عصابة تزرع برامج تجسس في أجهزة الصراف الآلي في الإمارات

تسخّر عصابة Skimer الناطقة باللغة الروسية أجهزة الصراف الآلي لمساعدتها في السطو على أموال المستخدمين، يعود تاريخ اكتشاف العصابة المذكورة إلى العام 2009، حيث كانت أول برمجية خبيثة تستهدف أجهزة الصراف الآلي.

وبعد مضي سبع سنوات، أقدم مجرمو الإنترنت على إعادة استخدام هذه البرمجية، ولكن بعد أن طرأ تطور كبير على أسلوبهم وطريقة إعداد البرمجية ذاتها. ففي هذه المرة استخدم القراصنة تكتيكات هجومية أكثر تطوراً لاستهداف البنوك وعملائها حول العالم.

أثناء التحقيق في إحدى تمرينات الاستجابة للحوادث الأمنية، تمكن فريق خبراء كاسبرسكي لاب من فك لغز المؤامرة الإجرامية واكتشفوا آثار الإصدار مطور من برمجية Skimer الخبيثة على واحد من أجهزة الصراف الآلي التابعة لأحد البنوك. فقد كانت البرمجية مدسوسة هناك دون أن يتم تفعيلها إلى أن تتلقى تعليمات مرسلة إليها عن طريق مجرمي الإنترنت، وهي طريقة ذكية لإخفاء آثارهم.

تبدأ عصابة Skimer بشن هجومها بعد أن تتمكن من الدخول إلى نظام الصراف الآلي - إما عن طريق الدخول الفعلي أو من خلال الشبكة الداخلية للبنوك. بعد ذلك، وبمجرد أن تقوم العصابة بتثبيت برمجية Backdoor.Win32.Skimer الخبيثة في النظام، تقوم بنقل العدوى إلى قلب جهاز الصراف الآلي - وهو القسم التشغيلي المسؤول عن تفاعل الجهاز مع البنية التحتية المصرفية وإنجاز معاملات صرف الأموال النقدية وبطاقات الائتمان.

ومن ثم، يمتلك المجرمون زمام التحكم الكلي بأجهزة الصراف الآلي المصابة، إلا أنهم يتخذون كل خطوة بحذر شديد ويتصرفون بمهارة فائقة. وبدلا من زرع أجهزة التجسس Skimmer (وهو جهاز احتيالي شبيه جداً بجهاز قارئ معلومات البطاقة النظامي) لسرقة بيانات البطاقة، يقوم أفراد العصابة بتحويل أجهزة الصراف الآلي برمّتها إلى منصة تجسس. وبعد أن يتم تلغيم أجهزة الصراف الآلي ببرمجية Backdoor.Win32.Skimer ، يصبح بإمكان المجرمين سحب كل الأموال المتوفرة في أجهزة الصراف الآلي أو الاستيلاء على بيانات البطاقات المستخدمة في أجهزة الصراف الآلي: بما في ذلك رقم الحساب المصرفي للعميل والرقم السري. ليس هناك طريقة محددة تساعد عامة الناس في التعرف على أجهزة الصراف الآلي المصابة، كما لا يتوفر لديهم أي مؤشرات مادية تدل على إصابة الأجهزة بالبرمجية الخبيثة، بخلاف الحالات ذات الصلة بأجهزة التجسس skimmer حين يكون بإمكان المستخدم الواعي إدراك ما إذا كان هذا الجهاز هو قارئ فعلي لمعلومات البطاقة أو غير ذلك.

البرمجية الخبيثة الخاملة

سيتم الكشف عن أي عملية سحب أموال مباشرة من كاسيتات النقود بعد السحب الأول، وفي هذه الأثناء تقوم البرمجية الخبيثة داخل أجهزة الصراف الآلي بالتجسس على بيانات البطاقات لفترة طويلة جدا دون لفت الأنظار. ولهذا، لا يباشر افراد عصابةSkimer هجومهم على الفور، بل على العكس، نراهم يتوخون الحذر من حيث إخفاء الآثار الدالة عليهم: فمن الملاحظ أن البرمجية الخبيثة الخاصة بالعصابة قد تبقى خاملة في أي جهاز صراف آلي مصاب لعدة أشهر من دون القيام بأي نشاط.

ولتفعيل هذه البرمجية، يقوم المجرمون بإدخال بطاقة خاصة تخزن سجلات معينة على الشريط المغناطيسي. وبعد قراءة السجلات، فإن برمجية Skimer إما أن تقوم بتنفيذ الأمر المشفر أو أن تطلب أوامر عن طريق قائمة خاصة يتم تفعيلها من خلال البطاقة. ولا يظهر سطح المكتب الجرافيكي لبرمجية Skimer الخبيثة على الشاشة إلا بعد أن يتم إخراج البطاقة، وفقط في حال قيام المجرم بإدخال رمز فترة الاستخدام من لوحة الأرقام في صيغة خاصة في أقل من 60 ثانية.

