كشف باحثو كاسبرسكي عن(Rootkit) مجموعة من الأدوات البرمجية التي تمكن المستخدم غير المصرح له من التحكم في نظام الكمبيوتر دون أن يتم اكتشافه. طورتها إحدى جهات التهديدات المتقدمة المستمرة، قادرة على البقاء على جهاز الضحية حتى في حالة إعادة تشغيل "ويندوز" أو إعادة تثبيته، ما يجعلها خطرة للغاية على المدى الطويل. واستُخدمت مجموعة الأدوات هذه، التي أطلق عليها اسم CosmicStrand، في مهاجمة الأفراد في الصين، ورُصدت حالات نادرة في فيتنام وإيران وروسيا.

تُعدّ الواجهة الموحدة والموسّعة للبرمجيات الثابتة (UEFI) مكونًا مهمًا في أغلبية الأجهزة، وشيفرتها البرمجية مسؤولة عن تشغيل الجهاز وتمرير التحكّم إلى البرمجية المسؤولة عن تحميل نظام التشغيل. وإذا جرى تعديل البرمجية الثابتة بشكل ما لتتضمّن شيفرة خبيثة، فإنها سوف تُفعّل قبل أن يشتغل نظام التشغيل، ما يجعل نشاطها غير مرئي لحلول الأمن ودفاعات نظام التشغيل. كذلك فإن وجود البرمجية الثابتة على شريحة منفصلة عن القرص الصلب يجعل الهجمات التي تستهدف UEFI مراوغة ومستمرة بطريقة استثنائية، نظرًا لأن البرمجية الخبيثة ستبقى على الجهاز بغض النظر عن عدد مرات إعادة تثبيت نظام التشغيل.

ونُسبت البرمجية الخبيثة CosmicStrand إلى جهة تهديد غير معروفة سابقًا ناطقة باللغة الصينية. وبينما لم يُعرف الهدف النهائي الذي سعى إليه المهاجمون، فقد لوحظ أن الجهزة المستهدفة كانت لمستخدمين أفرادًا وليست لمؤسسات، وأنها جميعها كانت أجهزة عاملة بالنظام "ويندوز". وفي كل مرة يُعاد تشغيل الجهاز، يُنفّذ القليل من التعليمات البرمجية الخبيثة بعد تشغيل "ويندوز"، وذلك بغرض الاتصال بخادم القيادة والسيطرة وتنزيل ملف تنفيذي خبيث إضافي.

ولم يتمكن الباحثون من تحديد الطريقة التي انتهت بأدوات التأصيل الخفية هذه على الأجهزة المصابة، لكن حسابات غير مؤكّدة اكتُشفت على الإنترنت تشير إلى أن بعض المستخدمين قد تلقوا أجهزة مخترقة بعدما طلبوا عن طريق الإنترنت الحصول على بعض مكونات أجهزة الحاسوب.

لكن أكثر ما لفت الانتباه في CosmicStrand تمثل في ما بدا أن هذه الغرسة استُخدمت في الواقع في نهاية العام 2016، أي قبل وقت طويل من بدء الوصف العلني لهجمات UEFI.

وقال إيفان كوياتكوسكي الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن استخدام البرمجية الخبيثة CosmicStrand في مهاجمة واجهات UEFI "بدأ منذ مدة طويلة على ما يبدو"، بالرغم من أنها اكتُشفت حديثًا. وأضاف: "يشير هذا الأمر إلى أن بعض الجهات التخريبية لديها قدرات متقدمة جدًا تمكِّنها من البقاء متخفية لسنوات طويلة، ما يدفعنا إلى التساؤل عن الأدوات الجديدة التي أنشأتها هذه الجهات طوال هذه المدة والتي لم نكتشفها بعد".

وبالإمكان الاطلاع من خلال Securelist على تحليل أكثر تفصيلًا لبرمجية CosmicStrand ومكوناتها.

وتوصي كاسبرسكي باتباع التدابير التالية للحماية من تهديدات مثل CosmicStrand التي تستهدف واجهات UEFI:
• تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث المعلومات الخاصة بالتهديدات. وتُعتبر منصة Kaspersky Threat Intelligence Portal نقطة واحدة إلى هذه المعلومات التي جمعتها كاسبرسكي على مدار أكثر من 25 عامًا وتشمل بيانات الهجمات الرقمية.
• تنفيذ حلول EDR، مثل Kaspersky Endpoint Detection and Response، لاكتشاف التهديدات عند مستوى النقاط الطرفية والتحقيق في الحوادث ومعالجتها في الوقت المناسب.
• تزويد الموظفين بمبادئ التدريب الأساسية على الأمن الرقمي، نظرًا لأن العديد من الهجمات الموجّهة تبدأ بمحاولات التصيد أو بتقنيات الهندسة الاجتماعية الأخرى.
• استخدام منتج أمني قويّ يعمل عند النقاط الطرفية ويمكنه اكتشاف استخدام البرمجيات الثابتة، مثل Kaspersky Endpoint Security for Business.
• عدم تحديث البرمجيات الثابتة UEFI إلاّ من موردين محلّ ثقة.