قال باحثون إن الهجوم كان على الأرجح جزءا من عملية أوسع لسرقة العملات المشفرة وبيانات تسجيل الدخول عبر خداع المستخدمين بفحص تحقق مزيف من "غوغل".
هجوم إلكتروني مشبوه يستخدم نماذج تحقق مزيفة من نوع "CAPTCHA" لاستهداف مؤسسة حكومية أوكرانية جرى ربطه بموسكو، وذلك وفقا لـتقرير (المصدر باللغة الإنجليزية) جديد.
اعلان
اعلان
قال عملاق التكنولوجيا الأمريكي "سيسكو" إن باحثيه في مجال الأمن السيبراني رصدوا نشاطا غير معتاد في أنظمة حواسيب المؤسسة في شهر أبريل، مؤكدا "بدرجة ثقة متوسطة" أن جهة تهديد روسية هي التي نفذت الهجوم.
اكتشف باحثو "سيسكو" وجود برمجية خبيثة معروفة باسم "Amatera" تعمل على النظام، وقادرة على سرقة معلومات حساسة.
واستخدمت هذه البرمجية أيضا لتثبيت برنامج يمنح المهاجم إمكانية الوصول إلى الحاسوب، بما في ذلك فحص الملفات ونقل البيانات وتنفيذ الأوامر، بحسب الشركة.
وتبيّن لـ"سيسكو" أن هذا البرنامج جرى ضبطه للاتصال بخادم يحمل عنوان بروتوكول إنترنت مقره في روسيا.
ولم يتمكن التقرير من التحقق مما إذا كانت أي معلومات قد سُرقت بالفعل من المؤسسة الأوكرانية، أو ما إذا كان القراصنة استخدموا ذلك الوصول بشكل نشط، أو حتى كيف بدأ اختراق الحاسوب في الأصل.
إلا أن باحثي "سيسكو" قدّروا أن الهجوم جزء من عملية أوسع تهدف إلى سرقة عملات مشفرة وبيانات اعتماد الدخول.
وجاء في التقرير: "لم يكن واضحا ما الذي بدأ سلسلة التنفيذ".
عمليات تحقق "CAPTCHA" تتحول إلى فخاخ
في النظام الأوكراني، رصد باحثو "سيسكو" ملفا خبيثا متنكرًا تحت اسم "verification.google"، لكنهم لم يتمكنوا من تتبع السبب الذي جعله يبدأ العمل.
ولفهم كيفية بدء العدوى في أوكرانيا، بحث الفريق عن هجمات مماثلة، ليكتشف حالة إصابة أخرى تتضمن البرمجية الخبيثة نفسها "Amatera".
وهذه المرة، أعاد الباحثون مصدر العدوى إلى مواقع إلكترونية مخترقة تعرض نسخا مزيفة من نموذج التحقق "CAPTCHA" الخاص بشركة "Google"، المستخدم للتمييز بين الزوار البشر والبرمجيات الآلية.
وبدلا من الاكتفاء بطلب اختيار مربع أو تحديد صور، كانت نسخة التحقق المزيفة تطلب من المستخدمين فتح نافذة على حواسيبهم ولصق نص يؤدي تشغيله إلى تنزيل برمجيات خبيثة.
وفي تلك العدوى، استخدمت "Amatera" أيضا لتثبيت برنامج مصمم خصيصا لسرقة العملات المشفرة.
وكان بوسع هذا البرنامج مراقبة عناوين محافظ العملات المشفرة التي ينسخها الضحايا واستبدالها بعناوين يسيطر عليها المهاجمون، ما يتيح لهم توجيه المدفوعات إلى حساباتهم الخاصة.
وتقول "سيسكو" إن أوجه التشابه بين الحالتين تشير إلى أن الهجوم ضد أوكرانيا ربما بدأ بالطريقة نفسها.
مع ذلك، لم يتمكن الباحثون من تأكيد أن العدويْن بدأت بالطريقة ذاتها أو أن المجموعة نفسها هي التي نفذت الهجومين.