Armored Likho يستهدف الحكومات وقطاع الطاقة بسارق البيانات BusySnake

مقدمة

كشف باحثو Kaspersky عن فاعل تهديد لم يكن موثّقاً سابقاً أطلقوا عليه اسم Armored Likho، يقف خلف حملة تجمع بين التجسس السيبراني والاحتيال المالي في آنٍ واحد. المجموعة تستهدف من جهة جهات حكومية وشركات في قطاع الكهرباء عبر روسيا والبرازيل وكازاخستان، ومن جهة أخرى أفراداً عاديين بهدف سرقة بياناتهم المالية. أداتها الأساسية هي BusySnake، وهو “Infostealer” — أي برمجية خبيثة مصممة خصيصاً لسرقة البيانات الحساسة من الجهاز المصاب كأسماء المستخدمين وكلمات المرور والمحافظ الرقمية، دون أن تمنح المهاجم بالضرورة تحكماً كاملاً بالجهاز كما تفعل أحصنة طروادة عن بُعد (RAT). ما يجعل هذه الحملة لافتة هو استهداف قطاع الطاقة تحديداً؛ فاختراق شبكات شركات الكهرباء لا يقتصر أثره على تسريب بيانات، بل قد يفتح باباً لاحقاً للتأثير على تشغيل بنية تحتية حرجة يعتمد عليها ملايين المستخدمين.

خلفية عن الفاعل التهديدي

رصد فريق Securelist التابع لـ Kaspersky نشاط Armored Likho ضمن حملة تصيّد احتيالي (Spear-Phishing) موجّهة بدقة، ولاحظوا أن أدوات المجموعة وأسلوب عملها يتقاطعان تقنياً مع مجموعة أخرى تتعقبها شركة BI.ZONE الروسية تحت اسم Eagle Werewolf، نشطة منذ مايو 2023. الروابط بين المجموعتين ليست مجرد تخمين؛ فالباحثون وجدوا أوجه تشابه مباشرة بين أداة BusySnake وأداة أخرى تُعرف باسم AquilaRAT مرتبطة بـ Eagle Werewolf، من حيث طريقة استقبال الأوامر من خادم التحكم والسيطرة (C2 — الخادم الذي يدير الأجهزة المخترقة عن بعد)، وآلية تثبيت الاستمرارية عبر المهام المجدولة، بل واستخدام نقاط اتصال C2 متشابهة. هذا النوع من التداخل التقني هو ما يبني عليه الباحثون عملية “الإسناد” (Attribution) — أي محاولة ربط نشاط هجومي معين بجهة أو مجموعة محددة استناداً إلى الأدوات والسلوك والبنية التحتية المشتركة، لا إلى دليل قاطع كتوقيع رقمي أو اعتراف. لذلك يصف Kaspersky الرابط بـ Eagle Werewolf بأنه “احتمالي” وليس تأكيداً نهائياً. وتصف الشركة المجموعة بأنها “لا تزال نشطة بقوة”، مع مؤشرات على “نضج تقني متصاعد وتنويع مستمر في الأدوات” وتحوّل نحو أساليب أكثر تعقيداً لتفادي أنظمة الحماية.

ما يميز Armored Likho عن أغلب مجموعات التهديد المستمر المتقدم (APT) هو أنها تُشغّل مسارين متوازيين: تجسساً موجهاً ضد بنية تحتية وطنية حساسة، وفي الوقت نفسه حملات سرقة بيانات مالية تستهدف أفراداً عاديين لتحقيق ربح مباشر — وهو مزيج غير معتاد بين الدافع الاستخباراتي والدافع المالي في مجموعة واحدة.

