روتكيت ويندوز جديد ظهر ضمن هجمات مجموعة موستانغ باندا، إذ أضيف إلى باب خلفي CoolClient لرفع التخفي وحماية الملفات والعمليات الخبيثة.
ما هو روتكيت ويندوز الجديد في هجمات موستانغ باندا؟
كشفت التحليلات الأمنية عن نسخة محدثة من الباب الخلفي CoolClient مزودة بمكوّن kernel-mode موقّع رقمياً على نظام ويندوز. هذا التطور يمنح المهاجمين قدرة أعلى على إخفاء نشاطهم عن أدوات الرصد التقليدية.
وبحسب ما رصدته تيكبامين، فإن هذه الإضافة لا تعمل كأداة تجسس عادية فقط، بل تؤدي دوراً دفاعياً للمهاجم عبر حماية العمليات والملفات ومفاتيح السجل وحتى معلومات الاتصال مع خوادم التحكم.
- إخفاء العمليات الخبيثة من النظام
- حماية الملفات والسجل من الاكتشاف أو الحذف
- إخفاء بيانات الشبكة المرتبطة بخوادم C2
- تعزيز بقاء البرمجية الخبيثة لفترة أطول
كيف يعمل الباب الخلفي CoolClient داخل ويندوز؟
النسخة الجديدة من CoolClient لا تنشر برنامج التشغيل الخفي في كل الحالات. فهي تحتاج أولاً إلى صلاحيات كاملة للوصول إلى Service Control Manager، إضافة إلى امتياز SeTcbPrivilege المرتفع داخل ويندوز.
إذا لم تتوافر هذه الصلاحيات، يتجاوز البرنامج خطوة تثبيت الدرايفر وينتقل مباشرة إلى الحمولة النهائية. هذه الآلية توضح أن المهاجمين صمموا البرمجية لتكون مرنة وتتكيف مع مستوى الوصول المتاح على الجهاز المصاب.
أبرز قدرات CoolClient
- تسجيل ضربات لوحة المفاتيح
- سرقة محتوى الحافظة Clipboard
- جمع بيانات الاعتماد وكلمات المرور
- إدارة الملفات والتنقل داخل النظام
- تنفيذ استطلاع للجهاز والشبكة
- إضافة وظائف جديدة عبر Plugins
كيف بدأت سلسلة العدوى قبل تثبيت CoolClient؟
الهجمات التي استهدفت جهات في عدة دول بدأت غالباً عبر الإصابة ببرمجية PlugX، التي عملت كنقطة دخول أولية بعد الاختراق. بعدها جرى استخدام PlugX لتنزيل مكوّنات CoolClient وتهيئة البيئة لاستمرار الإصابة.
ومن بين الحيل المستخدمة، إضافة استثناءات داخل Microsoft Defender لمجلد مزيف يحمل طابعاً شبيهاً بويندوز ديفندر، ثم نسخ المكوّنات الخبيثة إليه لتقليل فرص اكتشافها.
سلسلة التنفيذ بعد الإصابة
اعتمد المهاجم على إعادة تسمية ملف شرعي تابع لبرنامج Sangfor إلى defender.exe، ثم استغلاله في DLL sideloading لتحميل مكتبة خبيثة باسم libngs.dll. هذه المكتبة تقوم بفك تشفير المرحلة الثانية وتشغيلها بصمت.
- تحميل libngs.dll الخبيث عبر ملف شرعي
- تشغيل loadcert.ini كمرحلة ثانية
- تنفيذ تعديلات على السجل وتثبيت الاستمرارية
- محاولة تجاوز UAC وحقن العمليات
- نشر الدرايفر الخفي ثم تحميل cert.ini للاتصال بخادم التحكم
لماذا يشكل روتكيت ويندوز هذا تهديداً أكبر للمؤسسات؟
الخطورة هنا لا تتعلق بالتجسس فقط، بل بمستوى التخفي الذي يصعّب الاستجابة للحوادث. عندما تصبح البرمجية قادرة على إخفاء مكوناتها على مستوى النواة، فإن اكتشافها وإزالتها يتطلبان أدوات وتحليلاً أكثر تقدماً.
كما ذكر تيكبامين، فإن وجود مؤشرات اختراق مثل البصمات الرقمية ومسارات الملفات ونطاقات C2 يمنح فرق الأمن فرصة أفضل للصيد الاستباقي. لكن بقاء روتكيت ويندوز داخل السلسلة الهجومية يعني أن المؤسسات مطالبة بتشديد مراقبة الامتيازات، ومراجعة المهام المجدولة، وفحص أي نشاط غير معتاد مرتبط بـ CoolClient وPlugX قبل أن يتحول الاختراق إلى تجسس طويل الأمد.
