نشر بوساطة ناصر العماش في الرياض يوم 09 - 10 - 2024

اكتشف فريق البحث والتحليل العالمي (GReAT) لدى "كاسبرسكي" حملة خبيثة جديدة تشارك فيها برمجية حصان طروادة PipeMagic، والتي انتقلت من استهداف قطاعات في آسيا، نحو توسيع نطاق وصولها إلى المؤسسات داخل المملكة العربية السعودية. ويستخدم المهاجمون فيها إصداراً مزيفاً من تطبيق ChatGPT ليكون بمثابة طعم، وينشرون باباً خلفياً يقوم باستخراج البيانات الحساسة وتمكين الوصول الكامل عن بُعد إلى الأجهزة المخترقة. وتعمل تلك البرمجية الخبيثة كبوابة عبور أيضاً، تسمح بدخول برمجيات خبيثة إضافية وإطلاق مزيد من الهجمات عبر شبكة الشركة.
واكتشفت "كاسبرسكي" برمجية الباب الخلفي PipeMagic للمرة الأولى في العام 2022، حيث كانت البرمجية هي حصان طروادة قائم على دعم المكونات الإضافية، وكانت تستهدف الكيانات في آسيا في ذاك الحين. كما تتمتع البرمجية بالقدرة على العمل كباب خلفي أو بوابة عبور على حد سواء. وفي سبتمبر 2024، لاحظ فريق GReAT لدى كاسبرسكي عودة نشاط PipeMagic من جديد، فقد استهدفت هذه المرة مؤسسات داخل المملكة العربية السعودية.
يستخدم هذا الإصدار من الباب الخلفي تطبيقاً مزيفاً من ChatGPT تم إنشاؤه بواسطة لغة البرمجة Rust. وللوهلة الأولى، يبدو التطبيق مشروعاً، إذ أنه يحتوي على عدة مكتبات Rust شائعة ومستخدمة في العديد من التطبيقات الأخرى المستندة على هذه اللغة البرمجية. ومع ذلك، فعند التنفيذ، يعرض التطبيق شاشة فارغة بدون واجهة مرئية، ويُخفي وراء ذلك 105,615 بايت من البيانات المشفرة والتي تحمل برمجيات خبيثة في الواقع.
في المرحلة الثانية، تشرع البرمجية الخبيثة بالبحث عن وظائف رئيسية لواجهة برمجة التطبيقات في نظام Windows، وذلك من خلال البحث في تغييرات الذاكرة الموافقة باستخدام خوارزمية لتجزئة الأسماء. و من ثم تعمل على تخصيص موارد الذاكرة، وتحميل باب PipeMagic الخلفي، وضبط الإعدادات الضرورية، وتقوم بتنفيذ البرمجية الخبيثة.
من بين الميزات الفريدة لبرمجية PipeMagic هو أنها تولد مجموعة عشوائية بحجم 16 بايت لإنشاء مجرى معنون يتخذ التنسيق \. \pipe\1.. وتولد مساراً يقوم بإنشاء هذا المجرى باستمرار، فيقرأ البيانات منه، ثم يدمره. ويُستخدم هذا المجرى لاستقبال الحمولات المشفرة وإشارات الإيقاف عبر الواجهة المحلية الافتراضية. وعادة ما تعمل برمجية PipeMagic رفقة عدد من المكونات الإضافية التي تم تنزيلها من خادم قيادة وتحكم (C2)، وقد تم استضافة الخادم على سحابة Microsoft Azure هذه المرة.
حول الأمر، علق الباحث الأمني الرئيسي في فريق GREAT لدى كاسبرسكي، سيرجي لوزكين، قائلاً: «يطوّر مجرمو الإنترنت استراتيجياتهم باستمرار لبلوغ مزيد من الضحايا وتوسيع نطاق حضورهم، وهو ما يتضح من التوسع الأخير لبرمجية حصان طروادة PipeMagic من آسيا إلى المملكة العربية السعودية. وبالنظر لقدراتها، فإننا نتوقع أن نرى زيادة في الهجمات التي تستغل هذا الباب الخلفي.»