ملف عن لقاء سياسي
في 2 يونيو 2021، وثقت Proofpoint رسالة تحمل ملف PDF عن لقاء مزعوم بين وفد من Hamas وممثلين للنظام السوري. كُتب البريد والملف المموه بالعربية، وحمل المستند رابطًا إلى أرشيف محمي بكلمة مرور وردت في نصه. داخل الأرشيف وُضع ملف تنفيذي يبدو اسمه امتدادًا للخبر، لكنه يُثبّت LastConn، أداة للمجموعة التي تتعقبها الشركة باسم TA402، والمتداخلة مع Molerats. جاءت الرسالة ضمن عودة نشاط أسبوعي بعد توقف في النشاط المرصود منذ مارس. لم يثبت المحققون سبب التوقف؛ ما أمكنهم توثيقه هو استئناف إرسال الرسائل الخادعة إلى جهات حكومية ودبلوماسية تهتم بأحداث الشرق الأوسط.
لغة الجهاز شرط للتشغيل
كان الطريق إلى LastConn انتقائيًا على أكثر من مستوى. في حملات العام نفسه، قادت الروابط بعض الزوار إلى أرشيف خبيث، بينما حُوّل آخرون إلى موقع إخباري عادي؛ ورجّح الباحثون ارتباط ذلك بموقع عنوان IP. ثم فحصت البرمجية وجود حزمة لغة عربية وتفاعل المستخدم بالفأرة قبل متابعة وظائفها. جعلت هذه الشروط تشغيل العينة آليًا في بيئة تحليل مغلقة أقل فائدة للمحقق. وبعد التشغيل، استخدم LastConn حساب Dropbox لتبادل الأوامر ورفع الملفات ولقطات الشاشة، مع مجلد خاص يجمع اسم الحاسوب والمستخدم. حتى توقيت آخر نشاط سُجل في ملف على الخدمة، ومنه جاء اسم البرمجية.
نطاق باسم أحذية في طريق الخبر
في نوفمبر 2021، عادت رسالة تتظاهر بأنها من Quora، لكن رابطها مر عبر نطاق يبدو اسمه مخصصًا لبيع أحذية Ugg. خلف هذا الاسم وُضع اختبار جغرافي: يحصل القادم من المنطقة المختارة على أرشيف يحوي NimbleMamba، ويصل الآخر إلى صحيفة عربية مشروعة. وبعد شهر انتقلت بعض الرسائل مباشرة إلى روابط Dropbox، فلم تعد هذه المرحلة تتيح الفرز الجغرافي نفسه. ثم أُضيف موقع WordPress ينتحل صفة مجمّع أخبار، ليعيد الفصل بين الزوار. تتبعت Proofpoint التعديلات الثلاثة بين نوفمبر 2021 ويناير 2022، ضد حكومات ومراكز أبحاث في السياسة الخارجية وشركة طيران مرتبطة بدولة.
تعطيل حسابات استُخدمت للتجسّس
نفّذ NimbleMamba فحوصه الخاصة أيضًا، بالتحقق من موقع الجهاز أو وجود العربية، ثم استخدم Dropbox للتحكم وإخراج البيانات. وجلب إعداداته من JustPasteIt، وحمل وظائف لالتقاط الشاشة واستطلاع العمليات، مع برنامج إضافي سمّاه الباحثون BrittleBush في بعض الحزم. ربط التحقيق حسابات LastConn القديمة بحسابات توزيع NimbleMamba وتخزين المعلومات التي جُمعت، ما دعم إسنادها إلى المشغلين أنفسهم رغم محدودية التشابه البرمجي. شاركت Proofpoint نتائجها مع Dropbox قبل النشر في فبراير 2022، وعطّل فريق الخدمة الحسابات المرتبطة. هذه كانت نتيجة التحقيق العملية: قطع قنوات محددة بُنيت داخل خدمة مشروعة، بعد كشف طريقة تتغير حسب الشخص الذي يفتح الرابط.