ولا تثبت التقارير المتاحة علناً إسناد C2Looper إلى مجموعة فدية محددة بالاسم. لذلك ينبغي التعامل مع أوجه التشابه المقترحة بين بعض البنى التحتية والبرمجيات الخبيثة الأخرى باعتبارها خيوطاً للتحقيق، لا دليلاً على وحدة المطورين أو السيطرة التشغيلية.

كيف تعمل نسختا C2Looper؟

النسخة الأقدم: تحكم مباشر عبر HTTP

تتصل العينات الأقدم بخادم يتحكم فيه المهاجم عبر HTTP غير مشفر، وتستخدم أوامر بصيغة JSON. وتشير التقارير إلى أن البرمجية كانت تستطلع الخادم بوتيرة عالية جداً، قد تصل إلى طلب كل ثانية تقريباً، ما قد يترك نمطاً سلوكياً واضحاً على الجهاز أو الشبكة.

وتعرّف البرمجية الجهاز المصاب من خلال بيانات تشمل اسم مستخدم Windows، واسم المضيف وفق DNS، ومعرّف العملية التي تشغّل C2Looper، إضافة إلى معرّف روبوت يُشتق من اسم المضيف واسم المستخدم. ويُرسل هذا التبليغ إلى المسار /api/beacon، بينما تُرفع نتائج الأوامر عبر /api/result/.

وتمنح مجموعة الأوامر المتاحة المشغّل سيطرة عملية على النظام، بما في ذلك:

• تنفيذ أوامر shell أو أوامر النظام بصورة عشوائية.
• جمع معلومات عن الجهاز والبيئة المحيطة به.
• تنزيل الملفات.
• تحديث البرمجية الخبيثة ونشر حمولات إضافية.

ومن أكثر مسارات التحديث لفتاً للانتباه استخدام أمر upload لجلب ملف تنفيذي محمول من عنوان URL يحدده المشغّل، ثم حفظه على هيئة DLL داخل مجلد OneDrive المحلي للمستخدم. بعد ذلك يمكن للبرمجية إيقاف عملية OneDrive والاستعانة بملف OneDrive شرعي لتحميل المكتبة المزروعة عبر تقنية التحميل الجانبي لملفات DLL. وقد استخدمت العينات التي أُبلغ عنها الملف wtsapi32.dll داخل المسار %LocalAppData%\\Microsoft\\OneDrive.

تضع هذه التقنية الشيفرة الخبيثة إلى جانب ملف تنفيذي موثوق، مستفيدة من آلية التحميل الطبيعية للمكتبات لدى ذلك الملف. لذلك لا يكفي أن يلاحظ المدافعون وجود OneDrive؛ فالإشارة الأهم هي أن ملف OneDrive شرعياً يحمّل DLL غير متوقعة من مسار غير مألوف أو قابل للكتابة من جانب المستخدم.

أساليب التخفي في العينات الأقدم

تستخدم C2Looper فك تشفير السلاسل النصية وقت التشغيل عبر XOR، مع الإبلاغ عن إعادة استخدام مفتاح من ثمانية بايتات. كما تحلّ البرمجية واجهات Windows البرمجية بصورة ديناميكية من خلال LoadLibrary وGetProcAddress. وقد تجعل هذه الأساليب الفحص الساكن المباشر أقل فائدة، وترفع أهمية بيانات السلوك التي تجمعها أدوات اكتشاف واستجابة الأجهزة الطرفية، أو EDR.

النسخة الأحدث: GitHub كقناة تحكم

تستبدل نسخة أحدث من C2Looper خادم التحكم التقليدي بمستودعات GitHub. وتُستخدم هذه المستودعات لإرسال الأوامر، وتسجيل إشارات الاتصال، واستقبال النتائج، وكذلك لتخزين بيانات مرتبطة بالحمولات وفق ما ورد في التقارير عن المتغير الأحدث.

ويُخصص لكل جهاز مصاب مجلد مستقل داخل المستودع. تقرأ البرمجية التعليمات من الملف cmd.json، وتنّفذ الإجراء المطلوب، ثم تكتب الناتج في الملف result.json داخل المجلد نفسه. وتوفر هذه الآلية للمشغّل سير عمل بسيطاً قائماً على الملفات لإصدار الأوامر وجمع النتائج، من دون الاعتماد على خادم تحكم مخصص.

