وزارة العدل الأمريكية وجه هذا الأسبوع لائحة اتهام ضد سبعة مواطنين صينيين بسبب موجة قرصنة استمرت عقدًا من الزمن استهدفت أكثر من 100 شركة للألعاب عالية التقنية وعبر الإنترنت. تزعم الحكومة أن الرجال استخدموا رسائل التصيد الاحتيالي التي تحتوي على برامج ضارة وهجمات “سلسلة التوريد” لسرقة البيانات من الشركات وعملائها. تم تصنيف أحد المتسللين المزعومين لأول مرة هنا في عام 2012 على أنه مالك شركة مكافحة فيروسات صينية.
الصورة: مكتب التحقيقات الفدرالي
مستندات الشحن أن الرجال السبعة هم جزء من مجموعة قرصنة تُعرف بشكل مختلف باسم “APT41، “الباريوم، “Winnti، “الباندا الشريرو “و”العنكبوت الشرير. ” بمجرد دخول المؤسسة المستهدفة ، سرق المتسللون شفرة المصدر وشهادات توقيع رمز البرنامج وبيانات حساب العميل وغيرها من المعلومات التي يمكنهم استخدامها أو إعادة بيعها.
تمتد أنشطة APT41 من منتصف العقد الأول من القرن الحادي والعشرين وحتى يومنا هذا. في وقت سابق من هذا العام ، على سبيل المثال ، كانت المجموعة مرتبطة بحملة برمجيات خبيثة عدوانية بشكل خاص استغلت نقاط الضعف الحديثة في منتجات الشبكات المستخدمة على نطاق واسع ، بما في ذلك العيوب في سيسكو و دي لينك أجهزة التوجيه ، وكذلك سيتريكس و نبض أجهزة VPN. شركة أمنية عين النار أُطلق عليها اسم القرصنة الخاطفة “واحدة من أوسع الحملات التي قام بها ممثل تجسس إلكتروني صيني والتي لاحظناها في السنوات الأخيرة”.
تزعم الحكومة أن الجماعة استثمرت وصولها غير المشروع عن طريق نشر برامج الفدية و “كريبتوجاكينج”(باستخدام الأنظمة المخترقة لتعدين العملات المشفرة مثل Bitcoin). بالإضافة إلى ذلك ، استهدفت العصابة شركات ألعاب الفيديو وعملائها في محاولة لسرقة عناصر رقمية ذات قيمة يمكن إعادة بيعها ، مثل النقاط والقوى والعناصر الأخرى التي يمكن استخدامها لتحسين تجربة اللعب.
عُرف عن APT41 إخفاء برامجه الضارة داخل سير ذاتية مزيفة تم إرسالها إلى أهداف. كما قامت بنشر هجمات أكثر تعقيدًا لسلسلة التوريد ، حيث قاموا باختراق شركة برمجيات وتعديل الكود ببرامج ضارة.
توضح لوائح الاتهام: “شركة البرمجيات الضحية – غير مدركة للتغييرات التي طرأت على منتجها ، ستقوم لاحقًا بتوزيع البرنامج المعدل على عملائها من الأطراف الثالثة ، الذين تم خداعهم من خلال تثبيت رمز برمجي ضار على أجهزة الكمبيوتر الخاصة بهم”.
في حين أن مستندات الشحن المختلفة التي تم إصدارها في هذه الحالة لا تذكرها في حد ذاتها ، فمن الواضح أن أعضاء هذه المجموعة فضلوا أيضًا شكلًا آخر من هجمات سلسلة التوريد – إخفاء برامجهم الضارة داخل الأدوات التجارية التي قاموا بإنشائها والإعلان عنها على أنها برامج أمان وأدوات مساعدة للكمبيوتر الشخصي. .
أحد الرجال المتهمين كجزء من APT41 – يبلغ الآن 35 عامًا تان ديلين – كان موضوع قصة 2012 KrebsOnSecurity الذي سعى إلى تسليط الضوء على منتج مضاد فيروسات صيني تم تسويقه على أنه أنفيسوفت. في ذلك الوقت ، تم إدراج المنتج في “القائمة البيضاء” أو تم تمييزه على أنه آمن من خلال منافسين بائعي برامج مكافحة الفيروسات الأكثر شهرة ، على الرغم من أن الشركة بدت غير مستجيبة لشكاوى المستخدمين والأسئلة حول قيادتها وأصولها.