آلية الهجوم وأداة BusySnake

تبدأ سلسلة الهجوم عادة برسالة تصيّد احتيالي مصممة بعناية حسب طبيعة الضحية: إشعارات حكومية رسمية مزعومة، أو دعوات للتقديم على برامج مساعدات اجتماعية وإنسانية. ترفق هذه الرسائل أرشيف RAR أو ملف تنفيذي مبني بأداة NSIS (أداة شرعية تُستخدم عادة لإنشاء برامج تثبيت Windows، لكنها هنا مستغَلة لتغليف الحمولة الخبيثة)، أو أحياناً اختصار LNK خبيث. عند فتح الملف، تظهر للضحية وثيقة أو نافذة “خِداعية” (Decoy) تبدو طبيعية لصرف الانتباه، بينما تُثبَّت البرمجية الخبيثة في الخلفية وتُنزّل حمولات إضافية — من ضمنها سارق البيانات نفسه — من مستودعات مستضافة على GitHub، مع تدوير مسارات هذه المستودعات بشكل متكرر لتفادي الحجب.

نقطة لافتة في هذه الحملة هي أن الباحثين يعتقدون أن الطبقة الأولى من الشيفرة الخبيثة — أدوات التحميل والتنزيل (Loaders/Stagers) — تم توليدها باستخدام نماذج ذكاء اصطناعي توليدي، استناداً إلى وجود أنماط شيفرة متكررة وأسلوب برمجي يشابه ما تنتجه هذه النماذج. هذا يسمح للمهاجمين بتدوير أساليب التمويه وتغيير شكل الحمولات بسرعة أكبر مما يصعّب على أدوات الحماية التقليدية التعرف عليها.

أما BusySnake نفسه فهو سارق بيانات مكتوب بالكامل بلغة Python يستهدف أنظمة Windows، ومحمي بأداة تشفير شيفرة تجارية تُدعى PyArmor Pro، حيث يُفكّ تشفير الشيفرة فقط لحظة تنفيذها ثم يُعاد تشفيرها بعد الاستخدام لإعاقة عملية التحليل والفحص. يعمل البرنامج كملف بامتداد ‎.pyw حتى لا تظهر نافذة طرفية (Console) تلفت انتباه الضحية. من قدراته الموثقة:

• سرقة كلمات المرور المحفوظة من متصفحات قائمة على Chromium وفايرفوكس.
• استخراج ملفات تعريف الارتباط (Cookies) وجلسات الدخول، بما يشمل رموز التحقق بخطوتين (OTP) المخزّنة.
• فهرسة ملفات المستخدم بشكل متكرر داخل قاعدة بيانات محلية من نوع SQLite، مع البحث تحديداً عن سلاسل نصية سداسية عشرية (Hex) بطول 64 حرفاً — وهو الطول النمطي للمفاتيح الخاصة لمحافظ العملات الرقمية.
• التقاط لقطات شاشة وأرشفتها.
• استخراج بيانات جلسات تطبيق Telegram.
• تصفية الملفات المسروقة حسب الحجم والمسار قبل إرسالها، لتقليل الحجم وتجنّب لفت الانتباه.
• الاتصال الدوري بخادم C2 لاستقبال أوامر إضافية، وتُنفَّذ العملية عبر مهمة مجدولة كل خمس دقائق تقريباً لضمان استمرارية التشغيل.

في نسخة أحدث من الأداة، لاحظ الباحثون أن المهاجمين تجنبوا استدعاء أداة schtasks المعروفة والمراقَبة بكثرة من أدوات الحماية، واستبدلوها بمكتبة win32com.client للتفاعل مباشرة مع كائن COM الخاص بخدمة جدولة المهام (Schedule.Service) — وهو تحوّل واضح نحو أسلوب تنفيذ أقل وضوحاً وأصعب اكتشافاً.

إلى جانب BusySnake، توثق تقارير الحملة استخدام Armored Likho لأدوات إضافية بعد الاختراق، أبرزها Go2Tunnel لإنشاء نفق SSH عكسي (Reverse SSH) يمنح المهاجم قناة اتصال خارجة من الشبكة المصابة يصعب رصدها بجدران الحماية التقليدية، إضافة إلى أداة التحكم عن بعد المشروعة RustDesk المستغَلة لأغراض خبيثة لإدارة الجهاز المخترق مباشرة.