وقد يعقّد استخدام GitHub بهذه الطريقة استراتيجيات حجب النطاقات البسيطة، لأن المنصة تُستخدم أيضاً بصورة مشروعة في التطوير والأعمال. والاستجابة الدفاعية العملية هنا ينبغي أن تركز على السلوك: التحقيق في الوصول الدوري إلى مستودعات GitHub أو واجهاتها البرمجية من أجهزة لا تحتاج عادةً إلى هذه الخدمات، والتمييز بين نشاط JSON المشبوه الخاص بكل جهاز وبين الاستخدام المعتمد في التطوير أو التكامل والنشر المستمرين.

ويشير الانتقال إلى GitHub، إلى جانب قدرات إضافية لتنفيذ الحمولات أُبلغ عنها في العينات الأحدث، إلى أن C2Looper ما تزال قيد التطوير النشط.

وصول محتمل عبر الهندسة الاجتماعية ClickFix

تقيّم ThreatLabz، بثقة منخفضة إلى متوسطة، احتمال وصول C2Looper إلى الضحايا ضمن سلسلة إصابة متعددة المراحل من نوع ClickFix. وفي مثل هذه الحملات، يواجه الضحية نافذة تحقق مزيفة أو خطأً في المتصفح أو اختبار CAPTCHA أو رسالة تدّعي وجود مشكلة في النظام، ثم يُقنع بنسخ أمر وتشغيله في PowerShell أو نافذة التشغيل في Windows أو واجهة أوامر أخرى.

ويجعل هذا الأسلوب تفاعل المستخدم نقطة مهمة للوقاية والكشف. فالموقع الإلكتروني أو رسالة المتصفح لا ينبغي أن يطلبا من المستخدم لصق أوامر في PowerShell أو Terminal أو نافذة التشغيل من أجل إكمال التحقق أو إصلاح مشكلة مزعومة.

وتتناول تقارير مرتبطة بالمنظومة الأوسع للهندسة الاجتماعية أساليب مثل الاحتيال الصوتي عبر Teams وإساءة استخدام Quick Assist. لكن الأدلة المتاحة هنا لا تثبت أن كل حملة من هذه الحملات قامت بتوزيع C2Looper. لذلك ينبغي اعتبار هذه الصلات سياقاً محتملاً، لا إسناداً مؤكداً إلى الحملة نفسها.

ما الذي ينبغي على فرق الدفاع مراقبته؟

يمكن للمؤسسات التركيز على مجموعة محدودة من السلوكيات عالية القيمة بدلاً من محاولة حجب كل أداة أو خدمة قد ترتبط بالبرمجية:

• الاتصالات المتكررة عبر HTTP غير المشفر: التحقيق في حركة POST بصيغة JSON التي تتكرر بانتظام غير معتاد، ولا سيما الطلبات التي تشبه المسارين /api/beacon و/api/result/، مع ربطها بعملية جديدة أو مشبوهة على الجهاز.
• نشاط GitHub غير المعتاد: البحث عن وصول الأجهزة الطرفية إلى مستودعات GitHub أو واجهاتها البرمجية بنمط دوري، أو عن مجلدات مخصصة لكل جهاز تحتوي على cmd.json وresult.json. ولا ينبغي حجب GitHub بصورة عشوائية؛ بل يجب احتساب استخدام المطورين وأدوات الأتمتة المصرح بها.
• التحميل الجانبي عبر OneDrive: إصدار تنبيه عند تشغيل ملف OneDrive شرعي من مسار غير معتاد داخل ملف تعريف المستخدم، أو عند تحميله DLL من مجلد مجاور قابل للكتابة، أو عند إنشاء عمليات فرعية غير متوقعة.
• تنفيذ الأوامر والاستطلاع: استخدام بيانات EDR لرصد PowerShell وcmd.exe ونشاط نافذة التشغيل، واكتشاف النظام المشبوه، والتنزيلات المرحلية، وتنفيذ shell من ملفات ثنائية ظهرت حديثاً.
• السلوك المركب للبرمجية المكتوبة بلغة Rust: التعامل مع حل واجهات Windows ديناميكياً، والسلاسل المشفرة، والاستطلاع الشبكي، ونشر الحمولات كنمط سلوكي متكامل، بدلاً من الاعتماد على خاصية واحدة في الملف.

أولويات الوقاية

ينبغي أن تترافق الضوابط التقنية مع إجراءات لمواجهة الهندسة الاجتماعية. ويمكن، حيثما تسمح متطلبات العمل، تقييد PowerShell الذي يشغله المستخدم أو إخضاعه للحوكمة، وتشديد الرقابة على مستضيفات البرمجيات النصية والملفات غير الموقعة والتنفيذ من المجلدات القابلة للكتابة من جانب المستخدم. كما يمكن أن يقلل السماح بالتطبيقات المعتمدة من قدرة الحمولة المنزلة على التشغيل.

