في 20 مايو 2023، كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر اكتشفت منشورًا نشرته مجموعة قراصنة «Mysterious Team Bangladesh» تدعي أنها نفذت هجوم DDoS على العديد من مواقع الويب الحكومية الإماراتية. لإثبات إجراء هجوم DDoS ناجح، تمت مشاركة الأدلة جنبًا إلى جنب مع منشور Telegram الخاص بالممثل. شارك الممثلون روابط إلى تحقق من هوست.نت، وهي أداة ويب توفر معلومات في الوقت الفعلي حول ما إذا كان النطاق أو عنوان IP متاحًا ومستجيبًا - كلما حاول المستخدم الوصول إليه. (راجع الملحق لمزيد من التفاصيل)

‍

من المعروف أن المجموعة تستخدم هجمات DDOS لإلحاق الضرر بالمنظمات ذات السمعة الطيبة والبنية التحتية الحكومية.
‍

إن «Anonymous Sudan» وغيرها من مجموعات القرصنة البارزة التي تستهدف الإمارات العربية المتحدة لها دوافع جغرافية بسبب المخاوف السياسية المحيطة بالصراع في السودان والتورط الإماراتي المزعوم. تظهر المجموعات أوجه تشابه في أنماط الاستهداف والتركيز الجغرافي.

‍

‍

للملاحظة:
استنادًا إلى الملاحظة السابقة، شوهدت مجموعات القرصنة تستهدف نفس المجموعة من الكيانات الحكومية والمصرفية والتكنولوجيا المالية وغيرها بشكل متكرر، مع الأخذ في الاعتبار نجاحها في المرات القليلة الأولى. أيضًا، يتم ذلك إلى حد كبير للحفاظ على جاذبية حملاتهم واكتساب الدعاية.

‍

معلومات من البريد

المواقع التي استهدفتها مجموعة الهاكتيفيست في هذا الحادث هي:

المواقع الحكومية المستهدفة في هجوم DDoS

وزارة الدفاع: البوابة الحكومية الرسمية

وزارة الطاقة والبنية التحتية: وزارة الصحة والوقاية

معلومات هجمات DDoS والتخفيف من حدتها

لا تستخدم هذه المجموعات هجمات معقدة، فهي معروفة بشكل أساسي بـ DDOS والمسح الشامل للمعلومات الحساسة مثل النسخ الاحتياطية وملفات SQL المكشوفة. استنادًا إلى تحليل نشاط الخدمة وقناة Telegram، تمكنا من اكتشاف المنهجيات التي تستخدمها المجموعة لإجراء هجمات DDoS أو DOS على النحو التالي:

‍

الملف الشخصي لممثل التهديد: فريق غامض يُعرف أيضًا باسم Misterious_Team

‍

‍

‍TTPs جديدة للمجموعة

بعد تتبع المجموعة لبعض الوقت، حصلنا على معلومات تتعلق بمجموعة الأدوات الجديدة التي بدأوا في استخدامها، وهذا يشمل:

• مجموعة أدوات رافين-ستورم: إنها أداة تستند إلى Python ويمكن استخدامها لهجمات DDoS متعددة الطبقات. تدعم مجموعة الأدوات هجمات L3 (ping) وL4 (خدمات UDP/TCP) وكذلك L7 (مواقع الويب) لهجمات DDoS. تدعم الأداة أيضًا وضع الخادم الذي يربط مثيلات متعددة من عاصفة الغراب وينشئ شبكة بوت نت صغيرة. يمكن العثور على تحليل مفصل لمجموعة الأدوات في السابق مدونة.
• زركسيس: برنامج C بسيط تم استخدامه بواسطة 'جيستر'إلى DDoS ويكيليكس ومنذ ذلك الحين اكتسبت شعبية. يعمل الإطار من خلال الحفاظ على اتصال TCP الكامل. بعد إجراء اتصال TCP كامل، لا يتطلب الأمر سوى بضع مئات من الطلبات على المدى الطويل في فترات منتظمة.
• الهلك سفينة ثقيلة: برنامج آخر يعتمد على Python (تمت إعادة كتابته الآن في GO) والذي يرمز إلى «Http-unbearable-load-king» هو أداة DDoS أخرى. تستخدم هذه الأداة إجراءات Go-routines خفيفة الوزن لبدء عدد كبير من مجموعات الاتصال.

‍

TTPs السابقة للمجموعة

يمكن أن تُعزى المجموعة إلى إساءة استخدام طريقة هجوم HTTP Fluding و DDoS باستخدام نصوص برمجية متعددة لهجمات DDoS، تشبه TTP لمجموعة DragonForce.

• كان من الممكن استخدام أداة تسمى «./404found.my» لشن الهجمات على مواقع الويب المذكورة، بناءً على البيانات الحالية المتاحة. تم استخدام نفس الأداة وإساءة استخدامها من قبل مجموعة DragonForce لاستهداف موقع الويب المخضرم في الجيش الهندي وموقع BJP والمزيد في الماضي.
• تم إجراء المزيد من التفاصيل والتحليلات الإضافية للأداة في تقرير TTP الخاص بـ مجموعة دراجون فورس.

‍

التأثير والتخفيف

التأثير

• يمكن أن تجعل DDoS مواقع الويب أكثر عرضة للخطر لأن بعض ميزات الأمان قد تكون غير متصلة بالإنترنت بسبب الهجوم.
• يمكن أن تتسبب البنية التحتية التالفة في انهيار الخدمات التي يقدمها موقع الويب.
• تصبح مواقع الويب عرضة لمزيد من الهجمات.
• التناقضات للمستخدمين الذين يصلون إلى مواقع الويب والموارد المتأثرة

التخفيف

‍

• انشر موازنات التحميل لتوزيع حركة المرور.
• قم بتمكين آليات تحديد المعدل.
• قم بتكوين جدران الحماية وأجهزة التوجيه لتصفية حركة المرور وحظرها.
• استخدم شبكات توصيل المحتوى (CDNs) لتوزيع حركة المرور.
• تنفيذ تقنيات وخوارزميات الكشف عن الروبوتات - لتحديد طلبات الويب واسعة النطاق من الروبوتات التي تستخدمها الجهات الفاعلة لتنفيذ هجمات DDOS

‍

المراجع

• ^#بروتوكول إشارات المرور - ويكيبيديا
• https://cloudsek.com/threatintelligence/raven-storm-the-multi-threading-tool-employed-by-hacktivists-for-ddos-attacks

‍

الملحق

‍

‍

‍