قامت Kaspersky بالكشف عن نشاط جديد لعصابة متخصصة في تطوير برمجيات الفدية الخبيثة
تم اكتشاف نشاطًا جديدًا لعصابة Cuba، المعروفة بتطويرها لبرمجيات الفدية الخبيثة. تم نشر برمجية خبيثة قادرة على تجنب الاكتشافات المتقدمة واستهدفت مؤسسات حول العالم، مما أسفر عن اختراق العديد من الشركات في مختلف القطاعات.
في ديسمبر 2022، كشفت شركة Kaspersky عن نشاط مشبوه في نظام أحد عملائها حيث عثرت على ثلاث ملفات مشبوهة. هذه الملفات قامت بتنفيذ سلسلة من الإجراءات التي قامت بتحميل مكتبة komar65 المعروفة أيضًا باسم BUGHATCH، وهي تعتبر بابًا خلفيًا متطورًا يُفعل في ذاكرة العملية.
برمجية BUGHATCH تقوم بتنفيذ جزء من النص البرمجي لواجهة البرمجة Shellcode داخل مساحة الذاكرة المخصصة لها باستخدام واجهة برمجة التطبيقات لنظام Windows، ويتضمن هذا النص البرمجي وظائف متعددة.
ثم، يتصل البرنامج بخادم قيادة وتحكم C2 وينتظر تلقي المزيد من الأوامر، والتي يمكن أن تتضمن تثبيت برامج مخصصة للاختراق مثل Cobalt Strike Beacon وMetasploit، واستخدام أداة سرقة كلمات المرور Veeamp بقوة تشير إلى وجود برمجية الفدية Cuba.
ملف قاعدة بيانات البرنامج يشير إلى وجود مجلد باسم komar، وهي كلمة روسية تعني البعوضة، مما يشير إلى وجود أعضاء ناطقين بالروسية في المجموعة، وهو ما يتطابق مع أدلة سابقة تشير إلى الأمر نفسه.
تحليل إضافي أظهر نشر Cuba لنماذج إضافية تحسن وظائف البرمجية الخبيثة، بما في ذلك جمع معلومات النظام وإرسالها إلى خادم عبر طلبات HTTP POST.
كما استمرت Kaspersky في تحقيقاتها واكتشفت عينات جديدة من البرامج الخبيثة المنسوبة إلى مجموعة Cuba على موقع VirusTotal، والتي نجح بعضها في تجنب الاكتشاف من مزودي الخدمات الأمنية الآخرين. تمثل هذه العينات نسخًا جديدة من برمجية BURNTCIGAR الخبيثة، وتستخدم بيانات مشفرة لتجنب الكشف عنها من قبل برامج مكافحة الفيروسات.
تعد Cuba سلالة برمجيات فدية صعبة الاكتشاف وتشتهر بانتشارها الواسع، حيث تستهدف مجموعة متنوعة من الصناعات والمؤسسات حول العالم. تستخدم المجموعة مزيجًا من الأدوات العامة والخاصة، وتقوم بتحديث أدواتها بانتظام وتستخدم مناورات مثل هجمات BYOVD.
تميزت عمليات المجموعة بتلاعبها بالطوابع الزمنية لوقت تجميع برمجياتها الخبيثة بهدف تضليل المحققين، وليس فقط تشفير البيانات بل أيضًا سرقة المعلومات الحساسة كالمستندات المالية والسجلات المصرفية وحسابات الشركات والكود المصدري، مع التركيز على شركات تطوير البرمجيات كهدف رئيسي. ورغم مضي وقت طويل على ظهور المجموعة، إلا أنها لا تزال مرنة وتطوير أساليبها بشكل مستمر.
تعليقات
إرسال تعليق