وعلى فرق الأمن وموظفي الدعم الفني توعية العاملين بعدم لصق أوامر يقدّمها موقع إلكتروني أو اختبار CAPTCHA أو صفحة خطأ في المتصفح أو جهة دعم غير متوقعة. كما ينبغي أن تعمل أدوات الدعم عن بُعد ضمن إجراءات معتمدة، وقنوات دعم موثقة، ومصادقة قوية، وتسجيل للجلسات، ومراجعة سريعة للجلسات غير المعتادة.

ويمكن أن يحد تقسيم الشبكات، وتطبيق مبدأ أقل صلاحية، واستخدام المصادقة متعددة العوامل، وتحديث الأنظمة المكشوفة على الإنترنت بسرعة، والاحتفاظ بنسخ احتياطية غير متصلة أو غير قابلة للتغيير ومختبرة، من أثر موطئ القدم إذا اكتُشفت C2Looper. وإذا أظهر جهاز ما اتصالات دورية مشبوهة أو نشاط shell أو تحميل DLL جانبياً، فينبغي عزله سريعاً مع الحفاظ على سجلات الجهاز وسجلات الشبكة، وذاكرة الجهاز عند الحاجة للتحقيق.

الخلاصة

تكمن أهمية C2Looper في انتقالها من باب خلفي يعتمد على HTTP بصورة مباشرة إلى برمجية أكثر مرونة يمكنها استخدام مستودعات GitHub كبنية تشغيلية. وتجعلها قدرات shell عن بُعد، والاستطلاع، والتنزيل، والتحديث، موطئ قدم محتملاً في اختراقات مرتبطة ببرمجيات الفدية. ومع ذلك، فإن الأدلة المتاحة تدعم تقييماً حذراً، لا إسناداً نهائياً إلى جهة محددة. وتتمثل أفضل استراتيجية دفاعية في الجمع بين إجراءات استخدام تقاوم ClickFix، ورصد سلوكي للأوامر غير المعتادة، والتحميل الجانبي عبر OneDrive، والاستطلاع السريع عبر HTTP، ونشاط GitHub غير المبرر.

ولا تثبت التقارير المتاحة علناً إسناد C2Looper إلى مجموعة فدية محددة بالاسم. لذلك ينبغي التعامل مع أوجه التشابه المقترحة بين بعض البنى التحتية والبرمجيات الخبيثة الأخرى باعتبارها خيوطاً للتحقيق، لا دليلاً على وحدة المطورين أو السيطرة التشغيلية.

كيف تعمل نسختا C2Looper؟

النسخة الأقدم: تحكم مباشر عبر HTTP

تتصل العينات الأقدم بخادم يتحكم فيه المهاجم عبر HTTP غير مشفر، وتستخدم أوامر بصيغة JSON. وتشير التقارير إلى أن البرمجية كانت تستطلع الخادم بوتيرة عالية جداً، قد تصل إلى طلب كل ثانية تقريباً، ما قد يترك نمطاً سلوكياً واضحاً على الجهاز أو الشبكة.

وتعرّف البرمجية الجهاز المصاب من خلال بيانات تشمل اسم مستخدم Windows، واسم المضيف وفق DNS، ومعرّف العملية التي تشغّل C2Looper، إضافة إلى معرّف روبوت يُشتق من اسم المضيف واسم المستخدم. ويُرسل هذا التبليغ إلى المسار /api/beacon، بينما تُرفع نتائج الأوامر عبر /api/result/.

وتمنح مجموعة الأوامر المتاحة المشغّل سيطرة عملية على النظام، بما في ذلك:

• تنفيذ أوامر shell أو أوامر النظام بصورة عشوائية.
• جمع معلومات عن الجهاز والبيئة المحيطة به.
• تنزيل الملفات.
• تحديث البرمجية الخبيثة ونشر حمولات إضافية.

ومن أكثر مسارات التحديث لفتاً للانتباه استخدام أمر upload لجلب ملف تنفيذي محمول من عنوان URL يحدده المشغّل، ثم حفظه على هيئة DLL داخل مجلد OneDrive المحلي للمستخدم. بعد ذلك يمكن للبرمجية إيقاف عملية OneDrive والاستعانة بملف OneDrive شرعي لتحميل المكتبة المزروعة عبر تقنية التحميل الجانبي لملفات DLL. وقد استخدمت العينات التي أُبلغ عنها الملف wtsapi32.dll داخل المسار %LocalAppData%\\Microsoft\\OneDrive.

