أصبحت البرامج الضارة التي تقوم بسرقة المعلومات هي الناقل الرئيسي بشكل متزايد لبرامج الفدية وغيرها من خروقات البيانات عالية التأثير. تعرف على ما يفعله السارقون، وكيفية عملهم، وما الذي تفعله الجهات الخبيثة بالبيانات المخترقة.

لاحظت شركة الأمن السيبراني Flashpoint تطورًا في التكتيكات، حيث تسعى الجهات الفاعلة في مجال التهديد، إلى جمع تكوينات المتصفح وبيانات نظام التشغيل، بالإضافة إلى السجلات. ومن خلال جمع بصمات المتصفح هذه واستخدام متصفحات مضادة للاكتشاف، تقوم الجهات الفاعلة في مجال التهديد بتزوير قراءات بصمات المتصفح لمطابقة ملفات تعريف الارتباط الخاصة بالجلسة المسروقة والتي تمكنهم من الوصول إلى الحسابات.

البرامج الضارة لسرقة المعلومات، أو برامج السرقة، هي نوع من البرامج الضارة المصممة لاستهداف البيانات ذات الأهمية على النظام المستهدف وإخراجها ليستخدمها المهاجم في قدرات أخرى. تشمل الأهداف الشائعة للسارقين معلومات النظام وبيانات المتصفح وبطاقات الائتمان ومحافظ العملات المشفرة.

الصعود إلى الصدارة
على مدى السنوات السبع الماضية، لاحظت Flashpoint ارتفاعًا ملحوظًا في شعبية بيع واستخدام برمجيات السرقة. غالبًا ما يتم الإعلان لبيعها في المنتديات غير المشروعة، بمبالغ تتراوح بين 50 دولارًا إلى 250 دولارًا أمريكيًا للاشتراك الشهري.

عزا محللو Flashpoint الاهتمام المتزايد بالسارقين إلى أربعة محركات رئيسية. أولاً، يمكن للأفراد استخدام البيانات ذات القيمة العالية التي يجمعها اللصوص. وهذا بالإضافة إلى العوامل التالية التي أدت إلى ظهور السارقين: بساطة البرمجيات الخبيثة السارقة، وتوافر واسع النطاق لكود مصدر السرقة، بالإضافة إلى انخفاض التكاليف العامة.

فهم سلسلة هجمات البرامج الضارة السارقة
الغرض الرئيسي من البرمجيات الخبيثة السارقة هو جمع البيانات وإخراجها. يلاحظ محللو Flashpoint أن أنواع البيانات المستهدفة الأكثر شيوعًا هي:
معلومات النظام مثل مواصفات الأجهزة واللغة واسم المضيف والبرامج المثبتة، وبطاقات الائتمان، محافظ التشفير، معلومات الملء التلقائي، بيانات اعتماد الحساب، بالإضافة إلى بيانات المتصفح مثل ملفات تعريف الارتباط وبيانات الامتداد.

ونظرًا لأن أدوات السرقة الحديثة تستهدف عمومًا نفس أنواع البيانات، فيمكن عادةً اكتشاف نشاط السرقة من خلال خدمات الكشف عن نقطة النهاية. ردًا على ذلك، غالبًا ما تستثمر الجهات الفاعلة في مجال التهديد في خدمة تشفير تعمل على حزم البرامج الضارة أو حجبها لمنع اكتشاف برامج مكافحة الفيروسات الثابتة لعينة من البرامج الضارة.

العدوى الأولية وعلامات النشاط المحتمل
يقوم اللصوص بإصابة نظام الهدف من خلال مجموعة متنوعة من ناقلات الوصول الأولية الشائعة مثل التصيد الاحتيالي أو تنزيلات البرامج المزيفة أو إسقاط الحمولة في المرحلة الثانية. إذا كان هناك برنامج غير معروف يقوم بالأنشطة التالية، فقد يشير ذلك إلى نشاط سرقة:

1. الوصول إلى مفتاح التسجيل إلغاء التثبيت
2. قراءة ونسخ البيانات من مخازن ملفات المتصفح
3. استهداف ملحقات متصفح العملات المشفرة على وجه التحديد

جمع البيانات والترشيح
بعد الإصابة، يتم بعد ذلك تصفية البيانات إلى وحدة القيادة والتحكم. يشار إلى هذه البيانات المسروقة باسم السجلات ، وهو اختصار لبيانات اعتماد تسجيل الدخول. تحتوي السجلات غالبًا على ملفات تعريف الارتباط النشطة للجلسة. عند الاستفادة بشكل صحيح، قد تسمح ملفات تعريف الارتباط للجلسة النشطة للجهات التهديدية بالوصول إلى الحسابات مع تجاوز متطلبات بيانات اعتماد الحساب والمصادقة متعددة العوامل.

كيف تستفيد الجهات الخبيثة البرامج الضارة السارقة

يمكن استخدام البيانات المخترقة بعدة طرق، ولكن الاستخدام الأكثر شيوعًا لها هو تحقيق الدخل منها أو استغلالها بشكل أكبر. يتم بيع السجلات من خلال طرق مختلفة وغالبًا ما تقوم الجهات الفاعلة الضارة بسحب البيانات المحددة التي تهمها، مثل بيانات اعتماد البنك وبيع الباقي في الأسواق غير المشروعة مثل Russian Market و 2easy . يتم إدراج أنواع مختلفة من السجلات للبيع في متاجر الروبوتات غير القانونية ويمكن العثور عليها بناءً على معايير البحث وفقًا لاهتمامات المشتري.

يمكن أيضًا للجهات الفاعلة في مجال التهديد إعداد خلاصة أو خدمة خاصة بها، حيث تستفيد بعض الجهات الفاعلة في مجال التهديد من روبوتات Telegram لإدارة عملياتها. شهدت Flashpoint قيام العديد من الجهات الفاعلة في مجال التهديد بإعداد خدمات الاشتراك لتوفير تغذية مستمرة للسجلات الجديدة للعملاء.

وبخلاف ذلك، يمكن استغلال بيانات الاعتماد وملفات تعريف الارتباط الخاصة بالجلسة التي تم اختراقها والموجودة داخل السجلات بشكل أكبر للحصول على وصول غير مصرح به إلى الحسابات، أو لاستنزاف أو سرقة الأموال من بطاقات الائتمان ومحافظ العملات المشفرة. نظرًا لمرونتها، يعتبر مجتمع الجهات الفاعلة في مجال التهديد أن البيانات المسروقة ذات قيمة عالية، نظرًا لقدرتها على تحقيق الدخل منها بسهولة أو استخدامها كوسيلة للوصول.

البقاء في صدارة التهديدات الناشئة
يعد الارتفاع الحالي في البرامج الضارة التي تقوم بسرقة المعلومات بمثابة تذكير صارخ بالتهديدات الرقمية المتطورة باستمرار. في حين أن الدوافع وراء استخدامه تكون دائمًا متجذرة في تحقيق مكاسب مالية، إلا أن السارقين يتكيفون باستمرار مع سهولة الوصول إليهم وسهولة استخدامه. إذا لم تكن فرق الأمن مستعدة، فقد تواجه طوفانًا من الهجمات الإلكترونية التي قد تؤدي إلى اختراق بيانات مكلف.

المصدر: Flashpoint