كشفت كاسبرسكي النقاب عن حملة تجسس رقمي استهدفت لمدة طويلة أفرادًا ناطقين بالفارسية في إيران. ونشطت العصابة التخريبية التي تقف وراء الحملة، والتي أطلق عليها اسم Ferocious Kitten (القط الشرس)، منذ العام 2015 على الأقلّ.
وعملت على إيصال برمجية خبيثة دُعيت MarkiRAT إلى المستهدفين لتسرق بياناتهم وتنفّذ أوامر على أجهزتهم. ولهذه البرمجية نسخ يمكنها اختراق متصفح Chrome وتطبيق Telegram لدى المستخدم الضحية.
وفي مارس من هذا العام، جرى تحميل مستند إغراء مشبوه إلى موقع VirusTotal حيث نُشر على الملأ من خلال تغريدة على Twitter قرر باحثو كاسبرسكي، عند ملاحظتها، إجراء مزيد من التحقيق حول المسألة، ليجدوا حملة مراقبة استمرت 6 سنوات ضد أفراد ناطقين بالفارسية في إيران.
وأطلق الباحثون على الجهة التي تقف وراء الحملة اسم Ferocious Kitten الذي يعني “القط الشرس”.
وظلّت هذه العصابة ناشطة منذ العام 2015 على الأقل، وتستهدف ضحاياها بمستندات مفخخة تحتوي على وحدات ماكرو خبيثة.
وتتنكر هذه المستندات في هيئة صور أو مقاطع فيديو تصوّر أعمالًا ضد النظام الإيراني كاحتجاجات أو أنشطة من معسكرات المقاومة.
وتحاول الرسائل المرفقة بتلك مستندات إقناع المستهدفين بفتح الصور أو مقاطع الفيديو المرفقة، فإذا فعلوا يجري إسقاط الملفات التنفيذية الخبيثة في النظام المستهدف، في أثناء عرض المحتوى المرئي للملف على الشاشة.
وتُسقط الرسالة الملفات التنفيذية الحمولة الخبيثة الرئيسة، وهي عبارة عن برمجية خبيثة مصممة خصيصًا تُعرف باسم MarkiRAT، والتي تشغّل، بمجرد تنزيلها إلى النظام المصاب، برمجية keylogger لتسجيل كل محتوى الحافظة وجميع الضغطات على لوحة المفاتيح، كما تتيح للمهاجمين إمكانية تنزيل الملفات وتحميلها وتمنحهم القدرة على تنفيذ أوامر مختلفة على الجهاز المصاب.
وتمكن باحثو كاسبرسكي من اكتشاف العديد من النسخ المتغيرة من MarkiRAT؛ فوجدوا لإحداها القدرة على اعتراض تشغيل تطبيق Telegram وإطلاق برمجية خبيثة معه، وهي تقوم بذلك عن طريق البحث في الجهاز المصاب عن مستودع البيانات الداخلي الخاص بالتطبيق، وفي حال العثور عليه، تنسخ البرمجية MarkiRAT نفسها فيه ثم تعدِّل الاختصار الذي يقوم بتشغيل Telegram لتنفيذ هذا المستودع المعدل مع التطبيق نفسه.
وثمة نسخة أخرى تعدّل اختصار متصفح Chrome في جهاز الضحية بطريقة مشابهة، لتصبح النتيجة تشغيل تطبيق Chrome لكن مع تنفيذ حمولة MarkiRAT بجانبه في كل مرة يطلق فيها المستخدم هذا التطبيق.
وهناك نسخة ثالثة هي نسخة ذات منفذ خلفي من Psiphon؛ أداة VPN مفتوحة المصدر التي تُستخدم غالبًا لتجاوز الرقابة على الإنترنت. ووجدت كاسبرسكي أيضًا دليلًا على أن الجهات التخريبية طوّرت عمليات زرع خبيثة تستهدف أجهزة Android، على الرغم من أن الباحثين لم يتمكنوا من الحصول على أية عينات محدّدة لتحليلها.
ويبدو أن ضحايا هذه الحملة هم من الناطقين بالفارسية والمقيمين داخل إيران. ويشير محتوى المستندات المفخخة إلى أن المهاجمين يلاحقون على وجه التحديد أنصار حركات المعارضة داخل البلاد.
ورأى مارك ليشتيك الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكى، أن من المثير للاهتمام إنشاء المجموعة التخريبية نسخًا مخصصة لمتصفح Chrome وتطبيق Telegram، بالرغم من أن البرمجية الخبيثة MarkiRAT ومجموعة الأدوات المصاحبة لها “ليست شديدة التعقيد”، معتبرًا في ذلك إشارة إلى أن تركيز المجموعة ينصبّ على ما وصفه بـ “تكييف مجموعة أدواتها الحالية مع البيئات المستهدفة بدلاً من إثرائها بالميزات والقدرات”، مرجّحًا أن تُقدِم المجموعة على تنفيذ “عدة حملات تستهدف منصات مختلفة”.
من جانبه، أضاف بول راسكاغنيريس الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكى: “وجدنا أيضًا نسخة متغيرة عادية أكثر حداثة تستخدم “أداة تنزيل” بدلًا من احتوائها على حمولة تخريبية مضمنة، ما يشير إلى أن المجموعة لا تزال نشطة للغاية، وقد تكون حاليًا في طور تعديل تكتيكاتها وأساليبها وإجراءاتها”.
بدورها قالت الباحث الأمني الأول وعضو فريق البحث والتحليل العالمي، أسيل كيال، إن المنهجية المتبعة في استهداف ضحايا حملة “القط الشرس” وإجراءاتها وأساليبها وتكتيكاتها “مماثلة للجهات التخريبية الأخرى الناشطة في المنطقة، مثل Local Kitten وRampant Kitten”، معتبرة أن هذه الجهات تشكل معًا “منظومة أوسع لحملات المراقبة في إيران”.
وأضافت: “لا يبدو أنه يجري تتبّع هذه الأنواع من المجموعات التخريبية بانتظام، ما يتيح لها التحرك بعيدًا عن الرقابة لفترات طويلة، ويسهل عليها بالتالي إعادة استخدام بُناها التحتية ومجموعة أدواتها”.
