وظائف وهمية على "لينكدإن" تستهدف قطاعي الطيران والتكنولوجيا المالية في شرق المتوسط

رصد فريق البحث والتحليل العالمي في شركة كاسبرسكي، حملة موجهة تشنها مجموعة ميراج كيتين "Mirage Kitten" للهجمات السيبرانية المتقدمة، مُعتمدةً على مراسلات توظيف وهمية عبر منصة "لينكدإن" وبرمجيات تجسس جديدة مبنية على بيئة "Node.js" ولغة "جافا سكريبت" تستهدف قطاعي الطيران والتكنولوجيا المالية في شرق المتوسط وإفريقيا، لا سيما مصر، إثيوبيا، وأفغانستان.

وتشير "كاسبرسكي" في تقرير حصل 24 على نسخة منه، إلى رصد برمجيات خبيثة مرتبطة بهذه الهجمات الجديدة في بعض الدول الأخرى منها ألمانيا، تركيا، إسرائيل، الهند، وإيرلندا، حيث يأتي ذلك بعد الكشف في يوليو (تموز) عن استخدام مجموعة "ميراج كيتين" لأداة باب خلفي مخصصة لنظام التشغيل ويندوز.

مسؤولو توظيف وهميون

تنطلق سلسلة الهجوم من الهندسة الاجتماعية، إذ ينتحل المهاجمون هوية مسؤولي توظيف واستقطاب كفاءات في شركات تكنولوجية كبرى عبر منصة "لينكدإن"، ويتواصلون مع مهندسي برمجيات يعملون في مجالي الطيران والتقنية المالية.

توجه الدعوة المرشحين نحو عمل تقييم تقني، حيث يرسل إليهم رابط لتحميل "تحدي برمجة" تتم استضافته على خدمة تخزين سحابي شرعية من أمازون، ويحرص المهاجمون على الضغط على المرشح عبر تحديد مُهلة زمنية صارمة تتفاوت بين ساعة وثلاث ساعات، ويحذرونه من استخدام مساعدي الذكاء الاصطناعي في المهام البرمجية.

تبدأ عملية الاختراق حالما يقوم المطور بتحميل تحدي البرمجة وتشغيله على جهازه، وبينما ينشغل المطور بإنجاز النماذج الأولية للبرمجيات ضمن التحدي، تثبت البرمجية الخبيثة نفسها سرًا في الخلفية.

التحول إلى أساليب جديدة

اعتمدت مجموعة "ميراج كيتين" في السابق على برمجيات أصلية مكتوبة بلغات "C، أو C++، أو Go"، واستخدمتها لاستهداف بيئات نظام التشغيل ويندوز فقط، ومن خلال إعادة كتابة ترسانتها باستخدام بيئة "Node.js" ولغة جافا سكريبت، طورت المجموعة قاعدة برمجية واحدة يمكنها مهاجمة أنظمة التشغيل ويندوز، و"ماك"، و"لينكس".

بدورها، حددت كاسبرسكي عائلتين جديدتين من البرمجيات الخبيثة المستخدمة في هذه الحملة، حيث يتم نشر واستخدام كل واحدة منهما حسب الضحية المستهدفة، وتعرف الأولى بـ نود رابت "NodeRabbit"، وهي برمجية حصان طروادة للوصول عن بعد، معتمدة على بيئة "Node.js"، ويتم إخفاؤها داخل حزم تطوير شائعة الاستخدام، حيث تمنح المهاجمين تحكمًا كاملًا بالجهاز.

أما البرمجية الثانية فهي أيضًا حصان طروادة للوصول عن بعد، لكنها مكتوبة بلغة "جافا سكربت"، وتدعى "بول كات"، حيث تنتظر حتى قيام المرشحين بإدخال "كلمة مرور تستخدم لمرة واحدة" يقدمها مسؤول التوظيف الوهمي، للوصول إلى التحدي، ثم تستخلص معلومات النظام، وتفحص المجلدات، وترسل البيانات إلى المهاجمين.

من جانبه، يقول عمر أمين، باحث أمني خبير في فريق البحث والتحليل العالمي في كاسبرسكي، إن الانتقال من البرمجيات الخبيثة المجمعة التقليدية إلى التهديدات المعتمدة على لغة جافا سكريت بمثابة تحول بارز في الأساليب التي تستخدمها مجموعة ميراج كيتين، والتي يمكنها اختراق الحدود الأمنية للمؤسسات دون اكتشافها، ما يتطلب الوعي والحذر.