برنامج الفدية Charon

كشف خبراء الأمن السيبراني عن حملة فدية جديدة تستغل سلالةً غير معروفة سابقًا تُسمى "شارون"، تستهدف تحديدًا القطاع العام وقطاع الطيران في الشرق الأوسط. تُظهر العملية مستوىً عاليًا من التطور، حيث تُستخدم فيها تكتيكاتٌ عادةً ما ترتبط بجهات التهديد المستمر المتقدم (APT).

استعارة التكتيكات من كتيبات APT

استخدم المهاجمون تقنيات متقدمة، مثل التحميل الجانبي لملفات DLL، وحقن العمليات، والمناورات المراوغة المصممة لتجاوز أدوات الكشف عن نقاط النهاية والاستجابة لها (EDR). والجدير بالذكر أن أسلوب التحميل الجانبي لملفات DLL يحاكي الأساليب التي لوحظت في هجمات Earth Baxia، وهي جماعة قرصنة مرتبطة بالصين، ومعروفة باستهدافها للجهات الحكومية في تايوان ومنطقة آسيا والمحيط الهادئ.

في تلك الحوادث السابقة، استغلت Earth Baxia ثغرة أمنية مُصحّحة في OSGeo GeoServer GeoTools لاختراق برمجية خبيثة تُسمى EAGLEDOOR. في حالة Charon، استخدم الهجوم ملفًا شرعيًا، Edge.exe (كان اسمه في الأصل cookie_exporter.exe)، لتحميل ملف msedge.dll ضار يُعرف باسم SWORDLDR، والذي نشر بدوره حمولة برنامج الفدية Charon.

قدرات برنامج الفدية Charon

بمجرد نشره، يتصرف Charon كغيره من متغيرات برامج الفدية المدمرة، ولكن مع تحسينات تجعله مُدمرًا وفعالًا في آنٍ واحد. يمكنه:

• إنهاء الخدمات المتعلقة بالأمن والعمليات النشطة.
• قم بحذف النسخ الاحتياطية والنسخ الظلية لمنع الاسترداد.
• استخدم تعدد العمليات والتشفير الجزئي لقفل الملفات بشكل أسرع.

ميزة أخرى مثيرة للاهتمام هي تضمين برنامج تشغيل مُجمّع من مشروع Dark-Kill مفتوح المصدر. يتيح هذا استخدام هجوم "أحضر برنامج التشغيل الخاص بك المُعرّض للثغرات" (BYOVD) لتعطيل أدوات EDR. مع ذلك، وجد الباحثون أن هذه الإمكانية غير مُفعّلة بعد، مما يُشير إلى أنها لا تزال قيد التطوير.

علامات العملية المستهدفة

يعتقد المحققون أن هذه الحملة كانت متعمدة وليست انتهازية. ويستند هذا الاستنتاج إلى وجود رسالة فدية مُخصصة لذكر اسم المؤسسة الضحية، وهو أمر نادر في حوادث برامج الفدية الشائعة. ولا تزال الطريقة المُستخدمة للوصول الأولي غير معروفة.

الإسناد غير المؤكد

في حين أن تقنيات شارون تشترك في أوجه التشابه مع عمليات الأرض باكسيا، يحذر الخبراء من أن هذا التداخل قد يشير إلى:

• المشاركة المباشرة من الأرض باكسيا.

وفي غياب أدلة واضحة مثل البنية الأساسية المشتركة أو أنماط الاستهداف المتسقة، تظل الصلة مجرد تكهنات.

التقارب المتزايد بين الجرائم الإلكترونية وتكتيكات الدولة القومية

تُبرز هذه الحادثة اتجاهًا مُقلقًا: إذ تعتمد مجموعات برامج الفدية بشكل متزايد أساليبَ هجومية متقدمة ومتطورة للاختراق والتهرب. ويزيد مزيجُ أساليب الاحتيال الخفية والأضرار المالية والتشغيلية المباشرة الناجمة عن تشفير برامج الفدية من المخاطر التي تواجهها المؤسسات المستهدفة بشكل كبير.