خلال فعاليات قمة محللي الأمن السيبراني 2026 في مدينة بالي في إندونيسيا، استعرض فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) نتائج تحقيقاته عن حملة التجسس السيبراني (Operation FlashHole)، التي تنسب إلى مجموعة الهجمات المتقدمة المستمرة Lazarus APT. حيث انطلق نشاط هذه الحملة منذ شهر يوليو 2025 على أقل تقدير، وقد طالت أضرارها ما لا يقل عن ثلاث مؤسسات كورية جنوبية تعمل في قطاعات البناء، والبرمجيات، وتصنيع معدات الاتصالات السلكية. واعتمد المهاجمون على أساليب التصيد الاحتيالي الموجهة مستغلين لهذه الغاية برنامج CrossWeb EX، فنشروا برمجيات خبيثة محدثة، منها أدوات لم يسبق توثيقها أو اكتشافها.
اكتشف فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) موجة جديدة من الهجمات المرتبطة بعملية Operation SyncHole التابعة لمجموعة Lazarus، وذلك بعد رصدها للمرة الأولى في العام الماضي. ومنذ ذلك الحين، طور المهاجمون أدواتهم وتقنياتهم، فأصبحت الحملة أشد تعقيداً واستمرارية.
وضمن مجريات هذه الحملة، رصد الباحثون موقعاً إلكترونياً عبر خدمة GitHub Pages مرتبطاً بحساب GitHub يُستخدم كقناة للتحكم والسيطرة (C2). وقد أنشئ هذا الحساب في سبتمبر 2025، واستضاف في البداية موقعاً إلكترونياً يعرض سيرة ذاتية لشخص يزعم بأنّه مطور أول لأجهزة الشبكات، وهو أسلوب استدراج يتشابه مع عملية Operation DreamJob، التي تعرف بأنها حملة رئيسية لجماعة Lazarus تركز على استدراج الضحايا بعروض عمل. وتضمنت الصفحة صورة فوتوغرافية مولدة بالذكاء الاصطناعي لشخص يدعي أنه يبحث عن عمل. ويعتقد باحثو كاسبرسكي أنّ المهاجمين استخدموا الذكاء الاصطناعي لتخصيص المواقع الإلكترونية الاحتيالية بما يلائم الجهة المستهدفة. وبدأت الحملة برسائل بريد إلكتروني للتصيد الاحتيالي الموجه تتضمن روابط لمواقع إلكترونية مزيفة تعرض سيراً ذاتية ونماذج أعمال، بحيث تكون مصممة خصيصاً لتلائم كل جهة مستهدفة على حدة.
ورجّحت نتائج البحث أنّ زيارة الموقع الخبيث أطلقت عملية إصابة شملت برنامج CrossWeb EX، وهو إضافة أمنية وبرنامج مصادقة إلكترونية يشيع استخدامه في كوريا الجنوبية. ويحتمل أن بداية النشاط الخبيث سببُها ثغرة أمنية محتملة في برنامج CrossWeb EX، بحيث منحت المهاجمين منفذاً أولياً للوصول. ويشار إلى أنّ تحذيراً أمنياً قد نُشر في السابق لتأكيد وجود ثغرة أمنية في برنامج حماية الأمن المالي. ومن خلال تحليلٍ مفصّل، توصل الباحثون إلى مجموعة من الحمولات الخبيثة وأعادوا تشكيل سلسلة العدوى، فكشفوا بذلك إطار عمل متطور لنشر البرمجيات الخبيثة، وتقنيات متقدمة لإخفاء الأنشطة الخبيثة في الأنظمة المستهدفة.
دمج المهاجمون بين إصدارات محدثة من برمجيات خبيثة مع أداتين لم تُرصدا في السابق، وهما TouchHub وClientHub. حيث تعمل هذه المكونات على تثبيت برمجيات خبيثة إضافية، وتنفيذ أوامر على الحواسيب المصابة، والتواصل مع المهاجمين بغرض التجسس السيبراني. وتتميز إحدى الأداتين الجديدتين بوجود إصدار معدل يستخدم Dropbox للتواصل مع مشغليها.
وتعتمد هذه الحملة الخبيثة على إصدار محدث من LPEClient، وهي أداة قديمة من تطوير مجموعة Lazarus يمكنها جمع معلومات عن الحواسيب المصابة وإرسال برمجيات خبيثة إضافية. حيث يجمع الإصدار المحدث من الأداة معلومات عن برامج الحماية المثبتة في الحواسيب، وحماية نظام ويندوز، وخصائص النظام الأخرى، ثم يضغط هذه المعلومات كلها ويشفرها قبل إرسالها إلى المهاجمين.
