أصدر فريق الأبحاث والتحليلات العالمي في شركة كاسبرسكي لاب بحثًا موسعًا بشأن Adwind: وسيلة الوصول عن بعد RAT، وهي برمجية خبيثة متعددة المنصات والوظائف تعرف أيضًا بأسماء؛ هي: AlienSpy و Frutas و Unrecom و Sockrat و  JSocket و  jRat والتي يتم توزيعها من خلال منصة واحدة للبرمجية الخبيثة المتاحة كخدمة.

ووفقًا لنتائج الدراسة البحثية التي أجريت خلال الفترة بين عامي 2013 و 2016، جرى استخدام إصدارات مختلفة من برمجية Adwind الخبيثة في هجمات استهدفت نحو 443,000 مستخدمًا من القطاع الخاص وشركات تجارية وغير تجارية حول العالم بما فيها الإمارات العربية المتحدة. ولاتزال المنصة والبرمجية الخبيثة نشطة.

وفي نهاية العام 2015، أصبح باحثو كاسبرسكي لاب مدركين لمخاطر البرمجية الخبيثة غير العادية التي اكتشفت خلال محاولة شن هجوم موجه ضد أحد البنوك في سنغافورة. فقد كان هناك ملف خبيث اسمه JAR مرسل كمرفق عبر رسالة بريد إلكتروني خبيثة لموظف مستهدف في البنك.

ومن ضمن إمكانات البرمجية الخبيثة الواسعة أنها قابلة للتشغيل على منصات متعددة الوظائف، بالإضافة إلى حقيقة أنها لم تكن قد اكتشفت من قبل أي من برامج مكافحة الفيروسات، وهو ما جذب اهتمام الباحثين على الفور نحوها.

وتبين أن الشركة قد تعرضت لهجوم عن طريق برمجية Adwind RAT الخبيثة، وهي وسيلة قرصنة إلكترونية تتيح التسلل من “الباب الخلفي” backdoor متاحة للشراء ومكتوبة كليًا بلغة الـ “جافا“، وهو ما يجعلها برمجية خبيثة متعددة المنصات، وهي قابلة للتشغيل على أنظمة ويندوز، وأو إس إكس، ولينوكس، وأندرويد، مما يتيح قدرات فائقة للتحكم بسطح المكتب عن بعد وجمع وتسريب البيانات.

وفي حال قام المستخدم المستهدف بفتح ملف JAR المرفق تقوم البرمجية الخبيثة بتثبيت نفسها تلقائيًا وتحاول الاتصال بمخدم مركز التحكم والسيطرة.

وأوضحت كاسبرسكي لاب أن قائمة مهام البرمجية الخبيثة تشمل القدرة على تسجيل ضربات المفاتيح، وسرقة كلمات المرور المخزنة مؤقتًا والسطو على البيانات من نماذج الويب، والتقاط صور للشاشة الرئيسية، إضافة إلى القدرة على التقاط صور وتسجيل الفيديو من كاميرا الويب.

كما تشمل قائمة مهام البرمجية الخبيثة تسجيل الصوت من الميكروفون، وتحويل الملفات، وجمع معلومات عامة حول النظام ومعلومات المستخدم، إلى جانب سرقة مفاتيح تشفير العملات الإلكترونية، وإدارة الرسائل النصية القصيرة لنظام التشغيل أندرويد، وسرقة شهادات VPN.

وأشارت الشركة الروسية المتخصصة في أمن المعلومات إلى أنه في حين أن Adwind تُستخدم بالدرجة الأولى من قبل المهاجمين الانتهازيين وتنتشر على نطاق واسع في حملات البريد الإلكتروني المزعج، ظهرت هناك حالات استخدمت فيها لشن هجمات موجهة.

وفي آب/أغسطس الماضي ذُكر اسم Adwind في أخبار تتعلق بحملة تجسس إلكتروني استهدفت وكيل النيابة الأرجنتيني الذي عثر عليه ميتًا في كانون الثاني/يناير من العام 2015.

وذكرت كاسبرسكي لاب أمثلة أخرى عن الهجوم الموجه، مثل الهجوم الذي تعرض له البنك السنغافوري، مضيفةً أنه وبإلقاء نظرة متفحصة على حالات تتعلق باستخدام Adwind RAT تؤكد أن الهجمات الموجهة لم تكن الوحيدة.

وخلال مرحلة قيامهم بإجراء دراستهم البحثية، تمكن باحثو كاسبرسكي لاب من تحليل ما يقرب من 200 مثال عن هجمات التصيد الإلكتروني المنظمة من قبل مجرمين مجهولين لنشر البرمجية الخبيثة Adwind، واستطاعوا تحديد معظم الأهداف في قطاعات مختلفة مثل تلك التي تنشط في مجال التصنيع والتمويل والهندسة والتصميم والبيع بالتجزئة، فضلًا عن القطاع الحكومي والشحن والاتصالات والبرمجيات والتعليم والأغذية والإنتاج والرعاية الصحية والإعلام والطاقة.

واستنادًا إلى معلومات مستقاة من Kaspersky Security Network، تم رصد الأمثلة الـ 200 على هجمات التصيد الإلكتروني في الأشهر الستة خلال شهر آب/أغسطس 2015 وكانون الثاني/يناير 2016، وأظهرت النتائج أن أكثر من 68,000 مستخدم قد تعرضوا لهجمات صادرة عن نماذج برمجية Adwind RAT الخبيثة.