تضع هذه التقنية الشيفرة الخبيثة إلى جانب ملف تنفيذي موثوق، مستفيدة من آلية التحميل الطبيعية للمكتبات لدى ذلك الملف. لذلك لا يكفي أن يلاحظ المدافعون وجود OneDrive؛ فالإشارة الأهم هي أن ملف OneDrive شرعياً يحمّل DLL غير متوقعة من مسار غير مألوف أو قابل للكتابة من جانب المستخدم.

أساليب التخفي في العينات الأقدم

تستخدم C2Looper فك تشفير السلاسل النصية وقت التشغيل عبر XOR، مع الإبلاغ عن إعادة استخدام مفتاح من ثمانية بايتات. كما تحلّ البرمجية واجهات Windows البرمجية بصورة ديناميكية من خلال LoadLibrary وGetProcAddress. وقد تجعل هذه الأساليب الفحص الساكن المباشر أقل فائدة، وترفع أهمية بيانات السلوك التي تجمعها أدوات اكتشاف واستجابة الأجهزة الطرفية، أو EDR.

النسخة الأحدث: GitHub كقناة تحكم

تستبدل نسخة أحدث من C2Looper خادم التحكم التقليدي بمستودعات GitHub. وتُستخدم هذه المستودعات لإرسال الأوامر، وتسجيل إشارات الاتصال، واستقبال النتائج، وكذلك لتخزين بيانات مرتبطة بالحمولات وفق ما ورد في التقارير عن المتغير الأحدث.

ويُخصص لكل جهاز مصاب مجلد مستقل داخل المستودع. تقرأ البرمجية التعليمات من الملف cmd.json، وتنّفذ الإجراء المطلوب، ثم تكتب الناتج في الملف result.json داخل المجلد نفسه. وتوفر هذه الآلية للمشغّل سير عمل بسيطاً قائماً على الملفات لإصدار الأوامر وجمع النتائج، من دون الاعتماد على خادم تحكم مخصص.

وقد يعقّد استخدام GitHub بهذه الطريقة استراتيجيات حجب النطاقات البسيطة، لأن المنصة تُستخدم أيضاً بصورة مشروعة في التطوير والأعمال. والاستجابة الدفاعية العملية هنا ينبغي أن تركز على السلوك: التحقيق في الوصول الدوري إلى مستودعات GitHub أو واجهاتها البرمجية من أجهزة لا تحتاج عادةً إلى هذه الخدمات، والتمييز بين نشاط JSON المشبوه الخاص بكل جهاز وبين الاستخدام المعتمد في التطوير أو التكامل والنشر المستمرين.

ويشير الانتقال إلى GitHub، إلى جانب قدرات إضافية لتنفيذ الحمولات أُبلغ عنها في العينات الأحدث، إلى أن C2Looper ما تزال قيد التطوير النشط.

وصول محتمل عبر الهندسة الاجتماعية ClickFix

تقيّم ThreatLabz، بثقة منخفضة إلى متوسطة، احتمال وصول C2Looper إلى الضحايا ضمن سلسلة إصابة متعددة المراحل من نوع ClickFix. وفي مثل هذه الحملات، يواجه الضحية نافذة تحقق مزيفة أو خطأً في المتصفح أو اختبار CAPTCHA أو رسالة تدّعي وجود مشكلة في النظام، ثم يُقنع بنسخ أمر وتشغيله في PowerShell أو نافذة التشغيل في Windows أو واجهة أوامر أخرى.

ويجعل هذا الأسلوب تفاعل المستخدم نقطة مهمة للوقاية والكشف. فالموقع الإلكتروني أو رسالة المتصفح لا ينبغي أن يطلبا من المستخدم لصق أوامر في PowerShell أو Terminal أو نافذة التشغيل من أجل إكمال التحقق أو إصلاح مشكلة مزعومة.

وتتناول تقارير مرتبطة بالمنظومة الأوسع للهندسة الاجتماعية أساليب مثل الاحتيال الصوتي عبر Teams وإساءة استخدام Quick Assist. لكن الأدلة المتاحة هنا لا تثبت أن كل حملة من هذه الحملات قامت بتوزيع C2Looper. لذلك ينبغي اعتبار هذه الصلات سياقاً محتملاً، لا إسناداً مؤكداً إلى الحملة نفسها.