كما يستخدم الإصدار المحدث من أداة LPEClient تقنية ML-KEM-1024، وهي آلية تشفير لمواجهة الحوسبة الكمومية مصممة لحماية الاتصالات من الهجمات التي يحتمل أن تشنها الحواسيب الكمومية مستقبلاً. حيث تعتمد الأداة على هذه الآلية لإنشاء اتصال مشفر مع خادم المهاجمين قبل تحميل وتشغيل برمجيات خبيثة إضافية مباشرة في ذاكرة النظام. ولتفادي الاكتشاف، تحاول الأداة تجاوز أنظمة المراقبة الأمنية من خلال تعديل خصائص حماية الذاكرة، وتعطيل آليات المراقبة التي تستخدمها الأدوات الأمنية لاكتشاف الأنشطة المشبوهة في النظام.
يعلق على هذه المسألة سوجون ريو، وهو باحث أمني رئيسي في فريق البحث والتحليل العالمي في كاسبرسكي: «تواصل مجموعة Lazarus توسيع نطاق عملياتها، وتطلق حملات جديدة تستخدم أدوات جديدة وإصدارات معدلة من أدوات معروفة سابقاً لتحقيق أهدافها. ويشير تحقيقنا بخصوص عملية Operation FlashHole، جنباً إلى جنب مع أدلة أخرى من تحقيقات سابقة، إلى أنّ المجموعة باشرت دمج الذكاء الاصطناعي ضمن أساليبها المعتمدة في عملياتها، وهو تحول رصدناه سابقاً لدى جهات تهديد أخرى مرتبطة بمجموعة Lazarus. ومما يستدعي اهتماماً خاصاً هو تبني المجموعة لتقنيات تشفير يمكنها الاستمرار والصمود في وجه التحديات الكمومية مستقبلاً. وتكشف نتائجنا أن المجموعة بدأت في استخدام هذه التقنيات منذ سبتمبر 2024 على أقل تقدير، مما يعني أنها كانت تحمي اتصالات برمجياتها الخبيثة قبل عام أو أكثر من اكتشاف هذه العملية.»
يمكنكم الاطلاع على التقرير الكامل عبر الموقع الإلكتروني Securelist.com.
وللحماية من هجمات وحملات مجموعة Lazarus، مثل عملية Operation FlashHole، ينبغي للمؤسسات اتباع أفضل الممارسات التالية:
· واظب على تدريب الموظفين لتمكينهم من التعرف على محاولات التصيد الاحتيالي الموجهة، وتحقق من رسائل البريد الإلكتروني والروابط غير المتوقعة، حتى إذا وجهتك إلى مواقع إلكترونية مهنية وموثوقة، وأبلغ الفريق الأمني في الشركة بأي رسائل مشبوهة واردة.
· احرص على تحديث البرمجيات وتطبيق التحديثات الأمنية فور صدورها، وواظب على إجراء تقييم دوري للثغرات الأمنية في التطبيقات المهمة للأعمال، وقم بتعطيل المكونات غير الضرورية لتقليص خطر الاستغلال.
· قم بتقييد صلاحيات الوصول للمستخدمين، وراقب الاتصالات مع الخدمات السحابية تحسباً لاستغلالها لأغراض التحكم والسيطرة.
· لحماية مؤسستك من مجموعة واسعة من التهديدات، ومن ضمنها الأدوات المستخدمة في عملية Operation FlashHole، ينصح باستخدام خط منتجات Kaspersky Next التي توفر حماية فورية، وتقدم رؤية شاملة للتهديدات، وتوفر قدرات التحقق والاستجابة عبر تقنيات حماية النقاط الطرفية (EDR) والكشف والاستجابة الموسعة (XDR) للشركات بمختلف أحجامها وقطاعاتها. يمكنك اختيار فئة المنتج الأنسب وفقاً لاحتياجاتك الحالية ومواردك المتاحة، كما يمكنك الانتقال بسهولة إلى فئة أخرى إذا تغيرت متطلبات الأمن السيبراني في شركتك.
· استعن بخدمات الأمن المدارة من كاسبرسكي مثل تقييم حالة الاختراق، وخدمة الاكتشاف والاستجابة المدارة (MDR)، و/أو الاستجابة للحوادث، فهذه الخدمات تغطي عملية إدارة الحوادث كلها؛ بدءاً بتحديد واكتشاف التهديدات السيبرانية وانتهاء بتوفير الحماية المستمرة والمعالجة. وتحميك هذه الخدمات من الهجمات السيبرانية المعقدة، وتحقق في الحوادث السيبرانية، وتمنحك خبرات إضافية إذا افتقرت شركتك إلى اختصاصيي الأمن السيبراني.
· زوّد خبراء أمن المعلومات برؤى معمّقة عن التهديدات السيبرانية التي تستهدف مؤسستك. ويمنحهم الإصدار الأحدث من حل استخبارات التهديدات Kaspersky Threat Intelligence سياقاً غنياً ومتكاملاً يغطي عملية إدارة الحوادث كلها، ويساعدهم في اكتشاف المخاطر والتهديدات السيبرانية في الوقت المناسب.
