خبراء سوق سوداء هائلة الحجم لديها أكثر من 70 ألف سيرفر مخترق متاح للبيع

توصل باحثو كاسبرسكي لاب في أعقاب التحقيقات التي قاموا بها إلى أن هناك منصة عالمية تُمكِن مجرمي الإنترنت من خلالها شراء وبيع بيانات تسجيل الدخول إلى السيرفرات المخترقة مقابل سعر زهيد قد لا يزيد عن 6 دولارات أمريكية لكل منها. وتعرض سوق xDedic، التي يبدو أنها تدار من قبل عصابة إلكترونية ناطقة باللغة الروسية، حالياً للبيع نحو 70,624 من سيرفرات بروتوكول سطح المكتب البعيد (Remote Desktop Protocol) المخترقة.
والكثير من هذه السيرفرات تستضيف أو تتيح دخولاً غير مرخصاً لمواقع وخدمات المستهلكين الإلكترونية، والبعض منها تحتوي على برامج تم تثبيتها فيها للتراسل البريدي المباشر والمحاسبة المالية وإنجاز معاملات أجهزة الشراء الإلكتروني. كما بالإمكان استخدام هذه السيرفرات لاستهداف مالكي البنى التحتية أو كقاعدة مركزية لشن هجمات واسعة النطاق، في حين أن مالكي تلك الأصول الحيوية المستهدفة مثل الهيئات الحكومية والشركات والجامعات ليس لديهم سوى فكرة بسيطة أو لا علم لهم بما يدور من حولهم.
وتعتبر سوق xDedic من الأمثلة الواضحة والقوية على الأنواع الجديدة لأسواق مجرمي الانترنت: فهي منظمة تنظيما جيدا وتوفر لكل الأفراد من حديثي العهد في عالم الجريمة الإلكترونية إلى عصابات (APT) وصولاً سريعاً ومنخفض التكلفة وسهلاً إلى أنظمة البنى التحتية المؤسسية النظامية بحيث تبقي جرائمهم بعيداً عن أعين الرادار لأطول فترة ممكنة.
وحذر أحد مزودي خدمة الإنترنت الأوروبي (ISP) كاسبرسكي لاب حول حقيقة وجود سوق xDedic، وبأن الشركات تعمل بالتعاون فيما بينها لمعرفة طريقة عمل تلك السوق. وتبين لاحقاً بأن آلية التشغيل تلك بسيطة ومباشرة، حيث يقوم القراصنة باختراق السيرفرات، ويكون ذلك في أغلب الأحيان عن طريق شن هجمات مباغتة وضاربة، و من ثم يقومون بالاستيلاء على معلومات تسجيل الدخول وتقديمها إلى xDedic.
ويتم بعد ذلك فحص السيرفرات المخترقة من حيث خصائص تعريف سطح المكتب عن بعد (RDP) والذاكرة والبرامج وسجل التصفح وغير ذلك، وجميعها مزايا يمكن للعملاء التحقق منها والبحث فيها قبل عملية الشراء. بعد ذلك، تتم إضافة هذه البيانات إلى قوائم المخزون المتنامية على الانترنت والتي تشتمل على معلومات تساعد على الوصول إلى:
_ السيرفرات التابعة لشبكات الحكومة والشركات والجامعات.
_ السيرفرات التي تحمل علامات تدل على تمكنها من الدخول إلى أو استضافة بعض المواقع والخدمات الإلكترونية، بما في ذلك الألعاب والرهانات والمواعدة بين الجنسين والتسوق عبر الإنترنت والخدمات المصرفية عبر الإنترنت وسداد الدفعات وشبكات الهاتف المتنقل وشبكات مزودي خدمات الإنترنت والمتصفحات.
_ السيرفرات المزودة ببرامج مثبتة مسبقاً التي يمكنها أن تساعد على شن الهجمات، بما في ذلك البريد المباشر والبرامج المالية وأجهزة الشراء الإلكتروني.
