركة "إسيت" العالمية الرائدة في مجال الأمن الرقمي، عن إجرائها لتحقيقات أدت لاكتشاف وتحديد تهديد معقد ناجم عن سلالة جديدة من البرمجيات الضارة أصابت أجهزة نصف مليون مستخدم حتى الآن.
وتحلل أحدث الأوراق البحثية، التي أصدرتها إسيت هذه البرمجيات الخبيثة، التي سميت "ستانتينكو" التي تتسم بقدر كبير من الغموض وتتحايل على الضحايا لتحميل برمجيات مقرصنة من مواقع "تورنت" وهمية، حيث دأبت هذه البرمجيات على التحول بشكل مستمر لتفادي اكتشافها على مدى السنوات الخمس الماضية.
ومع استهدافها بشكل رئيسي للمتحدثين باللغة الروسية، تمثل "ستانتينكو" شبكة من الأجهزة المُخترَقَة (بوت نت) التي يتم كسب الأموال منها من خلال تثبيت ملحقات برامج التصفح التي تضخ إعلانات وهمية أثناء تصفح الإنترنت. وبمجرد تثبيتها على الجهاز، يمكن لهذه البرمجيات إجراء عمليات بحث ضخمة ومجهولة الهوية باستخدام محرك البحث غوغل، فضلاً عن قدرتها على إنشاء حسابات وهمية على موقع فيس بوك مع القدرة على تسجيل الإعجاب بالصور والصفحات وإضافة الأصدقاء.
برمجية خبيثة مستترة قياسية "Modular Backdoor"
تستند قدرة برمجية "ستانتينكو" على تجنب اكتشافها من قبل برامج مكافحة الفيروسات على قدرات تشويش وتخفي عالية على مرأى هذه البرامج ضمن تعليمات برمجية تبدو سليمة، وباستخدام التقنيات المتقدمة، يتم إخفاء هذه التعليمات البرمجية الخبيثة بصورة مشفرة ضمن أحد الملفات أو ضمن ملفات التسجيل الخاصة بنظام ويندوز. وبعد ذلك، يتم فك تشفير هذه التعليمات باستخدام مفتاح تم إنشاؤه أثناء دخول هذه البرمجية الخبيثة للجهاز للمرة الأولى، ولا يمكن اكتشاف السلوك الخبيث لهذه البرمجيات حتى تتلقى مكونات جديدة من مخدم السيطرة والتحكم، ما يجعل اكتشافها غاية في الصعوبة.
وبمجرد إصابة الجهاز، تقوم هذه البرمجيات بتثبيت اثنتين من خدمات ويندوز الضارة التي يبدأ تشغيلها في كل مرة يتم فيها تشغيل النظام، ومن الصعب التخلص من هذه البرمجيات بعد إصابة الجهاز بها، إذ أن كل منها قادرة على إعادة تثبيت الأخرى في حال حذفها، وللتخلص من المشكلة بشكل كامل، يتعين على المستخدم حذف كلتا الخدمتين من الجهاز في ذات الوقت.
وبمجرد دخولها إلى الجهاز، تقوم برمجية "ستانتينكو" بتثبيت اثنين من ملحقات برنامج المتصفح المتوفرة على متجر "غوغل كروم" الإلكتروني – وهي (The Safe Surfing) و(Teddy Protection). وتتلقى الملحقات إعداداً مختلفاً يتضمن قواعداً لتنفيذ عمليات احتيال من خلال الضغط على الإعلانات وضخ الإعلانات.
وحال تسلل البرمجيات الضارة، يمكن لمشغلي "ستانتينكو" استخدام ملحقات مرنة للقيام بأي شيء يرغبون به على النظام المخترق. ويشمل ذلك إجراء عمليات بحث ضخمة ومجهولة الهوية للعثور على موقعي (Joomla) و(WordPress) وإطلاق هجمات القوة العمياء (brute force attacks) على هذه المواقع والعثور على البيانات وسرقتها وإنشاء حسابات وهمية على موقع فيس بوك.
كيف يجني قراصنة "ستانتينكو" الأموال؟
يمكن لبرمجية "ستانتينكو" أن تكون مربحةً للغاية باعتبار أن الاحتيال بالضغط على الإعلانات (click fraud) يعتبر مصدر الدخل الرئيسي للقراصنة. وقدرت الأبحاث التي أجرتها شركة "وايت أوبس" و"جمعية المعلنين الوطنيين" في الولايات المتحدة، أن عمليات الاحتيال بواسطة الضغط على الإعلانات ستكبد الشركات 6.5 مليار دولار أمريكي خلال العام الجاري فقط.
وبالإضافة إلى ذلك، يمكن أن تباع تفاصيل المواقع التي وقعت ضحية لهجمات القوة العمياء في السوق السوداء بعد اختراقها ببرمجية "ستانتينكو" التي تقوم بتخمين كلمات المرور بتجربة آلاف كلمات المرور المختلفة. وبالرغم من عدم قدرة باحثي 'إسيت‘ على مشاهدة هذا النشاط الخبيث على الشبكة الاجتماعية، يمتلك مشغلو ستانتينكو أداةً تسمح لهم بإجراء عمليات الاحتيال على موقع فيس بوك وبيع تسجيلات الإعجاب لاستقطاب انتباه المستهلكين غير المتنبهين.
وعلاوةً على ذلك، تتمتع ملحقات (The Safe Surfing) و(Teddy Protection) بالقدرة على ضخ الإعلانات أو إعادة توجيه المستخدم. كما أن بعض المستخدمين يصلون إلى الموقع الإلكتروني الخاص بالمعلن بصورة مباشرة من خلال إعلانات مملوكة لبرمجية ستانتينكو.