Zanubis.. برمجية حصان طروادة المصرفية وتهديدات العملات المشفرة
تاريخ النشر: 2nd, October 2023 GMT
حلل خبراء كاسبرسكي مؤخراً حملة حديثة من برمجية Zanubis، وهي برمجية خبيثة مصرفية من نوع حصان طروادة، معروفة بقدرتها على التنكر على هيئة تطبيقات مشروعة. كما سلّط تحليل الخبراء الضوء على أداة التشفير والتحميل، AsymCrypt، الحديثة، وأداة Lumma لسرقة البيانات. ويؤكد ذلك على الحاجة المتزايدة للأمن الرقمي المعزز.
ظهرت برمجية حصان طروادة المصرفية، Zanubis، للمرة الأولى على هواتف أندرويد في شهر أغسطس 2022، حيث استهدفت مستخدمي الخدمات المالية ومتداولي العملات المشفرة في دولة بيرو. فهي تخدع المستخدمين عبر التظاهر بأنها تطبيقات بيروفية مشروعة على نظام أندرويد وتستدرج الضحايا لمنحها أذونات وصول تعطيها التحكم الكامل. ويبدو أن Zanubis تطوّرت بحلول شهر أبريل 2023، إذ ظهرت حينها متنكرة على هيئة التطبيق الرسمي لهيئة الجمارك البيروفية SUNAT أو Superintendencia Nacional de Aduanas y de Administración Tributaria، مما زاد الأمر تعقيداً. إذ بمجرد حصول Zanubis على إذن للوصول إلى جهاز ما، تخدع البرمجية الضحية عن طريق تحميل موقع SUNAT الحقيقي عبر خاصية عرض الويب، مما يوحي بأنها مشروعة. كما تستعين Zanubis بأداة Obfuscapk، وهي أداة تمويه شائعة لتطبيقات APK الخاصة بنظام أندرويد، في إخفاء حقيقتها الخبيثة.
تستخدم برمجية Zanubis بروتوكول WebSockets ومكتبة تسمى Socket.IO للتواصل مع خادم تحكمها. مما يسمح لها بالتأقلم والحفاظ على الاتصال حتى عند مواجهتها للمشاكل. وعلى عكس البرمجيات الخبيثة الأخرى، لا تستهدف Zanubis قائمة ثابتة من التطبيقات. حيث يمكن برمجتها عن بُعد لسرقة البيانات عندما تعمل تطبيقات معينة. كما تقوم البرمجية بإنشاء اتصال ثانٍ قد يمنح المجرمين السيطرة الكاملة على أجهزة الضحايا. والأسوأ من ذلك، أنه يمكنها تعطيل أجهزة الضحايا كلياً بحجة أنها تحديث لنظام تشغيل الأندرويد.
ومن اكتشافات فريق كاسبرسكي الأخرى هي أداة التشفير والتحميل، AsymCrypt، والتي تستهدف محافظ العملات المشفرة، ويتم بيع هذه الأداة في المنتديات السرية على الإنترنت. إذ أظهر التحقيق أنها إصدار مطوَّر من أداة تحميل DoubleFinger يعمل بمثابة «واجهة» لخدمة شبكة تور (TOR). حيث يقوم المشترون بتخصيص طرق الحقن، والعمليات المستهدفة، والاستمرارية عند الإقلاع، وأنواع الأعقاب لمكتبات DLL الخبيثة، ويخفون الحمولة في كائن ثنائي كبير (blob) مشفر داخل صورة بصيغة .png يقومون بتحميلها على موقع لاستضافة الصور. ويؤدي تشغيل الأداة الخبيثة إلى فك تشفير الصورة، وبالنتيجة تنشيط الحمولة في الذاكرة.
