وحدة USB تركت طريقًا مفتوحًا
في ديسمبر 2021، أُدخلت وحدة USB مصابة إلى مؤسسة أوكرانية. فتح مستخدم اختصارًا يبدو كأنه مجلد، فثُبّتت نسخة من ANDROMEDA، برنامج خبيث قديم ارتبط أصلًا بعمليات إجرامية واسعة. أعادت Mandiant بناء هذا المسار أثناء تحقيق نشرته في يناير 2023. كانت العينة تعود إلى سنوات سابقة، لكن الإصابة بقيت نافعة لمن يصل إلى قناة اتصالها. فقد ترك البرنامج القديم طريقًا يمكن استخدامه لاحقًا للوصول إلى الجهاز نفسه.
النطاق القديم يغيّر صاحبه
في سبتمبر 2022، وصلت أدوات مختلفة عبر ذلك الطريق. اكتشف الباحثون إعادة تسجيل ثلاثة نطاقات منتهية الصلاحية على الأقل، كانت تستخدمها ANDROMEDA كعناوين C2، أي القيادة والتحكم. يستطيع المالك الجديد بذلك تلقي اتصالات من أجهزة ما زالت مصابة، ثم انتقاء أهداف منها. في الحالة الأوكرانية، رُصدت أداة الاستطلاع KOPILUWAK والباب الخلفي QUIETCANARY الذي يستطيع إخراج الملفات. تتبعت Mandiant العملية باسم UNC4210، ورجحت صلتها بـ Turla. حمل البرنامج الإجرامي القديم اتصالًا صار في خدمة عملية تجسس أكثر انتقائية.
تمويه تحت تغطية القمر الصناعي
ظهرت طرق أخرى لإخفاء موضع المشغّل في أبحاث أقدم عن Turla. ففي 2015، شرحت Kaspersky طريقة تستفيد من استقبال الإنترنت عبر الأقمار الصناعية. كان بعض المرور الهابط غير مشفر، ويمكن التقاطه ضمن مساحة التغطية الواسعة، ثم استخدامه لتمويه اتصالات التحكم. صعّب ذلك تحديد موضع الخادم الفعلي ومصادرته. لا تتطلب الحيلة الاستيلاء على القمر الصناعي نفسه؛ تعتمد فائدتها على اتساع مساحة استقبال البيانات، بحيث يصعب حصرها في نقطة يستطيع المحقق الوصول إليها ومداهمتها.
وصول عبر برمجية إجرامية
في بحث نشرته Microsoft في ديسمبر 2024، عادت الفكرة عبر وسيط مختلف. خلال مارس وأبريل من ذلك العام، استخدم Secret Blizzard، وهو اسم يتقاطع نطاقه مع Turla، وصولًا توفره برمجية Amadey الإجرامية إلى أجهزة في أوكرانيا. جمع المشغّلون معلومات تساعد على انتقاء الأجهزة المهمة، ثم نشروا أدواتهم، ومنها Tavdig و KazuarV2، لدى أهداف عسكرية مختارة. أصبحت الإصابة الشائعة مرحلة استطلاع وفرز؛ ومن بين أجهزة كثيرة يختار المشغّل ما يستحق متابعة أطول. ربطت الشركة هذا السلوك بأولوية استخباراتية تسعى إلى الاحتفاظ بالوصول.
الباب الواحد قد يبدّل زوّاره
بقيت كيفية الحصول على وصول Amadey موضع تحقيق لدى Microsoft: قد يكون وصولًا اشتراه المشغّلون، وقد يكون استيلاءً سريًا على بنية طرف آخر. يغيّر هذا التفصيل قراءة الآثار التي يعثر عليها المدافع. ظهور عائلة برمجية إجرامية على الجهاز يخبره بأحد الأبواب المستخدمة، لكنه يحتاج إلى متابعة من دخل بعد ذلك، والأدوات التي أضيفت، والبيانات التي طُلبت. تبدأ قصتا ANDROMEDA و Amadey بإصابة مألوفة، ثم تضيق دائرة الاهتمام حول أهداف منتقاة. قد يبقى الباب نفسه فيما يتغير من يملك مفتاحه والغرض من عبوره.