أداة شائعة على Windows أصبحت في قلب تحذير جديد يتعلق بسلسلة التوريد
تقول Kaspersky إنها حددت بابًا خلفيًا خبيثًا داخل Daemon Tools، وهو تطبيق طويل الأمد لإنشاء صور الأقراص على Windows، في ما تصفه الشركة بأنه هجوم واسع النطاق ولا يزال نشطًا. وبالاستناد إلى بيانات جُمعت من أجهزة تعمل ببرنامج Kaspersky المضاد للفيروسات، قالت الشركة إن الحملة أسفرت عن آلاف محاولات الإصابة وأدت إلى نشر برمجيات خبيثة إضافية على ما لا يقل عن اثني عشر نظامًا مخترقًا.
وتنسجم هذه الحالة مع نمط يثير قلق فرق الأمن بشكل متزايد: قيام المهاجمين باختراق قنوات توزيع البرمجيات الموثوقة للوصول إلى عدد كبير من المستخدمين النهائيين دفعة واحدة. وبدلًا من اختراق كل هدف على حدة، يمكن لعملية سلسلة التوريد أن تحول تثبيتًا أو تحديثًا عاديًا للبرمجيات إلى نقطة الوصول الأولية.
ما الذي تقول Kaspersky إنها وجدته
وفقًا لـ Kaspersky، جرى اكتشاف الباب الخلفي للمرة الأولى في 8 أبريل. وربطت الشركة العملية بمجموعة تتحدث الصينية استنادًا إلى تحليلها للبرمجيات الخبيثة. وقالت إن الشيفرة الخبيثة داخل Daemon Tools استُخدمت بعد ذلك لتثبيت برمجيات خبيثة إضافية على أجهزة ضحايا مختارة.
وصفت Kaspersky النشاط الأوسع بأنه واسع الانتشار، لكنها قالت أيضًا إن الاختراقات اللاحقة تبدو موجهة. وتشمل المنظمات المتضررة التي جرى تحديدها ضمن تلك المجموعة الأضيق قطاعات التجزئة والعلوم والتصنيع، إضافة إلى أنظمة حكومية. وقالت الشركة إن هذه المنظمات المستهدفة تقع في روسيا وبيلاروس وتايلاند.
وهذا التمييز مهم. فقد يغطي اختراق سلسلة التوريد نطاقًا واسعًا جدًا، لكن القائمين عليه لا يسعون دائمًا إلى كل جهاز مصاب بالتساوي. وفي هذه الحالة، يبدو من وصف Kaspersky أن التعرض الواسع عبر أداة شائعة ربما استُخدم لتحديد أو الوصول إلى مجموعة أصغر من الأهداف الأعلى قيمة.
لماذا تظل هجمات سلسلة التوريد صعبة الاحتواء
تُعد حوادث سلسلة التوريد مدمرة على نحو خاص لأنها تستغل الثقة. وغالبًا ما يفترض المستخدمون أن البرمجيات التي يحصلون عليها من موقع البائع الرسمي آمنة. كما قد يدرج المسؤولون الأدوات المعروفة في قوائم السماح أو يتعاملون مع برامج التثبيت الخاصة بها كأمر روتيني. وبمجرد إدخال شيفرة خبيثة في هذا المسار، يضطر المدافعون إلى إعادة تقييم ليس جهازًا واحدًا فقط، بل سلامة قناة التوزيع بأكملها.
وقالت Kaspersky إن الهجوم لا يزال نشطًا، ما يرفع المخاطر على أي شخص ربما قام مؤخرًا بتنزيل أو تثبيت إصدار Windows من Daemon Tools. وأفادت TechCrunch بأنها نزّلت برنامج التثبيت الخاص بـ Windows من موقع Daemon Tools ووجدت أن الملف يبدو أنه يحتوي على الباب الخلفي عند فحصه عبر VirusTotal. ولا يزال من غير الواضح ما إذا كان إصدار macOS قد تأثر أو ما إذا كانت تطبيقات Disc Soft الأخرى قد تعرضت للاختراق.
رد الشركة والأسئلة المفتوحة
قالت Kaspersky إنها تواصلت مع Disc Soft، الشركة المطورة لـ Daemon Tools، لكنها لم تذكر ما إذا كان المطور قد رد في البداية أو اتخذ إجراءً. ونقلت TechCrunch عن ممثل للشركة أن Disc Soft على علم بالتقرير وتقوم بالتحقيق فيه. وقال الممثل إن الشركة تتعامل مع الأمر كأولوية عالية، لكنها ليست في وضع يسمح لها بعد بتأكيد التفاصيل المحددة الواردة في التقرير.
ويترك ذلك عدة أسئلة مهمة بلا إجابة: كيف أُدخلت الشيفرة الخبيثة، وكم استمر توفر برامج التثبيت المخترقة، وما إذا كانت أي أنظمة توقيع أو بناء قد تأثرت، وما إذا كان المستخدمون خارج البلدان المستهدفة المحددة قد تعرضوا أيضًا. وستحدد هذه الإجابات نطاق الحادث والخطوات التصحيحية التي تحتاجها المؤسسات.
جزء من اتجاه أوسع
يأتي هذا التحذير وسط سلسلة من الهجمات الأخيرة التي استهدفت المطورين أو البنية التحتية لتوزيع البرمجيات لتمرير الشيفرة الخبيثة إلى المستخدمين النهائيين. وقد وصفت Kaspersky حالة Daemon Tools بأنها الأحدث في سلسلة من حوادث سلسلة التوريد التي أثرت على برمجيات شائعة. وجاذبية هذا الأسلوب للمهاجمين واضحة: فاختراق مسار برمجي موثوق يمكن أن يوفر النطاق والثبات وغطاءً مقنعًا في خطوة واحدة.
وبالنسبة للمدافعين، فإن الدرس مألوف أيضًا. فالمكانة أو السمعة وحدهما ليستا تحكمًا أمنيًا كافيًا، كما أن التحقق من مصدر البرمجيات يجب أن يتجاوز مجرد التعرف على العلامة التجارية. وقد تحتاج المؤسسات التي تسمح باستخدام الأدوات واسعة الانتشار على الأجهزة الطرفية الآن إلى التحقق من التثبيتات الحديثة لـ Daemon Tools، والبحث عن نشاط برمجيات خبيثة لاحق، ومتابعة أي إرشادات إضافية من كل من Kaspersky وDisc Soft.
وإلى أن تتضح مجريات التحقيق، يبقى حادث Daemon Tools تذكيرًا آخر بأن برنامج تثبيت واحدًا مخترقًا يمكن أن يصبح نقطة الدخول إلى حملة أكبر بكثير.
يعتمد هذا المقال على تقرير من TechCrunch. اقرأ المقال الأصلي.
Originally published on techcrunch.com