وبالاستعانة بهذه القائمة، يتمكن المجرمون من تفعيل 21 أمراً مختلفاً، مثل سحب الأموال (40 ورقة من كاسيت معين)، وجمع بيانات عن البطاقات التي يتم إدخالها في الجهاز والقيام بالحذف الذاتي والتحديث (المستلم من رمز البرمجية الخبيثة المحدث المخزن على رقاقة البطاقة)، وما إلى هنالك. بالإضافة لذلك، عندما تجمع برمجيةSkimer معلومات عن البطاقة، فقد تقوم بتخزين الملف تحت اسم مزيف وكلمات مرور وهمية مخزنة على رقاقة البطاقة ذاتها، أو يمكنها طباعة تفاصيل البطاقة التي جمعتها على إيصالات أجهزة الصراف الآلي.

في معظم الحالات، يختار المجرمون التريّث والانتظار وجمع بيانات البطاقات المخترقة لإنشاء نسخ من هذه البطاقات في وقت لاحق. وبالاستعانة بهذه النسخ، ينتقل المجرمون إلى أجهزة الصراف الآلي غير المصابة ويسحبون الأموال من حسابات العملاء. وبهذه الطريقة، يضمن المجرمون إمكانية عدم اكتشاف أجهزة الصراف الآلي المصابة في أي وقت قريب.

لصوص مخضرمون

شهدت برمجية Skimer الخبيثة انتشاراً واسع النطاق بين عامي 2010 و 2013. وأدى ظهورها إلى زيادة هائلة في عدد الهجمات الموجهة ضد أجهزة الصراف الآلي، حيث تمكن خبراء كاسبرسكي لاب من تحديد ما يصل إلى تسع عائلات من تلك البرمجية الخبيثة. وهذا يشمل عائلة Tyupkin المكتشفة في مارس 2014، والتي أصبحت أكثر شهرة وانتشارا. ومع ذلك، يبدو وكأنه قد أعيد تفعيل برمجية Backdoor.Win32.Skimer مجدداً اليوم. واستطاع خبراء كاسبرسكي لاب حتى الآن تحديد 49 تعديلاً على هذه البرمجية الخبيثة، منها 37 تعديلاً يستهدف أجهزة الصراف الآلي لمصنّع رئيسي واحد فقط. تم اكتشاف أحدث إصدار في بداية مايو 2016.

وبالاستعانة ببعض العينات التي يتم تقديمها كطعم أو فخ إلى VirusTotal، يمكننا التعرف على التوزع الجغرافي الواسع النطاق لأجهزة الصراف الآلي المحتمل تعرضها للإصابة. تم تحميل أحدث 20 عينة من عائلة Skimer من أكثر من 10 مواقع حول العالم: بما فيها دولة الإمارات العربية المتحدة وفرنسا والولايات المتحدة الأمريكية وروسيا وماكاو والصين والفلبين واسبانيا وألمانيا وجورجيا وبولندا والبرازيل وجمهورية التشيك.

الإجراءات التقنية المضادة

للتصدي لهذه البرمجية الخبيثة، توصي شركة كاسبرسكي لاب بإجراء مسح للكشف عن الفيروسات (AV scans) بشكل منتظم، بالإضافة إلى استخدام تكنولوجيات (Whitelisting) وتطبيق سياسة الإدارة الجيدة للجهاز وتشفير القرص الصلب بالكامل وحماية BIOS في جهاز الصراف الآلي بوضع كلمة مرور لها والسماح بإقلاع الجهاز فقط عن طريق HDD وعزل شبكة أجهزة الصراف الآلي عن أي شبكة داخلية في البنك.

وقال سيرغي غولوفانوف، الباحث الأمني ​​الرئيسي في كاسبرسكي لاب، "هناك إجراء مضاد إضافي واحد مهم مطبق في هذه الحالة بالذات. تتحقق برمجية Backdoor.Win32.Skimer الخبيثة من المعلومات (تسعة أرقام محددة) الضمنية المخزنة على الشريط المغناطيسي للبطاقة من أجل تحديد ما إذا كان ينبغي تفعيلها. وقد تمكنا من اكتشاف الأرقام الضمنية المستخدمة في البرمجيات الخبيثة، ونقوم بإطلاع البنوك عليها بكل حرية. بعد أن تحصل البنوك على تلك الأرقام، تجري بحثاً استباقياً عنها داخل أنظمة المعالجة، وتقوم بتتبع أجهزة الصراف الآلي التي من المحتمل تعرضها للإصابة أو سماسرة الأموال أو تمنع أي محاولات يقوم بها المهاجمون لتفعيل البرمجية الخبيثة."