ساهمت مختبرات كاسبرسكي في القبض على مشتبهين كانوا يشكلون جزءًا من عصابة “لورك” Lurk الإلكترونية المشتبه بتورطها في عدة جرائم منها سرقة ما يزيد عن 45 مليون دولار من عدد من الشركات والمصارف في روسيا؛ حيث تعتبر لورك من أكبر عصابات القرصنة المالية التي ألقي القبض عليها في السنوات الأخيرة.
ووفقاً لنتائج تحليلات بنية تكنولوجيا المعلومات الكامنة وراء برمجية Lurk الخبيثة، كان مشغلو هذه البرمجية يقومون بوضع وتأجير هذه الأداة إلى مجرمي الإنترنت الآخرين، وهذه الأداة التي تعرف باسم Angler، وهي عبارة عن مجموعة من البرمجيات الخبيثة القادرة على استغلال الثغرات الأمنية في برامج الحاسوب المختلفة وزرع برمجيات خبيثة إضافية خلسة في أجهزة الكمبيوتر.
وقد بقيت أداة Angler ولسنوات طويلة من أقوى أدوات القرصنة المتاحة لمجرمي الإنترنت من وراء الكواليس. ويعود تاريخ وجود الأداة إلى أواخر عام 2013، حيث قامت العديد من العصابات الإلكترونية باستخدامها لنشر البرمجيات الخبيثة المختلفة مثل البرامج الخاصة بالدعايات الإعلانية والبرمجيات الخبيثة المستهدفة للقنوات المصرفية وبرمجيات الفدية.
وقد تم استخدام هذه الأداة بشكل فعال من جانب العصابة المسؤولة عن برنامج الفدية الخبيثة Cryptxxx الذي يعتبر أحد أخطر التهديدات على الإنترنت، فضلا عن استخدامها في برنامج Teslacrypt وغيرها. بالإضافة إلى استخدام الأداة لنشر برمجية حصان الطروادة المصرفية الخبيثة المعروفة باسم، Neverquest والتي تم وضعها لمهاجمة ما يقارب من 100 بنك مختلف، إلا أنه قد تم تعطيل عمليات Angler مباشرة بعد القبض على عصابة لورك .
وأظهر البحث الذي أجراه الخبراء في مختبرات كاسبرسكي، أنه قد تم بناء أداة Angler أساسا لهدف واحد وهو لتوفير قناة توصيل فعالة وموثوقة لعصابة لورك، ليمكّن برمجيتها المصرفية الخبيثة من استهداف أجهزة الكمبيوتر. ونظرا لأن Lurk هي نوع من العصابات التي تلتزم السرية الإنغلاق الشديد في أعمالها فقد حافظت على الهيمنة الكاملة على بنيتها التحتية بدلا من محاولة شراء برامج من عصابات أخرى كما يفعل الباقون. ولكن في عام 2013، تغيرت الأمور بالنسبة للعصابة، حيث قامت بفتح المجال لتأجير هذه الأداة لكل من يرغب في الدفع.
وقال رسلان ستويانوف، رئيس إدارة تحقيقات حالات اختراق الحواسيب في مختبرات كاسبرسكي: “إن قرار عصابة Lurk لاتاحة المجال لاستخدام وتأجير أداة Angler قد كان ناتجاً عن الحاجة إلى سداد الفواتير المالية. ففي الوقت الذي أتاحت العصابة الأداة للإيجار، لوحظ تناقص أرباحها من الأنشطة الرئيسية المتمثلة في السطو الإلكتروني على أموال الشركات نتيجة الإجراءات الأمنية التي تم تطبيقها من قبل مطوري برامج التحكم بالأنظمة المصرفية عن بعد، وهذا جعل الأمر أكثر صعوبة على هؤلاء المهاجمين، ومع كثرة الالتزامات والمصاريف وتزايد عدد الموظفين، فقد قرر المهاجمون توسيع أعمالهم، واستطاع تحقيق النجاح في ذلك إلى حد ما. وفي حين كانت Angler بمثابة الأداة المستخدمة لنشر برمجية حصان الطروادة المصرفية الخبيثة تشكل تهديداً يقتصر فقط على المؤسسات الروسية، إلا أنه فيما بعد توسع نطاق تهديدها حيث استخدمت لشن هجمات ضد مستخدمين آخرين حول العالم”.
تجدر الإشارة إلى أن أداة Angler ليست النشاط الوحيد الجانبي لعصابة لورك، فعلى مدى أكثر من خمس سنوات انتقلت العصابة من إنتاج البرمجيات الخبيثة الفاعلة في مجال سرقة الأموال تلقائياً عن طريق برامج نظام الخدمات المصرفية عن بعد إلى أنظمة السرقة المعقدة والتي تتضمن استخدام بطاقات SIM المزيفة ومختصي القرصنة الخبراء في البنى التحتية المصرفية.