أعلنت شركة بالو ألتو نتوركس اليوم عن تعرّض مؤسسات حكومية في الشرق الأوسط وشمل إفريقيا إلى أضرار جسيمة نتيجة برمجية الفدية الخبيثة ثانوس (Thanos). وقد تمّ رصد برمجية ثانوس للمرة الأولى من قبل شركة "ريكورديد فيوتشر" المتخصصة بتوريد حلول الأمن الإلكتروني، وذلك في شهر فبراير من العام 2020، حيث تم الإعلان والترويج لبيع هذه البرمجية عبر منتديات الشبكة الخفية. وتتميز برمجية ثانوس باحتوائها على أداة إنشاء تتيح لمالكها إمكانية تخصيص عمل البرمجية وفقاً لمجموعة متنوعة من الإعدادات المتاحة. كما أن طرح برمجية ثانوس للبيع يشير إلى احتمالية استخدامها من قبل عدة جهات، وهو ما استطاعت شركة بالو ألتو نتوركس إثباته وبدرجة عالية من التأكيد، من خلال رصد استخدامها في هجمات استهدفت مؤسستين حكوميتين تقعان في منطقة الشرق الأوسط وشمال أفريقيا. واستناداً لمؤشر القياس عن بُعد الخاص بشركة بالو ألتو نتوركس، ظهرت برمجية ثانوس لأول مرة في ال 13 من يناير 2020، حيث تمكت الشركة من رصد أكثر من 130 عينة مختلفة منها منذ ذلك الحين. وفي ال 6 وال 9 من يوليو 2020، استطاعت بالو ألتو نتوركس رصد ملفات مرتبطة بهجوم استهدف مؤسستين حكوميتين تقعان في منطقة الشرق الأوسط وشمال إفريقيا، حيث تم تنصيب الملفات وتشغيل برمجية الفدية الخبيثة ثانوس. لكن الشركة تعتقد بأن الجهات التي تقف وراء هذه التهديدات تمكنت بالفعل من التسلل بشكل مسبق إلى شبكات هذه المؤسسات، فقد احتوت عينات البرمجية التي تم رصدها على بيانات اعتماد استطاعت الجهات المهاجمة سرقتها من الأنظمة العاملة على شبكة هذه المؤسسات قبل أن تقوم بنشر برمجية الفدية الخبيثة. تضمن هذا الهجوم بالذات الاستعانة بعدة طبقات من النصوص البرمجية لل PowerShell، المبنية على لغة ال C# وبرمجية ال shellcode، وذلك كي يتمكنوا من تحميل برمجية ثانوس إلى الذاكرة، لتبدأ العمل بالتزامن مع إقلاع نظام التشغيل المحلي. وتستند هذه الطبقات من النصوص البرمجية بدرجة كبيرة على التعليمات البرمجية المتاحة مجاناً ضمن منظومات المصادر المفتوحة، مثل Sharp-Suite وDonut. ويشار إلى أن إحدى الطبقات تضمنت نصاً برمجياً من ال PowerShell تنحصر مهمته على نشر برمجية ثانوس على امتداد باقي الأنظمة على الشبكة المحلية، وذلك باستخدام بيانات الاعتماد المسروقة التي ذكرناها سابقاً. قال روبرت فالكون، محلل التهديدات الأمنية لدى بالو ألتو نتوركس: "الجزء الأكثر إثارة للانتباه والاهتمام في هذه العينة من برمجية ثانوس، قيام الجهة المهاجمة بتهيئة البرمجية كي تتمكن من إعادة الكتابة على سجل الإقلاع الرئيسي، ما يشير إلى تبني هذه البرمجية منهجية أكثر ضرراً وتخريباً. كما أن مسح سجل الإقلاع الرئيسي سيعزز من صعوبة تتبع المستخدم لعمليات السجل، وذلك كي يتمكن من استعادة وظائف النظام". وقد تمكنت بالو ألتو نتوركس من تحليل عينة برمجية ثانوس هذه، التي تم تحميلها وتشغيلها من داخل الذاكرة، والتي قامت الجهات المهاجمة بتصميمها بشكل خاص لاستهداف المؤسسات الحكومية في منطقة الشرق الأوسط وشمال إفريقيا.
