“سيسكو”: مجموعة قرصنة استهدفت مؤسسات لدول من بينها مصر
قالت شركة “سيسكو”، إن باحثيها للأمن السيبراني قد عثروا على مجموعة قرصنة متطورة للغاية، تتلقى الدعم من قبل احدي الدول -لم يذكروها- استهدفت جزءًا أساسيًا من البنية التحتية للإنترنت لعدد من الدول، أثناء محاولتها سرقة معلومات سرية.
وأشار باحثو تالوس “وحدة للأمن السيبراني”، إلى استخدام المجموعة لتقنية تعرف باسم “اختطاف نظام أسماء النطاقات DNS” من أجل استهداف 40 منظمة ووكالة حكومية، ووزارة خارجية، وشركات طاقة بارزة، إلى جانب عدد كبير من شركات الاتصالات، ومقدمي خدمات الإنترنت، في 13 دولة حول العالم، بينها مصر لأكثر من عامين.
وقال تقرير صدر اليوم، إن هذه العمليات مختلفة تمامًا، ومستقلة عن العمليات التي تقوم بها حملة القرصنة DNSpionage”.
واستهدفت المجموعة بشكل رئيسي بلدان الشرق الأوسط، وشمال إفريقيا، وتطلق تالوس على المجموعة اسم “السلاحف البحرية Sea Turtle”، والتي تستهدف الشركات من خلال الاستيلاء على نظام أسماء النطاقات DNS، مما يسمح للمتسللين بتوجيه اسم مجال الهدف إلى خادم ضار من اختيارهم.
وتستغل هذه التقنية العيوب المعروفة في نظام أسماء النطاقات DNS، والتي يمكن استخدامها لخداع ضحايا الشركات؛ من أجل تسليم بياناتهم من خلال صفحات تسجيل دخول مزيفة.
ويخترق المتسللون في البداية هدفًا محددًا باستخدام تقنية التصيد الاحتيالي، وذلك من أجل الحصول على موطئ قدم على الشبكة، ثم يستخدمون عيوبًا معروفة لاستهداف الخوادم وأجهزة التوجيه؛ للحصول على كلمات مرور الشبكة.
ويستعمل المتسللون تلك البيانات لاستهداف مسجل DNS الخاص بالمنظمة، وذلك عن طريق تحديث سجلاتها، بحيث يشير اسم المجال إلى خادم يتحكم فيه المتسللون، بدلًا من عنوان بروتوكول الإنترنت IP لخادم الهدف.
وبمجرد أن يشير نطاق الهدف إلى الخادم الضار، فإن بإمكان المتسللين تشغيل عملية هجوم “رجل في الوسط”؛ لانتحال صفة صفحات تسجيل الدخول، وجمع أسماء وكلمات مرور الموظفين، وذلك كوسيلة للوصول إلى أماكن أعمق ضمن الشبكة.
ويهدف المتسللون إلى الحصول على شهادات SSL للهدف المستخدمة عبر شبكة الشركة، مما يمنحهم رؤية أكبر لعمليات المؤسسة، كما يسرقون أيضًا شهادات SSL المستخدمة في الشبكات الخاصة الافتراضية VPN، وذلك من أجل سرقة البيانات، والوصول إلى شبكة المؤسسة من خارجها.
وتمكن المتسللون من الوصول إلى المسجل الذي يدير نطاقات المستوى الأعلى لدولة أرمينيا، الأمر الذي سمح للمجموعة باستهداف أي اسم نطاق “am”.
