وقالت شركة (لوك أوت) المتخصصة في أمن الهواتف المحمولة ومؤسسة إلكترونك فرونتير المعنية بالحقوق الرقمية في تقرير مشترك إن المديرية العامة للأمن العام في لبنان أدارت أكثر من عشر حملات على الأقل منذ عام 2012 تستهدف أساسا مستخدمي الهواتف التي تعمل بنظام التشغيل أندرويد في 21 بلدا على الأقل.
وقال الباحثون إن الهجمات، التي أحكمت السيطرة على هواتف أندرويد الذكية، سمحت للقراصنة بتحويلها إلى أجهزة لمراقبة ضحايا وبسرقة أي بيانات منها دون الكشف عن ذلك. ولم يعثر على أي دليل بأن مستخدمي هواتف أبل قد استُهدفوا، وهو ما قد يعكس ببساطة شعبية أندرويد في الشرق الأوسط.
واستخدم القراصنة المدعومون من الدولة، والذين أطلق معدو التقرير عليهم اسم "دارك كاراكال" أو (السنور الأسود) نسبة إلى قط بري يعيش في الشرق الأوسط، هجمات التصيد وغيرها من الحيل لإغراء الضحايا لتحميل إصدارات مزيفة من تطبيقات الرسائل المشفرة، مما يتيح للمهاجمين السيطرة الكاملة على أجهزة المستخدمين.
وقال مايكل فلوسمان، الباحث الأمني الرئيسي في إلكترونك فرونتير، لـ"رويترز" إن المؤسسة وشركة لوك أوت استفادتا من فشل مجموعة التجسس الالكتروني في لبنان في تأمين خوادم القيادة والتحكم الخاصة بهما، مما فتح فرصة لربطهم بالمديرية العامة للأمن العام في لبنان.
وأضاف في مقابلة عبر الهاتف: "بالنظر إلى الخوادم التي سجلت ذلك، وبالاقتران مع القدرة على التعرف على المحتوى المسروق للضحايا: أعطانا ذلك إشارة جيدة للغاية حول منذ متى كانوا يعملون".
ووفقا للتقرير فقد ركز قراصنة "دارك كاراكال" هجماتهم على مسؤولين حكوميين وأهداف عسكرية وخدمات ومؤسسات مالية وشركات صناعية وشركات عسكرية.
ووجد الباحثون أدلة تقنية تربط الخوادم المستخدمة لإدارة الهجمات بمقر المديرية العامة للأمن العام في بيروت عن طريق تحديد مواقع شبكات إنترنت لا سلكي (واي فاي) وعنوان بروتوكول إنترنت داخل أو بالقرب من المبنى. ولا يستطيع الباحثون القول على وجه اليقين ما إذا كانت الأدلة تثبت أن المديرية العامة للأمن العام مسؤولة عن ذلك أم أن هذا الأمر من فعل موظف مارق.
وقال الباحثون إن البرامج الخبيثة التي تثبت على الهاتف بإمكانها القيام بعدة مهام عن بعد مثل التقاط صور من الكاميرا الأمامية أو الخلفية وتفعيل مكبر الصوت الخاص بالهاتف سرا لتسجيل محادثات.
وردا على سؤال من "رويترز" عن المزاعم الواردة في التقرير، قال اللواء عباس إبراهيم مدير عام مديرية الأمن العام إنه يريد الاطلاع على التقرير قبل التعليق على مضمونه.
وأضاف: "ليس لدى الأمن العام مثل هذه القدرات… كنا نتمنى أن يكون لدينا هذه القدرات".
قال فريق مؤسسة إلكترونك فرونتير وشركة (لوك أوت) إنهم كشفوا كنزا ضخما حجمه مئات الجيجابايت من البيانات المسروقة من هواتف آلاف الضحايا شملت رسائل نصية واتصالات ومحادثات مشفرة ووثائق وتسجيلات صوتية وصورا.
وجرى تحديد مواقع الأهداف أساسا في لبنان والمنطقة المحيطة به بما في ذلك سوريا والسعودية، ولكن ليس إيران أو إسرائيل، وهما هدفان معتادان لهجمات التجسس الإلكترونية الحكومية. وقال الباحثون إن الضحايا يعيشون أيضا في خمس دول أوربية وروسيا والولايات المتحدة والصين وفيتنام وكوريا الجنوبية.
وأخطر الباحثون شركة جوجل، المطورة لنظام أندرويد، بما اكتشفوه في أواخر عام 2017. وقال متحدث باسم الشركة إن جوجل عملت بشكل وثيق مع الباحثين لتحديد التطبيقات المرتبطة بهذا الهجوم والتي لم يكن أي منها متاحا على متجر جوجل بلاي لمستخدمي هواتف أندرويد.
وأضاف المتحدث أن الشركة حدثت نظام حماية جوجل بلاي، وهو نظام أمني موحد للشركة يعمل على العديد من الهواتف الذكية التي تعمل بنظام أندرويد، وذلك لحماية المستخدمين من هذه التطبيقات الخبيثة وتسعى لإزالة تلك التطبيقات من أي هواتف متضررة.
واستعار المهاجمون رمزا لإنشاء برمجيات خبيثة خاصة بهم من مواقع المطور واعتمدوا بشكل كبير على الهندسة الاجتماعية لخداع الناس للنقر على روابط أرسلت لهم وتنقلهم إلى موقع يسمى سكيور أندرويد، وهو متجر وهمي لتطبيقات أندرويد.
وهناك يجري تشجيع المستخدمين على تحميل تطبيقات رسائل مشفرة وأدوات خصوصية مزيفة لكنها تعمل بشكل كامل منها واتساب وفايبر وسيجنال والتي يقول فلوسمان إنها تعد الضحايا ببرامج آمنة بشكل "أفضل من الأصلية".
ووجدت شركة (لوك أوت) روابط بين الهجمات المتصلة بلبنان وأخرى مرتبطة بحكومة قازاخستان في آسيا الوسطى عام 2016 في تقرير يحمل عنوان "دليل التشغيل" أصدرته مؤسسة إلكترونك فرونتير وخبراء آخرون.
واتفقت المجموعتان البحثيتان على العمل معا، وتعتقدان حاليا أن مجموعة قازاخستان كانت عميلا للقراصنة المتمركزين في لبنان.