كاسبرسكي تحقق في استهداف مجموعة Tomiris APT للجهات الحكومية في رابطة الدول المستقلة

اطلقت كاسبرسكي تحقيق جديد حول مجموعة للتهديدات المستمرة المتقدمة “توميريس” Tomiris APT التي تركز على جمع المعلومات في آسيا الوسطى. وتستخدم هذا المجموعة اللغة الروسية، وتعتمد على مجموعة واسعة من عمليات زرع البرامج الخبيثة التي تم تطويرها بوتيرة سريعة وفي جميع لغات البرمجة التي قد يصعب إحصاؤها، بهدف إعاقة إي عمليات إسناد محتملة. ولاحظ الباحثون بشكل خاص أن مجموعة “توميريس” تنشر برامج خبيثة كانت مرتبطة سابقاً بمجموعة التهديدات المستمرة المتقدمة “تورلا” سيئة السمعة.

أقرأ أيضا..كاسبرسكي: التأثير البيئي للحماية من أنشطة التعدين الخبيثة يصل إلى 3,000 طن من ثاني أكسيد الكربون سنوياً

العلاقات بين أدوات “توميريس”: تشير الأسهم إلى وجود رابط توزيع (تم توزيع الأصل أو تنزيله أو تضمينه فرعياً)
ومن أهم ما يميز العمليات الأخيرة التي قامت بها مجموعة ” توميريس” الخاصة أنها استفادت من البرامج الخبيثة KopiLuwak و TunnusSched التي كانت متصلة سابقاً بمجموعة “تورلا”. ورغم مشاركة هذه المجموعة من الأدوات، يوضح أحدث بحث أجرته كاسبرسكي أن يحمل ارتباط كل من “تورلا” و “توميريس” بجهتي تمثيل منفصلتين لكن يمكنهما تبادل الطرق والأدوات مع بعضهما.
ومن المؤكد أن مجموعة “توميريس” تتحدث باللغة الروسية، لكن عمليات وممارسات الاستهداف التي تقوم بها تتعارض بشكل كبير مع سلوك “تورلا”. وعلاوة على ذلك، يختلف نهج التدخل العام لمجموعة “توميريس” واهتمامها المحدود بالتسلل مع الطريقة الموثقة التي تعتمدها “تورلا”. ومع ذلك، يعتقد باحثو كاسبرسكي أن مشاركة الأدوات تعد بمثابة دليل محتمل على وجود نوع من التعاون القائم بين هاتين المجموعتين، علماً أنه قد يصعب تقييم مدى هذا التعاون. وفي جميع الأحوال، ونظراً للوقت المحدد الذي بدأت فيه مجموعة ” توميريس” استخدام أدوات KopiLuwak، قد يحتاج الأمر إلى إعادة تقييم عدد من الحملات والأدوات التي يعتقد أنها مرتبطة بمجموعة “تورلا”.
وقال بيير دلشر، كبير الباحثين الأمنيين في فريق البحث والتحليل العالمي لدى كاسبرسكي: “يظهر البحث الذي أجريناه أن استخدام برامج KopiLuwak أو TunnusSched الخبيثة لا يعتبر كافياً حتى الآن لربط الهجمات الإلكترونية بمجموعة تورلا. وبناءً على ما توصلنا إليه، تستفيد مجموعة “توميريس” من هذه الأدوات حالياً، ونعتقد جازمين أنها تختلف عن “تورلا”، مع أن الجهتين الفاعلتين قد تعاونتا معاً في مرحلة ما. ولا يمكننا التوصل إلى نتائج أبعد من ذلك عند إمعان النظر بنماذج الأساليب والبرامج الخبيثة، مع وجود إشارات يُفهم منها أن الجهات الفاعلة في التهديد تخضع لقيود تنظيمية وسياسية. ويوضح هذا التحقيق حدود الإسناد التقني التي لا يمكننا التغلب عليها إلا من خلال مشاركة المعلومات”.

ويمكنك قراءة التقرير الكامل حول مجموعة Tomiris APT على Securelist.
ولتجنب الوقوع ضحية لهجوم مستهدف من قبل أي جهة تهديد معروفة أو غير معروفة، يوصي باحثو كاسبرسكي باتباع الإجراءات التالية:
تزويد فريق مركز عمليات الأمان في الشركة بالوصول إلى أحدث معلومات التهديدات. وتعتبر Kaspersky Threat Intelligence Portal نقطة وصول لهذه المعلومات الخاصة بالشركة، حيث توفر البيانات المتعلقة بالهجمات الإلكترونية والأفكار التي جمعتها كاسبرسكي على مدار 20 عاماً.
صقل مهارات فريق الأمن السيبراني لإكسابهم القدرة على التعامل مع أحدث التهديدات المستهدفة من خلال Kaspersky online training وطوره خبراء فريق البحث والتحليل العالمي التابع لها.
لاكتشاف مستوى نقطة النهاية والتحقيق في الحوادث ومعالجتها في الوقت المناسب، يجب تنفيذ حلول الكشف عن نقاط النهاية والاستجابة (EDR) مثل Kaspersky Endpoint Detection and Response
إضافة إلى اعتماد حماية نقاط النهاية الأساسية، ينصح بتطبيق حل أمان على مستوى الشركات يكون قادراً على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة، مثل Kaspersky Anti Targeted Attack Platform
بما أن العديد من الهجمات المستهدفة تبدأ بالتصيد الاحتيالي أو تقنيات الهندسة الاجتماعية الأخرى، ينصح بتقديم تدريب على الوعي الأمني وعلم المهارات العملية لفريقك، ومن ذلك على سبيل المثال، منصة Kaspersky Automated Security Awareness Platform