أدى تتبع كاسبرسكي للتهديدات السيبرانية أيضاً إلى الكشف عن أداة سرقة البيانات Lumma، التي تعد سلالة برمجيات خبيثة جارية التطور. كانت Lumma تُعرف في السابق باسم Arkei، وهي لا تزال تحتفظ بمجمل 46% من سماتها السابقة. فهي تتخفى وتنتشر على هيئة أداة تحويل ملفات من صيغة .docx إلى .pdf، ثم تقوم بتنشيط الحمولة الخبيثة عندما تحوّل الملفات التي يتم تحميلها عليها إلى ملفات بصيغة .pdf.exe المزدوجة. ومع مرور الوقت، حافظت النسخ الجديدة من الأداة على وظيفتها الرئيسية؛ ألا وهي سرقة الملفات المخزنة مؤقتاً، وملفات الإعداد، والسجلات من محافظ العملات المشفرة. ومن المقلق أنه يمكنها القيام بمهتمها بالعمل كإضافة لمتصفح الويب، أو بالتأثير على التطبيق المستقل لمنصة التداول Binance. ومع تطور Lumma، باتت الأداة تجمع قوائم عمليات النظام، وتغير عناوين URL للاتصالات، كما تقدّمت تقنيات تشفيرها.
قالت تاتيانا شيشكوفا، باحثة أمن رئيسية في فريق البحث والتحليل العالمي GReAT، لدى كاسبرسكي، عن هذه الاكتشافات: "لا يتهاون المجرمون السيبرانيون في سعيهم لتحقيق مكاسب مالية، فهم يدخلون عالم العملات المشفرة وحتى أنهم ينتحلون هويات المؤسسات الحكومية لتحقيق أهدافهم. تكشف بيئة البرمجيات الخبيثة دائمة التطور، والتي تتجسد في أداة سرقة البيانات متعددة الأوجه، Lumma، وطموحات برمجية Zanubis كحصان طروادة مصرفي متكامل، عن الطبيعة الديناميكية لهذه التهديدات. ويعد التكيف مع هذا التحول المستمر في الكود الخبيث وأساليب المجرمين السيبرانيين تحدياً مستمراً أمام الفرق الأمنية. فيجب على الشركات أن تبقى متأهبة ومطّلعة لحماية نفسها من هذه المخاطر المتطورة. تلعب التقارير التحليلية دوراً محورياً في معرفة أحدث التكتيكات والأدوات الخبيثة التي يستخدمها المهاجمون، فهي تمكننا من الحفاظ على تقدمنا بخطوة في كفاحنا المستمر للأمن الرقمي.
للوقاية من التهديدات ذات الدوافع المالية، توصي كاسبرسكي بما يلي:
أعِدَّ نسخاً احتياطية غير متصلة بالإنترنت ولا يمكن للمخترقين العبث بها. وتأكد من إمكانية الوصول إليها بسرعة عند الحاجة.
ثبِّت حلولاً لحماية جميع النقاط الطرفية من برمجيات الفدية.
استخدم حلاً أمنياً مخصصاً يمكن التحكم به عبر تطبيق أو عبر الإنترنت لتخفيض إمكانية تشغيل الأدوات الخبيثة لتعدين العملات المشفرة. ومن هذه الحلول Kaspersky Endpoint Security for Business، الذي يقوم بتحليل السلوك ليكتشف الأنشطة الخبيثة بسرعة، كما يقدم برنامجاً يدير ويسد الثغرات الأمنية للحماية من معدّني العملات المشفرة الذين يستغلون الثغرات.
المصدر: بوابة الوفد
كلمات دلالية: العملات المشفرة
إقرأ أيضاً:
منظومة عمال مصر يشيد بموقف الرئيس السيسي من تهجير سكان غزة وتهديدات ترامب
أشاد المهندس هيثم حسين رئيس مجلس إدارة "منظومة عمال مصر "، بموقف وتصريحات الرئيس عبد الفتاح السيسي، رئيس الجمهورية بشأن رفض مصر لمخطط تهجير سكان قطاع غزة باعتباره "ظلم كبير واقع على الشعب الفلسطيني ومصر والأردن أيضاَ، كما أن مصر لن تكون جزء من هذا الظلم أو هذه المسرحية الغربية الهزلية الرخيصة.
