مجموعة القرصنة Webworm تخفي أدوات تجسس داخل خدمات سحابية موثوقة

GraphWorm

• باب خلفي يتواصل عبر Microsoft Graph API.
• تسمح هذه الواجهة البرمجية بالتفاعل مع خدمات Microsoft 365 بشكل برمجي، ما يجعل حركة المهاجمين تبدو مثل حركة العمل الطبيعية داخل الشبكات المؤسسية.

وخلال التحقيق، تمكن الباحثون من فك تشفير أكثر من 400 رسالة Discord مرتبطة بالعملية، ما أتاح رؤية واضحة لكيفية إدارة الأجهزة المصابة والتحكم في البيانات المسروقة.

استغلال الخدمات السحابية الشرعية

إحدى أبرز استراتيجيات Webworm هي استخدام منصات سحابية معروفة وموثوقة لإخفاء النشاط الخبيث. ووفقاً لـESET، استغلت المجموعة عدة خدمات شائعة، منها:

• Discord لإرسال الأوامر ونقل الملفات عبر EchoCreep.
• Microsoft Graph API للتواصل مع البنية التحتية للمهاجمين داخل بيئات Microsoft 365 عبر GraphWorm.
• Microsoft OneDrive لتخزين البيانات المسروقة أو نقل ملفات العمليات.
• GitHub كجزء من البنية التحتية لدعم البرمجيات الخبيثة أو التواصل بين المهاجمين.

استخدام هذه الخدمات يمنح المهاجمين ميزة كبيرة: فحركة البيانات تبدو كأنها نشاط طبيعي على الشبكة. وغالباً ما تتردد المؤسسات في حظر خدمات أساسية مثل Microsoft 365 أو منصات التواصل مثل Discord، ما يوفر للمهاجمين قناة اتصال خفية ومستقرة.

حكومات أوروبية ضمن الأهداف

تشير تحقيقات ESET إلى أن Webworm وسّعت نطاق عملياتها مؤخراً لتشمل مؤسسات حكومية في أوروبا.

الدول التي رُصدت فيها عمليات الاستهداف تشمل:

• بلجيكا
• إيطاليا
• بولندا
• صربيا
• إسبانيا

كما رصد الباحثون نشاطاً يستهدف جامعة في جنوب أفريقيا، ما يشير إلى أن الحملة ليست محصورة في أوروبا فقط.

ولأسباب أمنية، لم تكشف التقارير العامة عن أسماء الوزارات أو الوكالات الحكومية المحددة التي تعرضت للهجوم.

التحول بعيداً عن البرمجيات القديمة

تنشط مجموعة Webworm منذ عام 2022 على الأقل، وكانت تعتمد سابقاً على أدوات اختراق تقليدية مثل Trochilus RAT و9002 RAT (المعروف أيضاً باسم McRat) للوصول إلى الأنظمة المخترقة.

لكن الباحثين لاحظوا تحولاً واضحاً في أسلوب المجموعة. فبدلاً من استخدام برمجيات RAT الكبيرة والغنية بالوظائف، أصبحت تعتمد بشكل أكبر على:

• أدوات بروكسي مخصصة
• تقنيات الأنفاق الشبكية (tunneling)
• أبواب خلفية خفيفة تعتمد على خدمات سحابية

هذا التغيير يمنح المهاجمين عدة مزايا:

• تقليل حجم البرمجيات الخبيثة على الجهاز المخترق
• جعل حركة الشبكة تبدو طبيعية
• تقليل المؤشرات التي يمكن لبرامج الحماية اكتشافها

لماذا يصعب اكتشاف هذه الهجمات؟

تعكس حملة Webworm اتجاهاً متزايداً في عالم التجسس الإلكتروني: إخفاء النشاط الخبيث داخل خدمات موثوقة.

فعندما يستخدم المهاجمون منصات شائعة مثل Discord أو OneDrive أو واجهات Microsoft البرمجية، يصبح من الصعب على أنظمة الأمن التمييز بين الاستخدام الطبيعي والنشاط الخبيث. كما أن حظر هذه الخدمات بالكامل قد يوقف العمل الطبيعي داخل المؤسسات.

لذلك تعتمد فرق الدفاع الحديثة بشكل متزايد على تحليل السلوك والأنماط غير الطبيعية، ومراقبة الهوية الرقمية للمستخدمين، واكتشاف الشذوذ في حركة الشبكة بدلاً من الاكتفاء بحظر العناوين أو النطاقات المشبوهة.

وتشير نتائج ESET إلى أن Webworm تواصل تطوير أدواتها باتجاه قنوات قيادة وسيطرة قائمة على السحابة وتقنيات أكثر خفاءً، وهو اتجاه قد يجعل حملات التجسس السيبراني المستقبلية أصعب بكثير في الاكتشاف.