دودة USB SnakeDisk
أطلقت مجموعة التهديد الإلكترونية الموالية للصين، المعروفة باسم "موستانج باندا"، أدوات جديدة في حملاتها للتجسس الإلكتروني. وثّق باحثون مؤخرًا استخدام منفذ خلفي مُحسّن من نوع TONESHELL، إلى جانب دودة USB غير معروفة سابقًا تُسمى SnakeDisk. وتُعزز هاتان الإضافتان سمعة المجموعة كواحدة من أكثر الخصوم المدعومين من الدول إصرارًا.
جدول المحتويات
من يقف وراء الهجمات؟
يراقب خبراء الأمن السيبراني هذا النشاط ضمن مجموعة Hive0154، وهي اسم شامل مرتبط بـ Mustang Panda. تُعرف هذه المجموعة أيضًا بأسماء مستعارة عديدة، منها BASIN، وBronze President، وCamaro Dragon، وEarth Preta، وHoneyMyte، وPolaris، وRedDelta، وStately Taurus، وTwill Typhoon.
تشير الأدلة إلى أن موستانج باندا كانت نشطة منذ عام 2012 على الأقل، حيث نفذت عمليات تركز على التجسس لصالح مصالح الدولة الصينية.
SnakeDisk: دودة USB خفية
SnakeDisk دودةٌ مُكتَشَفةٌ حديثًا تنتشر عبر التحميل الجانبي لملفات DLL. تنتمي هذه الدودة إلى عائلة TONESHELL الخبيثة، وتُظهِر تداخلاتٍ واضحةً مع إطار عملٍ آخر لدودة USB، وهو TONEDISK (المعروف أيضًا باسم WispRider).
وتشمل قدراتها الرئيسية ما يلي:
- مراقبة أجهزة USB المتصلة لمعرفة فرص الانتشار.
- نقل ملفات USB الموجودة إلى دليل فرعي مخفي، ثم استبدالها بملف تنفيذي ضار مقنع على شكل اسم وحدة تخزين الجهاز أو ببساطة USB.exe.
- استعادة الملفات الأصلية بمجرد تشغيل البرامج الضارة على نظام جديد، مما يقلل من الشكوك.
الميزة المذهلة هي جغرافيتها: يتم تنفيذ SnakeDisk فقط على الأجهزة التي تحتوي على عناوين IP مقرها تايلاند، مما يضيق نطاق استهدافه.
يوكاي: الباب الخلفي المُسلّم بواسطة SnakeDisk
يعمل SnakeDisk كآلية توصيل لـ Yokai، وهو باب خلفي يُنشئ غلافًا عكسيًا لتشغيل أوامر عشوائية. أُبلغ عن Yokai لأول مرة في ديسمبر 2024، وارتبط بحملات ضد مسؤولين تايلانديين.
يتشابه هذا البرنامج الخبيث تقنيًا مع عائلات أخرى من برمجيات الباب الخلفي المنسوبة إلى Hive0154، بما في ذلك PUBLOAD/PUBSHELL وTONESHELL. ورغم أن هذه العائلات سلالات منفصلة، إلا أنها تستخدم هياكل وتقنيات متشابهة للتواصل مع خوادم القيادة والتحكم (C2).
التركيز الاستراتيجي على تايلاند
تشير قواعد الاستهداف المُدمجة في SnakeDisk ونشر Yokai بقوة إلى أن مجموعة فرعية من Mustang Panda تُركز تركيزًا كبيرًا على تايلاند. وهذا يُشير إلى استراتيجية مُحسّنة وعمليات مُصممة خصيصًا في جنوب شرق آسيا.
نظام بيئي واسع ومتطور للبرامج الضارة
يتميز Hive0154 بقدرته على إدارة منظومة برامج ضارة واسعة ومترابطة. وتُظهر عملياته ما يلي:
- تداخلات متكررة في التعليمات البرمجية الخبيثة وتقنيات الهجوم.
- التجارب المستمرة مع المجموعات الفرعية والبرامج الضارة المتخصصة.
- وتيرة ثابتة لدورات التطوير، مع تسليط الضوء على القدرة على التكيف.
وتؤكد ترسانة موستانج باندا المتطورة التزام الجهة الفاعلة في مجال التهديد على المدى الطويل بتعزيز قدراتها التجسسية مع تعزيز تركيزها الإقليمي.