ما الذي ينبغي على فرق الدفاع مراقبته؟

يمكن للمؤسسات التركيز على مجموعة محدودة من السلوكيات عالية القيمة بدلاً من محاولة حجب كل أداة أو خدمة قد ترتبط بالبرمجية:

• الاتصالات المتكررة عبر HTTP غير المشفر: التحقيق في حركة POST بصيغة JSON التي تتكرر بانتظام غير معتاد، ولا سيما الطلبات التي تشبه المسارين /api/beacon و/api/result/، مع ربطها بعملية جديدة أو مشبوهة على الجهاز.
• نشاط GitHub غير المعتاد: البحث عن وصول الأجهزة الطرفية إلى مستودعات GitHub أو واجهاتها البرمجية بنمط دوري، أو عن مجلدات مخصصة لكل جهاز تحتوي على cmd.json وresult.json. ولا ينبغي حجب GitHub بصورة عشوائية؛ بل يجب احتساب استخدام المطورين وأدوات الأتمتة المصرح بها.
• التحميل الجانبي عبر OneDrive: إصدار تنبيه عند تشغيل ملف OneDrive شرعي من مسار غير معتاد داخل ملف تعريف المستخدم، أو عند تحميله DLL من مجلد مجاور قابل للكتابة، أو عند إنشاء عمليات فرعية غير متوقعة.
• تنفيذ الأوامر والاستطلاع: استخدام بيانات EDR لرصد PowerShell وcmd.exe ونشاط نافذة التشغيل، واكتشاف النظام المشبوه، والتنزيلات المرحلية، وتنفيذ shell من ملفات ثنائية ظهرت حديثاً.
• السلوك المركب للبرمجية المكتوبة بلغة Rust: التعامل مع حل واجهات Windows ديناميكياً، والسلاسل المشفرة، والاستطلاع الشبكي، ونشر الحمولات كنمط سلوكي متكامل، بدلاً من الاعتماد على خاصية واحدة في الملف.

أولويات الوقاية

ينبغي أن تترافق الضوابط التقنية مع إجراءات لمواجهة الهندسة الاجتماعية. ويمكن، حيثما تسمح متطلبات العمل، تقييد PowerShell الذي يشغله المستخدم أو إخضاعه للحوكمة، وتشديد الرقابة على مستضيفات البرمجيات النصية والملفات غير الموقعة والتنفيذ من المجلدات القابلة للكتابة من جانب المستخدم. كما يمكن أن يقلل السماح بالتطبيقات المعتمدة من قدرة الحمولة المنزلة على التشغيل.

وعلى فرق الأمن وموظفي الدعم الفني توعية العاملين بعدم لصق أوامر يقدّمها موقع إلكتروني أو اختبار CAPTCHA أو صفحة خطأ في المتصفح أو جهة دعم غير متوقعة. كما ينبغي أن تعمل أدوات الدعم عن بُعد ضمن إجراءات معتمدة، وقنوات دعم موثقة، ومصادقة قوية، وتسجيل للجلسات، ومراجعة سريعة للجلسات غير المعتادة.

ويمكن أن يحد تقسيم الشبكات، وتطبيق مبدأ أقل صلاحية، واستخدام المصادقة متعددة العوامل، وتحديث الأنظمة المكشوفة على الإنترنت بسرعة، والاحتفاظ بنسخ احتياطية غير متصلة أو غير قابلة للتغيير ومختبرة، من أثر موطئ القدم إذا اكتُشفت C2Looper. وإذا أظهر جهاز ما اتصالات دورية مشبوهة أو نشاط shell أو تحميل DLL جانبياً، فينبغي عزله سريعاً مع الحفاظ على سجلات الجهاز وسجلات الشبكة، وذاكرة الجهاز عند الحاجة للتحقيق.

الخلاصة

تكمن أهمية C2Looper في انتقالها من باب خلفي يعتمد على HTTP بصورة مباشرة إلى برمجية أكثر مرونة يمكنها استخدام مستودعات GitHub كبنية تشغيلية. وتجعلها قدرات shell عن بُعد، والاستطلاع، والتنزيل، والتحديث، موطئ قدم محتملاً في اختراقات مرتبطة ببرمجيات الفدية. ومع ذلك، فإن الأدلة المتاحة تدعم تقييماً حذراً، لا إسناداً نهائياً إلى جهة محددة. وتتمثل أفضل استراتيجية دفاعية في الجمع بين إجراءات استخدام تقاوم ClickFix، ورصد سلوكي للأوامر غير المعتادة، والتحميل الجانبي عبر OneDrive، والاستطلاع السريع عبر HTTP، ونشاط GitHub غير المبرر.