قراصنة إيرانيون يستهدفون حواسيب ويندوز في المنطقة

نشرت X-Force، المنصة السحابية لتبادل أحدث معلومات تهديدات الأمان التابعة لشركة آي بي إم IBM، تقريرًا عن سلالة جديدة من البرامج الضارة تتصل بمجموعات القرصنة الإيرانية المدعومة من الدولة، بحيث جرى استخدام هذه البرمجية الجديدة في هجوم مدمر ضد الشركات في الشرق الأوسط، وحذرت IBM من أنها تستهدف قطاعي الصناعة والطاقة في الشرق الأوسط.
هذا ولم تذكر شركة IBM الشركات التي تم استهدافها ومسح بياناتها في الهجمات الأخيرة، لكنها أوضحت من خلال التقرير المؤلف من 28 صفحة أن البرمجية الخبيثة المعروفة باسم ZeroCleare تعمل على مسح البيانات، وركزت على تحليل البرمجية الضارة نفسها.
وقالت IBM: إن ZeroCleare تشبه شمعون Shamoon، أحد أكثر سلالات البرامج الضارة خطورة وتدميرًا في العقد الماضي، لكن على عكس العديد من الهجمات الإلكترونية السابقة، والتي عادةً ما تنفذها مجموعة واحدة، أوضحت آي بي إم أن هذه البرمجية الخبيثة والهجمات وراءها هي على ما يبدو جهود تعاون بين اثنين من وحدات القرصنة الإيرانية المدعومة من الحكومة.
ووفقًا للتقرير، تعتبر البرمجية الضارة ZeroCleare من بنات أفكار مجموعة التهديد ITG13، والمعروفة أيضًا باسم APT34/OilRig، ومجموعة أخرى من المحتمل أن يكون مقرها خارج إيران، بحيث صممت البرمجية الضارة لحذف أكبر قدر ممكن من البيانات من المضيف المصاب.
وعادةً ما يتم استخدام مثل هذه البرامج الضارة لإخفاء الاختراقات عن طريق حذف الأدلة المهمة أو لتدمير قدرة الضحية على القيام بنشاطها التجاري المعتاد.
وأثناء البحث عن هجمات ZeroCleare الأخيرة، قالت IBM: إنها حددت نسختين من البرمجية الضارة، حيث تم إنشاء نسخة للأنظمة 32 بت والثانية للأنظمة 64 بت، وأوضح الباحثون أن الهجمات عادةً ما تبدأ مع محاولة المتسللين تخمين كلمات المرور من أجل الوصول إلى حسابات وموارد شبكة الشركة.
وبمجرد وصول المهاجمين إلى حساب خادم الشركة، فإنهم يستغلون ثغرة أمنية في SharePoint لتثبيت تهديدات مثل China Chopper و Tunna في سبيل الوصول إلى أكبر عدد ممكن من أجهزة الحاسب داخل الشبكة، وبعد حصول ZeroCleare على امتيازات مرتفعة، سيتم تحميل EldoS RawDisk، وهي مجموعة أدوات للتفاعل مع الملفات والأقراص.
وقال الباحثون: إن البرمجية الخبيثة أساءت استخدام EldoS RawDisk من أجل مسح MBR وإتلاف أجزاء القرص على عدد كبير من الأجهزة المتصلة بالشبكة، وبالرغم من أن IBM لم تشارك أي تفاصيل حول ضحايا ZeroCleare، إلا أن تقييمًا يوميًا للتهديدات من IBM أرسل هذا الخريف يشير إلى أنها علمت لأول مرة بهذه البرمجية الضارة والهجمات الجديدة في 20 سبتمبر.