تهديدات غير متوقعة
وكانت قد نشرت صحيفة "جيروزاليم بوست" الإسرائيلية الشهيره تغطية خبرية عن المؤتمر الصحفى للرئيس السيسي بكينيا والذي تضمن رفضه القاطع لقرارات الرئيس الأمريكي دونالد ترامب وتل أبيب فيما يخص تهجير سكان غزه الي رفح، ووصلت التهديدات الغير متوقعه بإرفاق صوره في تقريرها المستهدف للرئيس المصري الذي يمثل راس وآمن الدوله المصريه مع الرئيس الإيراني السابق الذى لقى مصرعه إثر سقوط طائرته الرئاسية في بلاده، ويتواكب كل ذلك مع اعلان واشنطن تلك القرارات الفجه بشكل صريح.
الأمر الذى يثير الشكوك تجاه دلالات هذه الصورة، خاصة أن هذه الصحيفة تمثل صوت إسـرائيل الرسمي باللغة الإنجليزية، وتعبر عن أجهزة الحكم والأمن والاستخبارات موساد وأمان وشاباك، ومعروف أن مادتها الصحفية تحمل رسائل إسـرائيلية بعلم الوصول.
صحفية: العشائر الفلسطينية ترفع صور الرئيس السيسي تقديرًا لموقفه الرافض للتهجيرعدم اتخاذ موقف المتفرج
وطالب رئيس مجلس اداره "منظومة عمال مصر المستدامه، النقابات والأحزاب وجموع الشعب المصري بشكل خاص، وحكومات وشعوب الدول العربية بشكل عام بعدم اتخاذ موقف المتفرج أمام تلك القضية المصيرية، وتقديم الدعم والمسانده في الظروف العصبيه التي تهدد الامه العربيه والاسلاميه كافه، خاصه مصر والممكله الأردنيه الهاشميه، وان يعبروا عن رفضهم القاطع لمثل هذه الإشارات التي لا تعبر إلا عن حالة الارتباك التي أصابت الجانب الإسرائيلي في ظل الرفض المصري الراسخ بدون مواربة لمخطط التهجير القسري للفلسطينيين، الذي يتبناه الرئيس الأمريكي المتهور دونالد ترامب.
صحفية: العشائر الفلسطينية ترفع صور الرئيس السيسي تقديرًا لموقفه الرافض للتهجيروأشار حسين الي أن نشر صورة الرئيس السيسي مع الرئيس الإيراني بصحيفة إسرائيلية تحمل دلالات خطيرة لاتحتمل المداعبة او مجرد سخريه، بل تحتمل تتضمن أكبر من ذلك بكثير وتهديد للامن القومي واستقرار َوتنميه الاقتصاد المصري أيضاََ، وذلك نظراَ لارتباط الاقتصاد َوالاستثمار بالسياسه، فهم دوماَ وجهان لعمله واحده.
وأضاف، أن نشر صحيفة جيروزاليم بوست الإسرائيلية مقالًا يتضمن صورة تجمع بين الرئيس المصري عبد الفتاح السيسي والرئيس الإيراني الراحل إبراهيم رئيسي، رغم أن محتوى المقال لم يكن له صلة مباشرة بإيران تصرف غير مهني يحمل دلالات خطيرة ويعكس نوايا مبيتة لا يمكن التغاضي عنها.
وأضاف أن مصر لا تقبل التهديدات ولا ترضخ للضغوط، وأن أمنها القومي هو خط أحمر لا يمكن تجاوزه، مشيرا إلى أن هذا التصرف يُعد محاولة للتلاعب الإعلامي والتشويش على المواقف الثابتة لمصر تجاه موقفنا الثابت تجاه القضية الفلسطينية ولم ولن نسمح بأي تهديد او تدخل خارجي في شؤون الثوابت الوطنية والامنيه.
جديد بالذكر أن مصر شهدت بالأمس مظاهره مليونيه من شعب مصر محيط منطقه ومعبر "رفح" للتنديد على الأحداث الجاريه التي تخص امن وسلامه شعب مصر وغزه ايضاَ متضامنين مع القاده السياسيه لمصر وحركه حماس، فيما يخص امن الحدود المصريه والتهجير القسري للغزاويين.