مايكروسوفت تحذر من برمجية خبيثة تجمع بين التجسس وتدمير البيانات مرتبطة بإيران

مايكروسوفت تكشف عن تهديد سيبراني جديد يمزج بين المراقبة الصامتة والمحو النهائي

كشفت شركة مايكروسوفت عن برمجية خبيثة جديدة تحمل اسم GigaWiper، وصفتها بأنها أداة هجينة تجمع بين وظيفتين خطيرتين: التجسس على الأجهزة المصابة من جهة، وتدمير بياناتها بشكل كامل من جهة أخرى. وقد رصدت وحدة استخبارات التهديدات التابعة للشركة نشاط هذه البرمجية منذ أكتوبر عام ۲٠۲٥، في حين كشفت شركة Binary Defense في مارس ۲٠۲٦عن برمجية أخرى من الفئة ذاتها أطلقت عليها اسم BLUERABBIT.

يشير خبراء أمن المعلومات إلى أن هذه الأداة ذات طبيعة معيارية، أي أنها مبنية من وحدات منفصلة، ما يمنحها القدرة على التخفي داخل الشبكات لفترات طويلة، وجمع معلومات حساسة، قبل تنفيذ عملية مسح شاملة للبيانات فور تلقيها الأوامر اللازمة.

آلية العمل: مراقبة صامتة ثم تدمير فوري

تتبع GigaWiper نهجًا من مرحلتين متتاليتين. تبدأ المرحلة الأولى بمراقبة الجهاز المستهدف لعدة أيام، لجمع المعلومات ورصد النشاط دون إثارة أي شبهات. أما المرحلة الثانية فتتمثل في تدمير القرص الصلب بالكامل بمجرد تلقي أمر من القراصنة المشغلين لها.

ما يميز هذه البرمجية عن نظيراتها التقليدية أنها لا تسعى إلى سرقة كلمات المرور أو ابتزاز الضحية عبر طلب فدية، بل تحاكي هذه السلوكيات المألوفة كغطاء مؤقت، قبل أن تنتقل إلى محو البيانات نهائيًا.

التخفي داخل الأنظمة: من "OneDrive Update" إلى قنوات اتصال مشروعة

تعمل GigaWiper كباب خلفي (backdoor) وأداة مراقبة تتلقى تعليماتها من خادم قيادة وتحكم. ولضمان بقائها متخفية، تختبئ داخل "مجدول مهام ويندوز" تحت اسم "OneDrive Update"، وهي تسمية توحي بمهمة روتينية اعتيادية لا تلفت الانتباه.

كما تعتمد البرمجية في تواصلها مع خوادم التحكم على وسيط رسائل مفتوحَ المصدر RabbitMQ وRedis، وهما أداتان مشروعتان تستخدمهما شركات عديدة داخل شبكاتها، ما يسمح للاتصالات الخبيثة بالاندماج ضمن حركة المرور الاعتيادية دون أن تثير الريبة.

قدرات واسعة للتحكم عن بعد وجمع المعلومات

تمنح GigaWiper القراصنة إمكانية تنفيذ مجموعة من المهام عن بعد، أبرزها:

• التقاط لقطات شاشة وتسجيل فيديو لأنشطة المستخدم وسطح المكتب.
• بث مباشر لشاشة الضحية عبر بروتوكول TCP، مع إمكانية التحكم عن بعد بلوحة المفاتيح والفأرة.
• جمع معلومات شاملة عن النظام، تشمل البرامج المثبتة، والعمليات قيد التشغيل، وسجلات أحداث ويندوز، وسجل النظام Registry.
• تعديل قواعد جدار حماية ويندوز لإخفاء حركة مرور الشبكة عبر استثناءات مخصصة.

ثلاث طرق لتعطيل الجهاز نهائيًا

تعتمد GigaWiper على ثلاثة أساليب مختلفة لجعل الجهاز المصاب غير قابل للاستخدام:

• الأسلوب الأول، كتابة فوقية (overwrite) منخفضة المستوى على القرص الفعلي بالكامل، متجاوزة الملفات الفردية أو أقسام القرص، ما يعطل النظام تمامًا بعد إعادة تشغيله.
• الأسلوب الثاني، مسح متعدد المراحل (multi-pass wipe) لمحرك أقراص نظام ويندوز، ما يزيد صعوبة استعادة البيانات حتى مع استخدام أدوات متخصصة.
• الأسلوب الثالث، محاكاة هجوم برامج فدية ransomware عبر تشفير الملفات وإضافة امتداد Candy.، إلا أن مفتاح فك التشفير يُنشأ عشوائيًا ولا يُحفظ في أي مكان، ما يجعل استعادة الملفات مستحيلة. ووفقًا لخبراء الأمن، فإن الدفع أو التفاوض في هذه الحالة لا يحقق أي جدوى، لأن البيانات تكون قد فُقدت بالفعل.

مكونات معاد استخدامها وروابط بجهات إيرانية

أوضحت تقارير Binary Defense أن GigaWiper تدمج داخل باب خلفي مطور بلغة Go مكونات من برمجية الفدية Crucio، وبرمجية المسح FlockWiper. ويهدف هذا الأسلوب إلى إعادة توظيف مكونات أثبتت فعاليتها سابقًا بدلًا من تطوير كود جديد بالكامل، ما يقلل الجهد التطويري ويحد من البصمة البرمجية، مع توفير أداة واحدة تجمع وظائف كانت تتطلب سابقًا عدة أدوات منفصلة.

ربطت Binary Defense، نقلًا عن مجموعة استخبارات التهديدات التابعة لشركة غوغل، هذه البرمجية بجهات تهديد إيرانية محتملة، سبق أن ارتبطت بعمليات أخرى مثل BLUEWIPE وSEWERGOO.

توصيات مايكروسوفت للحد من المخاطر

أوصت مايكروسوفت باتخاذ عدد من الإجراءات الوقائية للحد من مخاطر الإصابة ببرمجية GigaWiper، أبرزها:

• تفعيل ميزة "الحماية من التلاعب" (tamper protection) في برنامج مايكروسوفت Defender.
• استخدام ميزة الكشف السحابي في Defender لتحديد التهديدات الناشئة قبل تحديث التوقيعات المحلية.

يُبرز اكتشاف GigaWiper حجم المخاطر التي تفرضها الأدوات الهجينة القادرة على الجمع بين المراقبة الدقيقة وجمع البيانات، ثم تحويل الجهاز الملوث إلى نظام غير قابل للاستخدام بمجرد تلقي الأوامر. ومع تصاعد هذا النوع من التهديدات، تبقى الوقاية خير من العلاج، إذ يتوجب على المؤسسات تعزيز إجراءاتها الدفاعية، مع التركيز بشكل خاص على مراقبة الأنشطة المشبوهة في محطات العمل والخوادم.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي