إحدى حمولات المتابعة التي تم دفعها إلى حوالي اثنتي عشرة منظمة كانت ما وصفه كاسبيرسكي بأنه “باب خلفي بسيط”. فهو يتمتع بالقدرة على تنفيذ الأوامر، وتنزيل الملفات، وتشغيل حمولات كود القشرة في الذاكرة، مما يجعل اكتشاف العدوى أكثر صعوبة.
وقالت كاسبرسكي إنها لاحظت بابًا خلفيًا أكثر تعقيدًا يُطلق عليه اسم QUIC RAT، مثبتًا على جهاز واحد تابع لمؤسسة تعليمية تقع في روسيا. وجد التحليل الأولي أنه يمكنه إدخال حمولات في عمليات notepad.exe وconhost.exe ويدعم مجموعة متنوعة من بروتوكولات الاتصال C2، بما في ذلك HTTP وUDP وTCP وWSS وQUIC وDNS وHTTP/3.
وتتركز المنظمات المئة المصابة بشكل أساسي في روسيا والبرازيل وتركيا وإسبانيا وألمانيا وفرنسا وإيطاليا والصين. إن رؤية Kaspersky للهجوم محدودة لأنها تعتمد فقط على القياس عن بعد الذي توفره منتجاتها الخاصة.
كتب باحثو كاسبرسكي:
ويظهر التحليل أن 10% من الأنظمة المتضررة تنتمي إلى الشركات والمؤسسات. حاول المهاجمون إصابة معظم الأجهزة المتأثرة بحمولة أداة تجميع المعلومات فقط. ومع ذلك، فإن الحمولة الخلفية الأخرى، وهي أكثر تعقيدًا، لم تتم ملاحظتها إلا على عشرات الأجهزة الحكومية والعلمية والتصنيعية ومنظمات البيع بالتجزئة الموجودة في روسيا وبيلاروسيا وتايلاند. تشير هذه الطريقة في نشر الباب الخلفي إلى مجموعة فرعية صغيرة من الأجهزة المصابة بوضوح إلى أن المهاجم كان لديه نوايا لإجراء العدوى بطريقة مستهدفة. ومع ذلك، فإن نيتهم – سواء كانت التجسس عبر الإنترنت أو “صيد الطرائد الكبيرة” – غير واضحة حاليًا.
وقد أصابت هجمات سلسلة التوريد الأخيرة Trivy وCheckmarx وBitwarden وأكثر من 150 حزمة متاحة من خلال مستودعات مفتوحة المصدر. وفي العام الماضي، كان هناك ما لا يقل عن ستة هجمات ملحوظة من هذا القبيل.
يجب على أي شخص يستخدم Daemon Tools أن يأخذ وقتًا لفحص أجهزته بالكامل باستخدام برنامج مكافحة فيروسات حسن السمعة. يجب على مستخدمي Windows أيضًا التحقق من مؤشرات الاختراق المدرجة في منشور Kaspersky. بالنسبة للمستخدمين الأكثر تقدمًا من الناحية التقنية، توصي Kaspersky بمراقبة “عمليات إدخال التعليمات البرمجية المشبوهة في عمليات النظام المشروعة، خاصة عندما يكون المصدر عبارة عن ملفات تنفيذية يتم إطلاقها من أدلة يمكن الوصول إليها بشكل عام مثل Temp أو AppData أو Public.”
