فاير آي: مصارف الشرق الأوسط تتعرض إلى موجة من الهجمات

كشفت شركة فاير آي FireEye حديثًا عن موجة من الهجمات الإلكترونية ضد المصارف في الشرق الأوسط، وذلك بفضل برنامج الاستطلاع الديناميكي للتهديدات الخاص بها.\nوقالت الشركة الأميركية لأمن المعلومات إن برنامج الاستطلاع الديناميكي للتهديدات (DTI) تعرف على رسائل بريد إلكتروني تحتوي على مرفقات خبيثة يتم إرسالها لمصارف متعددة في المنطقة.\nوأضافت فاير آي أنه يبدو أن مصادر التهديد ترسل استطلاعًا أوليًا للجهات المستهدفة، وقد تم افتضاح أمرها لأنها تستخدم برامج نصية فريدة لا تستخدم عادة في حملات برمجيات إجرامية.\nوأوضحت الشركة أن المهاجمين أرسلوا رسائل بريد إلكتروني متعددة تحتوي على ملفات تمكين وحدات الماكرو في برنامج “إكسل” للموظفين العاملين في القطاع المصرفي في منطقة الشرق الأوسط.\nوأشارت الشركة إلى أن مواضيع هذه الرسائل قد تكون حول البنية التحتية لتكنولوجيا المعلومات، مثل تقرير حول حالة الخادم أو قائمة عن تفاصيل أجهزة “سيسكو آيرون بورت”.\nوفي إحدى الحالات، بدا محتوى البريد الإلكتروني طبيعيًا على شكل محادثة بين عدد من الموظفين، واحتوى أيضًا على بيانات الاتصال لموظفين من عدة مصارف. وقد تم إرسال هذه الرسالة إلى عدة أشخاص، مع إرفاق ملف Excel الخبيث بها.\nيُشار إلى أن ملفات تمكين وحدات الماكرو الخبيثة غالبًا ما تُستخدم في حملات برمجيات الجريمة. ويعود سبب ذلك الى أن إعدادات أوفيس Office الافتراضية تتطلب عادةً استخدام وحدات الماكرو لتشغيلها، كما يقنع المهاجمون الضحايا بتشغيل هذه الملفات الخطيرة من خلال إبلاغهم أنها ضرورية لعرض “المحتوى المحمي”. وواحدة من التقنيات مثيرة للاهتمام التي لفتت إنتباهنا هي أنه يتم عرض محتوى إضافي بعد تشغيل الماكرو بنجاح.\nوقد تم ذلك لغرض الهندسة الاجتماعية -على وجه التحديد، لإقناع الضحية أن تشغيل ملف الماكرو له نتيجة في الواقع من خلال “إظهار المحتوى” من جداول البيانات الإضافية.\nأما في حملات برمجيات الجريمة، يُلاحظ عادة عدم عرض أي محتوى إضافي بعد تشغيل ملفات وحدات الماكرو. ومع ذلك، في هذه الحالة، يضيف المهاجمون خطوة اضافية لإخفاء أوراق العمل أو إظهارها عند تشغيل ملف الماكرو وذلك لتبديد أي شكوك.\nوقالت فاير آي إن التقنية الأخرى المثيرة للاهتمام في هذه البرمجيات الخبيثة هي استخدام نظام أسماء النطاقاتDNS  كقناة لاستخراج البيانات.\nويتم اعتماد هذه التقنية لأنه غالبًا ما يطلب نظام أسماء النطاقات لعمليات الشبكة العادية. فمن غير المحتمل أن يتم حظر بروتوكول DNS ما يسمح بإجراء اتصالات مجانية من الشبكة، كما أنه من غير المرجح أن يثير البروتوكول الشكوك بين المدافعين عن الشبكة.\nويجعل التقدم الملحوظ الذي حققته المنطقة كمركز للأعمال المصرفية والتمويل منها هدفًا مغريًا للهجمات الإلكترونية. ورغم أن هذا الهجوم لم يحقق أي ثغرات فورية أو تقنيات متقدمة أخرى، كان من المثير للاهتمام أن نرى كيف استخدم المهاجمون المكونات المختلفة لأداء الأنشطة استطلاعًا لهدف محدد.\nويوضح هذا الهجوم أيضًا، وفقًا للشركة، أن البرمجيات الخبيثة لا تزال فعالة حتى اليوم. ويمكن للمستخدمين حماية أنفسهم من مثل هذه الهجمات عن طريق تعطيل وحدات ماكرو في برامج Office من خلال الإعدادات الخاصة بهم، وكذلك بأن يكونوا أكثر يقظة عند تشغيل وحدات الماكرو في الوثائق خاصة عند الطلب، حتى وإن كانت هذه الوثائق تبدو من مصادر موثوقة.\nمحرر مختص بالشؤون التقنية في موقع البوابة العربية للأخبار التقنية