يقوم المتسللون باختراق الضحايا الذين تم اختراقهم من قبل قراصنة آخرين

مستخدمو الإنترنت العاديون والشركات ليسوا الضحايا الوحيدين للمتسللين الخبيثين. في بعض الأحيان، يتم اختراق المتسللين أنفسهم.

وهذا ما حدث في حملة قرصنة غير عادية، حيث استهدفت مجموعة غير معروفة من المتسللين الأنظمة التي تم اختراقها بالفعل من قبل مجموعة جرائم إلكترونية غزيرة الإنتاج تعرف باسم TeamPCP. بمجرد اقتحام المتسللين لتلك الأنظمة، قاموا على الفور بطرد قراصنة TeamPCP وإزالة أدواتهم، وفقًا لتقرير جديد صادر عن شركة الأمن السيبراني SentinelOne.

ومن هناك، يستخدم المتسللون وصولهم لنشر تعليمات برمجية مصممة للنسخ عبر بنية تحتية سحابية مختلفة مثل فيروس متنقل ذاتي الانتشار، وسرقة أنواع مختلفة من بيانات الاعتماد، وأخيرًا إرسال البيانات المسروقة مرة أخرى إلى البنية التحتية الخاصة بهم.

TeamPCP هي مجموعة إجرامية إلكترونية تصدرت عناوين الأخبار في الأسابيع القليلة الماضية، وذلك بفضل سلسلة من الاختراقات البارزة المنسوبة إلى المجموعة. تضمنت هذه الاختراقات اختراقًا للبنية التحتية السحابية للمفوضية الأوروبية، وهجومًا إلكترونيًا واسع النطاق ضد أداة فحص الثغرات الأمنية المستخدمة على نطاق واسع Trivvy، والتي أثرت على أي شركة تعتمد عليها، بما في ذلك LiteLLM وشركة توظيف الذكاء الاصطناعي Mercor، من بين شركات أخرى.

وقال أليكس ديلاموت، كبير الباحثين في SentinelOne، الذي اكتشف حملة القرصنة الجديدة وأطلق عليها اسم “PCPJack”، لـ TechCrunch، إنه ليس من الواضح من يقف وراءها. في هذه المرحلة، قالت ديلاموت إن نظرياتها الثلاث هي أن المتسللين إما أعضاء سابقون ساخطون في TeamPCP، أو جزء من مجموعة منافسة، أو طرف ثالث “اختار تصميم أدوات الهجوم الخاصة بهم بشكل مباشر على حملات TeamPCP السابقة”، والتي استهدف الكثير منها البنية التحتية السحابية.

وقال ديلاموت: “إن الخدمات التي استهدفها PCPJack تشبه إلى حد كبير حملات TeamPCP في الفترة من ديسمبر إلى يناير، قبل التغيير المزعوم في عضوية المجموعة الذي حدث في فبراير ومارس”.

وأشار ديلاموت أيضًا إلى أن المتسللين لا يستهدفون الأنظمة التي تم اختراقها بواسطة TeamPCP فحسب، بل يقومون أيضًا بفحص الإنترنت بحثًا عن الخدمات المكشوفة مثل النظام الأساسي السحابي للأجهزة الافتراضية Docker وقواعد البيانات التي تقوم بتشغيل MongoDB وغيرها. لكن SentinelOne قال إن المجموعة بدت وكأنها تركز إلى حد كبير على استهداف TeamPCP.

وفقًا للتقرير، تحتفظ أدوات المتسللين الخاصة بإحصاء لعدد الأهداف المخترقة حيث نجحوا في طرد TeamPCP عن طريق إرسال هذه المعلومات مرة أخرى إلى بنيته التحتية.

يبدو أن أهداف قراصنة PCPJack مالية بحتة، حيث يقومون بسرقة بيانات الاعتماد مع التركيز على تحقيق الدخل منها. يقوم المتسللون بذلك عن طريق إعادة بيعها، وبيع الوصول إلى الأنظمة المخترقة بما يسمى وسطاء الوصول الأولي – المتسللون الذين يقتحمون الأنظمة ثم يسمحون للعملاء بالدفع إلى الأجهزة المخترقة، أو عن طريق ابتزاز الضحايا مباشرة.

ومع ذلك، لا يحاول المتسللون تثبيت برنامج لتعدين العملات المشفرة على الأنظمة المخترقة، ويرجع ذلك على الأرجح إلى أن هذه الإستراتيجية تتطلب المزيد من الوقت لجني المكافآت، وفقًا لديلاموت.

وكجزء من بعض هجماتهم، يستخدم المتسللون النطاقات التي تشير إلى أنهم يقومون بالتصيد الاحتيالي للحصول على بيانات اعتماد مدير كلمات المرور ويستخدمون مواقع مكتب المساعدة المزيفة، وفقًا لديلاموت.