Tan DaiLin ، المعروف أيضًا باسم “Wicked Rose” في سنوات شبابه. الصورة: iDefense
ادعى Anvisoft أنه يقع في كاليفورنيا وكندا ، ولكن البحث عن اسم العلامة التجارية للشركة أدى إلى ظهور سجلات تسجيل العلامات التجارية التي وضعت Anvisoft في منطقة التكنولوجيا الفائقة في تشنغدو في مقاطعة سيتشوان الصينية.
أظهرت مراجعة لسجلات تسجيل موقع Anvisoft على الويب أن نطاق الشركة قد تم إنشاؤه في الأصل بواسطة Tan DaiLin ، وهو مخترق صيني سيئ السمعة استخدم الأسماء المستعارة “Wicked Rose” و “Withered Rose”. في وقت كتابة القصة ، كان DaiLin يبلغ من العمر 28 عامًا.
استشهدت تلك القصة تقرير عام 2007 (PDF) من iDefense، والتي توضح دور DaiLin كقائد لفريق قرصنة برعاية الدولة مكون من أربعة رجال يسمى NCPH (اختصار لـ Network Crack Program Hacker). وفقًا لـ iDefense ، في عام 2006 ، كانت المجموعة مسؤولة عن صياغة rootkit التي استفادت من ثغرة يوم الصفر في Microsoft Word ، واستخدمت في هجمات على “كيان كبير لوزارة الدفاع” داخل الولايات المتحدة.
ذكر تقرير iDefense أن “Wicked Rose ومجموعة القرصنة NCPH متورطتان في هجمات متعددة تستند إلى Office على مدار عامين”.
عندما قمت بفحص Anvisoft لأول مرة في Virustotal.com مرة أخرى في عام 2012 ، لم يكتشف أي من منتجات مكافحة الفيروسات أنه مشبوه أو ضار. ولكن في الأيام التي تلت ذلك ، بدأت العديد من منتجات مكافحة الفيروسات في وضع علامة عليها لتجميع ما لا يقل عن برنامجي حصان طروادة المصممين لسرقة كلمات المرور من مختلف منصات الألعاب عبر الإنترنت.
يقول محللون أمنيون ومدعون عامون أمريكيون إن APT41 تعمل خارج مؤسسة صينية تسمى تشنغدو 404 التي يُزعم أنها شركة تكنولوجيا شبكات ولكنها خدمت واجهة قانونية للأنشطة غير القانونية لمجموعة القرصنة ، وأن Chengdu 404 استخدمت شبكتها العالمية من الأنظمة المخترقة كنوع من شبكة المعلومات التي قد تكون مفيدة للحزب الشيوعي الصيني.
مكاتب Chengdu404 في الصين. الصورة: DOJ.
“طور CHENGDU 404 منتج” بيانات ضخمة “باسم”سونارك“والذي تم وصفه … بأنه” نظام تقييم مخاطر المعلومات “، كما جاء في لائحة الاتهام الحكومية. “كانت SonarX بمثابة مستودع يمكن البحث فيه بسهولة عن بيانات الوسائط الاجتماعية التي سبق أن حصل عليها CHENGDU 404.”
يُزعم أن المجموعة استخدمت SonarX للبحث عن أفراد مرتبطين بمختلف حركات الديمقراطية والاستقلال في هونغ كونغ ، والتطفل على وسيلة إعلامية مدعومة من الولايات المتحدة تنشر قصصًا تبحث في معاملة الحكومة الصينية لـ شعب الأويغور يعيشون في منطقة شينجيان.
كما لاحظت TechCrunch ، بعد تقديم لوائح الاتهام ، قال المدعون إنهم حصلوا على أوامر بمصادرة مواقع الويب والنطاقات والخوادم المرتبطة بعمليات المجموعة ، مما أدى إلى إغلاقها بشكل فعال وعرقلة عملياتها.
“لا يزال يُعتقد أن المتسللين المزعومين موجودون في الصين ، لكن المزاعم تمثل جهد” الاسم والعار “الذي استخدمته وزارة العدل في السنوات الأخيرة ضد المهاجمين السيبرانيين المدعومين من الدولة ،” كتب تك كرانش زاك ويتاكر.
العلامات: أنفيسوفت، APT41، الباريوم، تشنغدو 404، سيسكو، سيتريكس، دي لينك، نبض، سونارك، تان ديلين، تك كرانش، الباندا الشرير، شرير روز، العنكبوت الشرير، Winnti، روز ذابلة، زاك ويتاكر
