كشف خبراء أمن المعلومات عن تفاصيل جديدة لحملة التجسس السيبراني «Operation FlashHole»، المرتبطة بمجموعة الهجمات المتقدمة المستمرة «Lazarus APT»، والتي اعتمدت على التصيد الاحتيالي الموجه واستغلال برنامج «CrossWeb EX» لنشر برمجيات خبيثة متطورة، من بينها أدوات لم يسبق توثيقها أو اكتشافها.
ووفقًا لنتائج تحقيقات فريق البحث والتحليل العالمي «GReAT» التابع لشركة كاسبرسكي، تأتي الحملة في سياق تطور مستمر في أساليب مجموعة Lazarus، التي عملت على تحديث أدواتها وتقنياتها، بما يجعل هجماتها أكثر تعقيدًا وقدرة على الاستمرار داخل الأنظمة المستهدفة.
مواقع مزيفة وسير ذاتية مولدة بالذكاء الاصطناعي
رصد الباحثون موقعًا إلكترونيًا مستضافًا عبر خدمة GitHub Pages، ومرتبطًا بحساب على منصة GitHub يُستخدم قناة للتحكم والسيطرة على الأجهزة المصابة.
وأُنشئ الحساب في سبتمبر 2025، واستضاف في البداية موقعًا يعرض سيرة ذاتية لشخص يدعي أنه مطور أول لأجهزة الشبكات، في أسلوب استدراج يشبه حملة «Operation DreamJob» المعروفة باستهداف الضحايا من خلال عروض العمل الوهمية.
كما تضمنت الصفحة صورة لشخص يُعتقد أنها مولدة بالذكاء الاصطناعي، ويزعم أنه يبحث عن فرصة عمل. ورجّح الباحثون استخدام هذه التقنية لتخصيص المواقع الاحتيالية بما يتناسب مع الجهات المستهدفة.
وبدأت الهجمات برسائل بريد إلكتروني موجهة تتضمن روابط إلى مواقع مزيفة تعرض سيرًا ذاتية ونماذج أعمال مصممة بما يلائم كل جهة على حدة، في محاولة لإقناع الضحايا بزيارة المواقع وبدء سلسلة الإصابة.
استغلال برنامج CrossWeb EX لنشر البرمجيات الخبيثة
ورجّح التحقيق أن زيارة المواقع الخبيثة أدت إلى بدء عملية إصابة مرتبطة ببرنامج «CrossWeb EX»، وهو برنامج أمني للمصادقة الإلكترونية واسع الاستخدام في كوريا الجنوبية، مع احتمال استغلال ثغرة أمنية فيه للوصول الأولي إلى الأجهزة المستهدفة.
وتمكن الباحثون، من خلال تحليل الحمولات الخبيثة، من إعادة بناء سلسلة العدوى والكشف عن إطار عمل متطور لنشر البرمجيات الضارة وإخفاء الأنشطة المشبوهة داخل الأنظمة المصابة.
أداتان جديدتان للتجسس وتنفيذ الأوامر
ووفقًا للتحقيق، دمج المهاجمون إصدارات محدثة من برمجيات خبيثة مع أداتين لم يسبق رصدهما، هما «TouchHub» و«ClientHub»، وتُستخدمان لتثبيت برمجيات إضافية وتنفيذ الأوامر على الحواسيب المصابة والتواصل مع المهاجمين.
ويتميز أحد الإصدارات المعدلة باستخدام خدمة Dropbox للتواصل مع مشغلي الأداة، بما يتيح قناة إضافية لإدارة الأنشطة الخبيثة.
كما استخدمت الحملة إصدارًا مطورًا من أداة «LPEClient»، المعروفة بارتباطها بمجموعة Lazarus، لجمع معلومات عن الأجهزة المصابة وبرامج الحماية المثبتة عليها وخصائص نظام التشغيل، ثم ضغط البيانات وتشفيرها قبل إرسالها إلى المهاجمين.
تشفير مقاوم للتهديدات الكمومية ومحاولات لتجاوز أنظمة الحماية
ومن أبرز التطورات التي رصدها الباحثون استخدام أداة LPEClient لآلية التشفير «ML-KEM-1024»، المصممة لمقاومة الهجمات التي قد تستهدف أنظمة التشفير باستخدام الحواسيب الكمومية مستقبلًا.
وتستخدم الأداة هذه التقنية لإنشاء اتصال مشفر مع خادم المهاجمين، قبل تحميل برمجيات خبيثة إضافية وتشغيلها مباشرة في ذاكرة النظام.
ولتعزيز قدرتها على التخفي، تحاول الأداة تعديل خصائص حماية الذاكرة وتعطيل بعض آليات المراقبة التي تعتمد عليها الحلول الأمنية لرصد الأنشطة المشبوهة.
كاسبرسكي: مؤشرات على توظيف الذكاء الاصطناعي في الهجمات
وقال سوجون ريو، الباحث الأمني الرئيسي في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن مجموعة Lazarus تواصل توسيع نطاق عملياتها من خلال إطلاق حملات جديدة تستخدم أدوات مبتكرة وإصدارات معدلة من برمجيات معروفة لتحقيق أهدافها.
وأضاف أن نتائج التحقيق في عملية «Operation FlashHole»، إلى جانب أدلة من تحقيقات سابقة، تشير إلى بدء المجموعة دمج الذكاء الاصطناعي ضمن أساليبها التشغيلية، وهو اتجاه سبق رصده لدى جهات تهديد أخرى مرتبطة بها.
وأشار ريو إلى أن استخدام تقنيات التشفير المقاومة للتهديدات الكمومية يستدعي اهتمامًا خاصًا، موضحًا أن نتائج التحقيق تشير إلى أن المجموعة بدأت استخدام هذه التقنيات منذ سبتمبر 2024 على الأقل، أي قبل اكتشاف الحملة بأكثر من عام.
وتسلط نتائج التحقيق الضوء على تطور أساليب التجسس السيبراني، مع الجمع بين التصيد الموجه والأدوات الخبيثة المتقدمة والتشفير الحديث وتقنيات التخفي، ما يعزز أهمية تحديث أنظمة الحماية ورفع الوعي بمخاطر الروابط والمواقع ورسائل البريد الإلكتروني المشبوهة.