وجميعها مدعومة بمجموعة من أدوات القرصنة والمعلومات اللازمة حول النظام. ومقابل أجر بخس لا يتجاوز 6 دولارات أمريكية للسيرفر الواحد، يتمكن أفراد منتدى xDedic من الوصول إلى كافة بيانات السيرفر واستخدامها كمنصة لشن مزيد من الهجمات الخبيثة. ومن المحتمل أن ينطوي ذلك أيضاً شن هجمات موجهة ودس برمجيات خبيثة وشن هجمات DDoS وهجمات التصيد الإلكتروني والهندسة الاجتماعية وبرمجيات الإعلانات التجارية الخبيثة (Adware) وغيرها.
وفي كثير من الأحيان، قد لا يكون مالكو السيرفرات النظاميين وكبرى المؤسسات، بما في ذلك الشبكات الحكومية والشركات والجامعات، مدركين لحقيقة أن البنية التحتية لتكنولوجيا المعلومات لديهم قد تعرضت للاختراق. بالإضافة لذلك، بعد الانتهاء من شن حملتهم الهجومية الخبيثة، قد يعرض المهاجمون خدمة الوصول إلى منصة النسخ الاحتياطي للسيرفر للبيع، مما سيؤدي إلى إعادة بدء العملية برمتها من جديد.
ويبدو أن سوق xDedic قد كانت نشطة في هذا المجال خلال فترة محددة من العام 2014، وسرعان ما نمت بشكل ملحوظ من حيث الشهرة والانتشار منذ منتصف عام 2015. وفي مايو من العام 2016، عرضت السوق للبيع 70,624 سيرفر من 173 دولة مسجلة باسم 416 بائعاً مختلفاً. كان من ضمن الدول العشر المتضررة:
البرازيل، الصين، روسيا، الهند، أسبانيا، إيطاليا، فرنسا، أستراليا وجنوب أفريقيا وماليزيا. ويبدو أن أفراد العصابة الذين يقفون وراء xDedic هم من الناطقين باللغة الروسية، ويدعون بأنهم لا يقدمون سوى منصة للتبادل التجاري وبأنه ليس لديهم أي ارتباطات أو علاقات مع البائعين.
وقال كوستين رايو، مدير فريق الأبحاث والتحليلات العالمي في كاسبرسكي لاب، “إن xDedic ما هي إلا دليل آخر على أن مفهوم تقديم (جرائم الإنترنت كخدمة) يتوسع وينمو باستمرار من خلال إضافة النظم الإيكولوجية التجارية ومنصات التبادل التجاري. ووجود مثل هذه السوق لا شك بأنه يجعل الأمر أكثر سهولة من أي وقت مضى على جميع هواة ومحترفي القرصنة، سواء كانوا من هواة البرمجيات الخبيثة بمستوى منخفض من المهارات أو من محترفي شن هجمات APTs المدعومين من الحكومات، وهو ما يتيح لأولئك القيام بش هجمات مدمرة بتكلفة زهيدة وسريعة وفعالة. والمتضرر من هذه الهجمات الموجهة ليسوا المستهلكين أو الشركات بمفردها، بل أيضاً مالكي السيرفرات المطمئنين: ويبدو هؤلاء على أنهم غير مدركين بأن سيرفراتهم قد تعرضت لهجمات اختراق مختلفة مرارا وتكرارا، وجميعها تتم أمام أعينهم ولكن دون أن ينتبهوا لها.”
توصي كاسبرسكي لاب الشركات باتباع التوجيهات التالية:
• تثبيت حل أمني فعال وقوي كجزء من نهج شامل متعدد الطبقات لحماية أمن بنية تكنولوجيا المعلومات التحتية.
• فرض استخدام كلمات مرور معقدة كجزء من عملية المصادقة للدخول إلى السيرفر.
• تنفيذ عملية مستمرة لإدارة التصحيحات البرمجية (Patch Management).
• القيام بإجراء تدقيق أمني دوري لبنية تكنولوجيا المعلومات التحتية.
• النظر في إمكانية الاستثمار في خدمات استخبارات التهديدات التي ستبقي الشركة على دراية تامة بالتهديدات الناشئة وتقدم لها تصورات متعمقة حول مشهد الجريمة الإلكترونية لمساعدتها على تقييم مستوى المخاطر.