هجمات إلكترونية جديدة من «عصابة غزة» تستهدف مؤسسات السلطة

اكتشف باحثون أمنيون من فريق Check Point Threat Intelligence Team عودة مجموعة مراقبة APT (التهديد المستمر المتقدم) التي تستهدف المؤسسات في جميع أنحاء الشرق الأوسط، وتحديدًا السلطة الفلسطينية.

يبدأ الهجوم، المسمى “Big Bang“، برسالة بريد إلكتروني تصيدية مرسلة إلى الضحايا المستهدفين تتضمن مرفقًا لأرشيف ذاتي الاستخراج يحتوي على ملفين – مستند Word وملف ضار قابل للتنفيذ.

يُفترض أن تكون وثيقة Word من هيئة التوجيه السياسي والوطني الفلسطينية، وهي بمثابة شرك لتشتيت انتباه الضحايا أثناء تثبيت البرنامج الضار في الخلفية.

يعمل الملف الخبيث القابل للتنفيذ، والذي يعمل في الخلفية، بمثابة المرحلة الأولى من البرامج الضارة لسرقة المعلومات والمصممة لجمع المعلومات الاستخبارية لتحديد الضحايا المحتملين (على أساس ما هو غير واضح حتى الآن)، ومن ثم يقوم بتنزيل المرحلة الثانية من البرامج الضارة المصممة للتجسس.

وقال الباحثون في تقريرهم: “بينما يكشف التحليل عن قدرات البرمجيات الخبيثة التي تم رصدها، فإننا على يقين من أنها جزء من هجوم متعدد المراحل يستهدف ضحايا محددين للغاية”. مشاركة مدونة. “إن البرمجيات الخبيثة أدناه هي جزء من مرحلة الاستطلاع ويجب أن تؤدي إلى الطبق الرئيسي، الذي لا تزال طبيعته غير معروفة.”

البرمجيات الخبيثة قادرة على إرسال الكثير من المعلومات من الأجهزة المصابة إلى خادم الأوامر والتحكم الخاص بالمهاجمين، بما في ذلك لقطات شاشة للكمبيوتر المصاب، وقائمة من المستندات ذات امتدادات الملفات بما في ذلك .doc، و.odt، و.xls، و.ppt، و.pdf والمزيد، وتسجيل التفاصيل حول النظام.

بالإضافة إلى ذلك، تشتمل البرامج الضارة أيضًا على عدد قليل من الوحدات لتنفيذ أي ملف يتلقاه من الخادم، وتعداد العمليات الجارية، وإنهاء عملية قيد التشغيل بالاسم، بالإضافة إلى إرسال قائمة بالأقسام الموجودة على الجهاز المصاب.

تتضمن البرامج الضارة أيضًا وحدات للتدمير الذاتي عن طريق حذف الحمولة من مجلد بدء التشغيل وحذف الملف الفعلي وإعادة تشغيل النظام المصاب.

يقول الباحثون: “بعد مراجعة جميع وظائف البرامج الضارة، نحن واثقون من القول بأن المهاجمين يبحثون عن الضحايا الذين يستجيبون لخصائص محددة جيدًا ويعتقدون أن المراحل الإضافية من الهجوم يتم تسليمها فقط لأولئك الذين يتناسبون مع ملف تعريف الضحية المحدد”.

ويعتقد الباحثون أن هذه الهجمات يمكن أن تكون مرتبطة بمجموعة “Gaza Cybergang APT”، وهي مجموعة إجرامية إلكترونية ناطقة باللغة العربية وذات دوافع سياسية، تعمل منذ عام 2012 وتستهدف منظمة النفط والغاز في منطقة الشرق الأوسط وشمال إفريقيا.

ومع ذلك، وفقًا للباحثين، لم يتم التأكد بعد من مجموعة التهديد التي تقف وراء هذه الحملة.