كشف خبراء عن هجوم سيبراني استهدف وزارة المالية الأفغانية ببرمجية Xeno RAT، في حملة تقودها مجموعة سايد كوبي لسرقة البيانات الحساسة وفق تيكبامين.
ما هي تفاصيل عملية XENOFISCAL ضد وزارة المالية؟
أعلن باحثو الأمن الرقمي عن تفاصيل حملة تصيد احتيالي موجهة يُعتقد أن مجموعة "سايد كوبي" (SideCopy) المرتبطة بباكستان هي من تقف وراءها. استهدفت هذه الحملة، التي أُطلق عليها اسم "عملية XENOFISCAL"، وزارة المالية في أفغانستان باستخدام برمجية خبيثة متطورة من نوع حصان طروادة للوصول عن بُعد تُعرف باسم Xeno RAT.
لم يقتصر الهجوم على الوزارة فحسب، بل شمل أيضاً مديريات الإيرادات والمالية في الأقاليم، والمسؤولين الحكوميين الناطقين بلغة الباشتو، والموظفين الحكوميين على مستوى المحافظات. وبحسب تقرير تيكبامين، فإن المهاجمين أظهروا دراية واسعة بالبيئة المستهدفة من خلال اختيار اللغة والتوقيت.
لماذا تم استخدام لغة الباشتو في الهجوم؟
كان اختيار لغة الباشتو لملفات التمويه قراراً متعمداً ومدروساً من قبل المهاجمين، فهي اللغة الرئيسية المستخدمة في الدوائر الحكومية الأفغانية. هذا التوجه يعكس مدى فهم المهاجم لبيئة الهدف وقدرته على صياغة رسائل خبيثة تبدو موثوقة تماماً للموظفين الحكوميين، مما يزيد من فرص نجاح الاختراق.
كيف تغلغلت برمجية Xeno RAT في الأنظمة الأفغانية؟
بدأت عملية الاختراق عبر ملف مضغوط (ZIP) يحتوي على ملف اختصار (LNK) يحمل اسماً مغرياً بلغة الباشتو. بمجرد قيام الضحية بتشغيله، يقوم ملف الاختصار باستدعاء أداة النظام "mshta.exe" لجلب تطبيق HTML (HTA) من نطاق تعليمي أفغاني تم اختراقه مسبقاً.
تؤدي هذه الخطوة إلى تنفيذ تعليمات برمجية بلغة جافا سكريبت مشفرة داخل الذاكرة، مما يصعب اكتشافها من قبل برامج الحماية التقليدية. وتضمن البرمجية الخبيثة بقاءها في النظام عبر الآتي:
- إنشاء مدخلات في سجل النظام (Registry) لمحاكاة متصفح مايكروسوفت إيدج (Microsoft Edge).
- استخدام أداة تحميل تعتمد على ملفات DLL لتنصيب برمجية Xeno RAT الإصدار 1.8.7.
- عرض مستند تمويهي لخداع المستخدم وإلهائه عن العمليات التي تجري في الخلفية.
ما هي قدرات التجسس التي توفرها برمجية Xeno RAT؟
تعتبر برمجية زينو آر إيه تي (Xeno RAT) أداة قوية جداً للتجسس، حيث تم تصميمها للاتصال بخادم تحكم عن بُعد عبر بروتوكول TCP لتلقي الأوامر. إليك أبرز ما يمكن لهذه البرمجية القيام به بمجرد إصابة الجهاز:
- التجسس الصوتي والمرئي: القدرة على مراقبة الكاميرا والميكروفون وتسجيل النشاط.
- سرقة البيانات: تتبع الحافظة (Clipboard) وتسجيل ضربات المفاتيح (Keylogging).
- التحكم في الملفات: تنفيذ عمليات كاملة على الملفات من حذف وتحميل وتعديل.
- تجاوز الشبكات: دعم نفق الشبكة القائم على بروكسي SOCKS5 لتسهيل نقل البيانات.
- التخفي التقني: جمع معلومات عن برامج مكافحة الفيروسات وتغيير طرق البقاء في النظام.
- التدمير الذاتي: القدرة على حذف نفسها وإزالة كافة آثار الاختراق من الجهاز المستهدف.
هل هناك علاقة بين سايد كوبي وهجمات أخرى في المنطقة؟
تُعرف مجموعة سايد كوبي بأنها تعمل تحت مظلة مجموعة أكبر تسمى "ترانسبيرنت ترايب" (Transparent Tribe) أو APT36. وقد ارتبط اسم هذه المجموعة بسلسلة من الهجمات في جنوب آسيا. ففي أبريل 2025، تم نسب هجمات استهدفت قطاعات مختلفة في الهند لهذه المجموعة، حيث استخدمت برمجيات خبيثة مثل Xeno RAT وSpark RAT وCurlBack RAT.
علاوة على ذلك، ظهرت تفاصيل حول عمليات تصيد أخرى استهدفت البنية التحتية العسكرية الهندية باستخدام ملفات سطح مكتب خبيثة لنظام لينكس (Linux .desktop)، مما يشير إلى أن هذا النشاط هو جزء من حملة أوسع تستهدف الكيانات الحكومية والعسكرية في المنطقة.
في الختام، يمثل هذا الهجوم السيبراني المتطور تذكيراً دائماً بأهمية تعزيز دفاعات الأمن الرقمي، خاصة في المؤسسات السيادية التي تتعامل مع بيانات مالية وحساسة، حيث تظل المجموعات المتقدمة مثل سايد كوبي في حالة بحث دائم عن ثغرات بشرية أو تقنية للاختراق.
