تطور فيروس " إنفي " ويهاجم الحواسيب مجددا

رصدت شركة بالو ألتو نتوركس، في فبراير من العام 2017 مراحل تطور برمجية خبيثة تدعى إنفي “ Infy ” ، والتي كان يطلق عليها سابقًا اسم فودر Foudre (التي تعنى البرق باللغة الفرنسية)، ويبدو أن الجهات المهاجمة استفادت وتعلمت من الإجراءات التي طبقتها شركة بالو ألتو نتوركس سابقًا من أجل تفكيك وإعادة توجيه بنيتهم التحتية الخاصة بالأوامر والتحكم. ,تضمنت برمجية فودر الأخيرة تقنيات جديدة قادرة على تفادي عمليات الاستحواذ والسيطرة عليها؛ بهدف تجنب محاولات إعادة توجيه سلسلة الأوامر والتحكم الخاصة بها، الأمر الذي نجحت بالو ألتو نتوركس بتحقيقه في العام 2016. وقامت الشركة في شهر مايو 2016 بتوثيق ونشر نتائج أبحاثها الأصلية حول الحملات التي استخدمت فيها برمجية إنفي الخبيثة على مدى عقد من الزمن، وبعد مرور شهر من نشر هذه النتائج، قدمت بالو ألتو نتوركس شرحًا تفصيليًّا حول كيفية تمكنها من الاستحواذ على حركة سيرفرات الأوامر والتحكم التابعة للجهات المهاجمة وإعادة توجيهها. وقدم كل من كلاوديو جوارنييري وكولين أندرسون، من مؤسسة بلاك هات يو إس، أدلة وبراهين في شهر يوليو من العام 2016 على قيام شركة الاتصالات الإيرانية (AS12880) بحجب نطاقات الأوامر والتحكم الفرعية، التي تعمل على إعادة توجيه البيانات، وذلك بواسطة التلاعب بسيرفرات أسماء النطاقات DNS، وترشيح بروتوكول نقل النص التشعبي HTTP، الأمر الذي أدى إلى منع أوامر إعادة التوجيه من الوصول إلى النطاق المحلي لإيران. وتشير توقعات بالو ألتو نتوركس إلى أن أحد نطاقات خوارزميات توليد النطاق DGA قام بتسمية وتسجيل النطاقات قبل القيام بالهجمة، وعندما حاولت الجهات المستهدفة الاتصال بسيرفرات الأوامر والتحكم الخاصة بذلك النطاق، لم تتمكن من التعرف على نطاق بالو ألتو نتوركس؛ لأنها لا تملك المفتاح المخصص لنظام عمليات التشفير الرئيسية العامة، ومع ذلك تمكنت بالو ألتو نتوركس من رسم خريطة خاصة بالجهات المستهدفة باستخدام نظام المعلومات الجغرافية لعناوين بروتوكولات الإنترنت GeoIP. واستهدفت هذه الهجمات مؤسسات في الولايات المتحدة وبريطانيا والعراق وإيران والسويد وألمانيا وكندا وأذربيجان والسيشل، وأشارت بالو ألتو نتوركس إلى أن العدد القليل جدًّا من الجهات المستهدفة في هذه الحملة يشير إلى وجود دوافع غير مادية، فمثلًا إحدى الجهات العراقية المستهدفة تستخدم بروتوكول الإنترنت من ذات الفئة C في الشبكة، التي تمت مهاجمتها سابقًا من قبل برمجية إنفي الخبيثة، مما يشير إلى أن الجهة المهاجمة تستهدف نفس المؤسسة المحددة أو حتى نفس الكمبيوتر.