الكشف عن حملة تجسس سيبراني تستخدم الذكاء الاصطناعي والتشفير المقاوم للحوسبة
كشف خبراء أمن المعلومات عن نتائج تحقيقات حملة التجسس السيبراني (Operation FlashHole)، التي تنسب إلى مجموعة الهجمات المتقدمة المستمرة Lazarus APT، حيث اعتمد المهاجمون على أساليب التصيد الاحتيالي الموجهة مستغلين لهذه الغاية برنامج CrossWeb EX، فنشروا برمجيات خبيثة محدثة، منها أدوات لم يسبق توثيقها أو اكتشافها باستخدام الذكاء الاصطناعي.
موجة جديدة من الهجمات
اكتشف فريق البحث والتحليل العالمى في كاسبرسكي (GReAT) موجة جديدة من الهجمات المرتبطة بعملية Operation SyncHole التابعة لمجموعة Lazarus، وذلك بعد رصدها للمرة الأولى في العام الماضي ومنذ ذلك الحين، طور المهاجمون أدواتهم وتقنياتهم، فأصبحت الحملة أشد تعقيدًا واستمرارية.
وضمن مجريات هذه الحملة، رصد الباحثون موقعًا إلكترونيًا عبر خدمة GitHub Pages مرتبطًا بحساب GitHub يُستخدم كقناة للتحكم والسيطرة (C2).
وقد أنشئ هذا الحساب في سبتمبر 2025، واستضاف في البداية موقعًا إلكترونيًا يعرض سيرة ذاتية لشخص يزعم بأنّه مطور أول لأجهزة الشبكات، وهو أسلوب استدراج يتشابه مع عملية Operation DreamJob، التي تعرف بأنها حملة رئيسية لجماعة Lazarus تركز على استدراج الضحايا بعروض عمل. وتضمنت الصفحة صورة فوتوغرافية مولدة بالذكاء الاصطناعي لشخص يدعي أنه يبحث عن عمل.
ويعتقد الباحثون أنّ المهاجمين استخدموا الذكاء الاصطناعي لتخصيص المواقع الإلكترونية الاحتيالية بما يلائم الجهة المستهدفة. وبدأت الحملة برسائل بريد إلكتروني للتصيد الاحتيالي الموجه تتضمن روابط لمواقع إلكترونية مزيفة تعرض سيرًا ذاتية ونماذج أعمال، بحيث تكون مصممة خصيصًا لتلائم كل جهة مستهدفة على حدة.
ورجّحت نتائج البحث أنّ زيارة الموقع الخبيث أطلقت عملية إصابة شملت برنامج CrossWeb EX، وهو إضافة أمنية وبرنامج مصادقة إلكترونية يشيع استخدامه في كوريا الجنوبية. ويحتمل أن بداية النشاط الخبيث سببُها ثغرة أمنية محتملة في برنامج CrossWeb EX، بحيث منحت المهاجمين منفذًا أوليًا للوصول.
ويشار إلى أنّ تحذيرًا أمنيًا قد نُشر في السابق لتأكيد وجود ثغرة أمنية في برنامج حماية الأمن المالي. ومن خلال تحليلٍ مفصّل، توصل الباحثون إلى مجموعة من الحمولات الخبيثة وأعادوا تشكيل سلسلة العدوى، فكشفوا بذلك إطار عمل متطور لنشر البرمجيات الخبيثة، وتقنيات متقدمة لإخفاء الأنشطة الخبيثة في الأنظمة المستهدفة.
تثبيت برمجيات خبيثة إضافية وتنفيذ أوامر على الحواسيب المصابة
دمج المهاجمون بين إصدارات محدثة من برمجيات خبيثة مع أداتين لم تُرصدا في السابق، وهما TouchHub وClientHub، حيث تعمل هذه المكونات على تثبيت برمجيات خبيثة إضافية، وتنفيذ أوامر على الحواسيب المصابة، والتواصل مع المهاجمين بغرض التجسس السيبراني. وتتميز إحدى الأداتين الجديدتين بوجود إصدار معدل يستخدم Dropbox للتواصل مع مشغليها.
وتعتمد هذه الحملة الخبيثة على إصدار محدث من LPEClient، وهي أداة قديمة من تطوير مجموعة Lazarus يمكنها جمع معلومات عن الحواسيب المصابة وإرسال برمجيات خبيثة إضافية. حيث يجمع الإصدار المحدث من الأداة معلومات عن برامج الحماية المثبتة في الحواسيب، وحماية نظام ويندوز، وخصائص النظام الأخرى، ثم يضغط هذه المعلومات كلها ويشفرها قبل إرسالها إلى المهاجمين.
كما يستخدم الإصدار المحدث من أداة LPEClient تقنية ML-KEM-1024، وهي آلية تشفير لمواجهة الحوسبة الكمومية مصممة لحماية الاتصالات من الهجمات التي يحتمل أن تشنها الحواسيب الكمومية مستقبلًا، حيث تعتمد الأداة على هذه الآلية لإنشاء اتصال مشفر مع خادم المهاجمين قبل تحميل وتشغيل برمجيات خبيثة إضافية مباشرة في ذاكرة النظام.
ولتفادي الاكتشاف، تحاول الأداة تجاوز أنظمة المراقبة الأمنية من خلال تعديل خصائص حماية الذاكرة، وتعطيل آليات المراقبة التي تستخدمها الأدوات الأمنية لاكتشاف الأنشطة المشبوهة في النظام.
قال سوجون ريو، وهو باحث أمني رئيسي في فريق البحث والتحليل العالمي في كاسبرسكي: «تواصل مجموعة Lazarus توسيع نطاق عملياتها، وتطلق حملات جديدة تستخدم أدوات جديدة وإصدارات معدلة من أدوات معروفة سابقًا لتحقيق أهدافها.
دمج الذكاء الاصطناعي
وأضاف سوجون ريو: يشير تحقيقنا بخصوص عملية Operation FlashHole، جنبًا إلى جنب مع أدلة أخرى من تحقيقات سابقة، إلى أنّ المجموعة باشرت دمج الذكاء الاصطناعي ضمن أساليبها المعتمدة في عملياتها، وهو تحول رصدناه سابقًا لدى جهات تهديد أخرى مرتبطة بمجموعة Lazarus.
ومما يستدعي اهتمامًا خاصًا هو تبني المجموعة لتقنيات تشفير يمكنها الاستمرار والصمود في وجه التحديات الكمومية مستقبلًا.. وتكشف نتائجنا أن المجموعة بدأت في استخدام هذه التقنيات منذ سبتمبر 2024 على أقل تقدير؛ مما يعني أنها كانت تحمي اتصالات برمجياتها الخبيثة قبل عام أو أكثر من اكتشاف هذه العملية.