التأثير والأهداف

الخطورة هنا لا تنبع فقط من نوع البيانات المسروقة، بل من طبيعة الجهات المستهدفة. الجهات الحكومية وشركات الكهرباء تُصنَّف ضمن ما يُعرف بـ"البنية التحتية الحرجة" (Critical Infrastructure) — أي المنشآت والخدمات التي يعتمد عليها المجتمع بشكل مباشر في حياته اليومية، بحيث لا يقتصر أثر اختراقها على تسريب معلومات، بل قد يمتد إلى تعطيل خدمات أساسية أو التمهيد لهجمات أكثر تدميراً لاحقاً. سرقة كلمات المرور وملفات تعريف الارتباط وجلسات الدخول من موظفين في هذه الجهات تمنح المهاجم موطئ قدم يمكن استغلاله للتنقل داخل الشبكة (Lateral Movement) أو الوصول إلى أنظمة أكثر حساسية.

في الوقت نفسه، لا تهمل المجموعة المسار المالي: الأفراد العاديون المستهدفون بالحملة معرّضون لسرقة مباشرة لمحافظ العملات الرقمية وحسابات مصرفية عبر بيانات المتصفح المسروقة، وهو ما يجعل نطاق الضرر يمتد من مستوى الدولة إلى مستوى المستخدم الفردي.

التوصيات الدفاعية

• تشديد الحماية على بوابات البريد الإلكتروني وتفعيل فحص المرفقات المضغوطة (RAR) والملفات التنفيذية والاختصارات (LNK) قبل وصولها للمستخدم، فهذه هي نقطة الدخول الأساسية لكل الحملة.
• تقييد فتح ملفات LNK والأرشيفات القادمة من مصادر خارجية غير موثوقة، وتوعية الموظفين — خصوصاً في الجهات الحكومية وشركات الطاقة — بعدم فتح مرفقات إشعارات رسمية أو برامج مساعدات لم يتم التحقق من مصدرها.
• مراقبة إنشاء المهام المجدولة عبر واجهات COM (مثل win32com.client وSchedule.Service) وليس فقط عبر تنفيذ schtasks.exe، لأن المهاجمين يتعمدون تجاوز الأدوات الشائعة المراقَبة.
• رصد بيئات تشغيل Python غير المعتادة على أجهزة المستخدمين النهائيين، والتحقق من أي ملفات ‎.pyw أو مؤشرات على استخدام أدوات تشفير شيفرة مثل PyArmor.
• مراقبة الاتصالات الخارجة نحو GitHub بأنماط غير معتادة (تنزيل ملفات تنفيذية من مستودعات جديدة أو مسارات متغيرة باستمرار)، إذ تُستخدم هذه المنصة كقناة استضافة للحمولات.
• رصد أنفاق SSH العكسية وأدوات التحكم عن بعد غير المصرح بها كـ Go2Tunnel وRustDesk، والتأكد من أن أي استخدام لأدوات وصول عن بعد يمر عبر قنوات معتمدة ومراقَبة داخلياً.
• تفعيل المصادقة متعددة العوامل مع تقليل عمر الجلسات حيث أمكن، لأن سرقة ملفات تعريف الارتباط ورموز OTP قد تسمح بتجاوز طبقة المصادقة التقليدية عبر اختطاف الجلسة نفسها.
• الفصل المنطقي بين شبكات تقنية المعلومات (IT) والشبكات التشغيلية (OT) في منشآت قطاع الكهرباء، بحيث لا يؤدي اختراق جهاز مكتبي عادي إلى إتاحة الوصول لأنظمة التحكم الصناعي.

المصدر

المقال الأصلي: Armored Likho Targets Government Agencies, Power Sector with BusySnake Stealer