كشفت فرق بحثية عن سلسلة هجوم جديدة نسبيًا من حيث البصمة التقنية، لكنها مألوفة من حيث المنطق: استدراج الضحية عبر رسالة بريد إلكتروني مُوجّه، ثم تشغيل سلسلة تحميل متعددة المراحل تُقسّم “ذكاء” البرمجية الخبيثة إلى أجزاء متفرقة. في هذه الحالة، ظهر إطار تحميل مبني على Go يُعرف باسم [HollowFrame]، إلى جانب عائلة برمجيات خبيثة مبنية على Rust رُصدت تحت اسم [Matryoshka].

القصة ليست مجرد أسماء تقنية. ما يهم خبراء الدفاع هو كيف صُممت السلسلة لتقليل قابلية الاكتشاف، وتعزيز الاستمرارية، وتمكين السيطرة عن بُعد على الأنظمة المستهدفة—مع تقليل المعلومات المتاحة في كل مرحلة على حدة. هذا النمط يعكس اتجاهًا متزايدًا في عالم الهجمات: تقسيم السلوك الخبيث إلى طبقات بحيث لا يرى نظام الحماية “الصورة الكاملة” إلا بعد فوات الأوان.

لماذا هذه الواقعة مهمة لأمن المؤسسات؟

بحسب الشركة البحثية Blackpoint Cyber، استهدفت السلسلة موقعين على الأقل داخل جهة قانونية (لم تُذكر الدولة أو اسم الشركة). القطاع القانوني—مثل غيره من القطاعات المعتمدة على البيانات الحساسة—يمتلك عادةً ما يجعل الهجمات أكثر إغراءً: وثائق قضائية، سجلات عملاء، بيانات مالية، وصول إلى أنظمة أرشفة وتعاون داخلية. وفي سيناريوهات التجسس، لا تكون الغاية دائمًا “تشفير الملفات”؛ بل قد تكون سرقة بيانات، أو التهيؤ لحركة جانبية داخل الشبكة، أو التحضير لعمليات ابتزاز أو تضليل.

الأهم أن هذه السلسلة لا تتوقف عند اختراق أولي. الباحثون أشاروا إلى أن دمج [HollowFrame] و[Matryoshka] منح الجهة المهاجمة موطئ قدمًا طويل الأمد لتنفيذ أوامر عن بُعد، وإجراء استقصاء داخل [Active Directory]، ونقل ملفات، ونشر أدوات لاحقة. هذا يعني—عمليًا—أن الهجوم صُمم ليكون “منصة” وليس مجرد حدث عابر.

تفكيك التسلسل: من رسالة البريد إلى السيطرة عن بُعد

1) نقطة البدء: تصيد موجّه برسالة تحتوي على أرشيف مُشفّر

تبدأ القصة برسالة بريد إلكتروني مُوجّه [Spear Phishing] تحتوي رابطًا يؤدي إلى أرشيف مُشفّر. داخل الأرشيف يوجد ملف [Windows Shortcut] بصيغة [LNK]. الفكرة هنا واضحة: الواجهة تبدو “وثائق” أو “مستندات قضية”، لكن عند فتحها تُطلق سلسلة تنفيذ تؤدي إلى تحميل مكونات خبيثة.

هذا النوع من الاستدراج يعتمد على عاملين: التركيز على السياق (مثل “Case Documents”) لتقليل الشك، واللعب على آليات تشغيل ملفات النظام التي قد لا تُفعلها المستخدمون بحذر، خاصة إن كان لديهم عادة فتح مرافقات العمل بسرعة.

2) تشغيل سلسلة متعددة المراحل تقلل “الوضوح” أمام أنظمة الكشف

وفقًا للباحثين، يتضمن التسلسل عدة خطوات، منها رفع صلاحيات (Privilege Escalation)، وإضعاف حماية [Microsoft Defender]، ثم تنزيل حمولة إضافية. ما يجعلها أكثر تعقيدًا أن كل مرحلة تُقلل ظهور السلوك الخبيث الكامل داخل المرحلة نفسها، بما يعني أن أدوات الدفاع قد تلتقط مؤشرات متفرقة بدل “علامة واحدة كبيرة”.

هذه المقاربة تشبه أسلوب “التقطيع” الذي يربك التحليل الجنائي السريع. فبدل أن تحتوي مرحلة واحدة على المنطق الكامل، تتوزع الوظائف بين مكونات متعددة. النتيجة: صعوبة في الربط بين الأحداث، وتحدي أكبر لآليات [Threat Detection] التي تعتمد على الأنماط.

3) التحميل الجانبي عبر DLL Side-Loading: استخدام مكونات شرعية كغلاف

يتم إطلاق [HollowFrame] عبر سلسلة تحميل جانبي تتضمن ثنائيًا شرعيًا (مثل [python.exe]) وملف DLL خبيثًا (مثل [python311.dll]). في جوهرها، هذه التقنية تستغل ثقة النظام أو مسارات البحث الافتراضية للتحميل، بحيث تبدو العملية “طبيعية” بينما يجري حقن السلوك الخبيث.

التحميل الجانبي لـ DLL يرتبط غالبًا بمفهوم انتهاك سلسلة الثقة في بيئات التنفيذ. ولمواجهة ذلك، تحتاج المؤسسات عادةً إلى قواعد كشف لا تكتفي بأن “الملف معروف”، بل تراقب سلوك التحميل، والمسار، وارتباط العمليات.

4) الاستمرارية: مهام مجدولة بدل الاعتماد على جلسة واحدة

يملك [HollowFrame] وظائف إطار تحميل ووظائف استمرارية. وفقًا للتقارير، يتم تحقيق الاستمرارية عبر إعداد [Scheduled Task]—وهي آلية شائعة في الهجمات لأنها تعطي المهاجم القدرة على إعادة التشغيل بعد إعادة الإقلاع أو بعد فترات محددة.

5) مقاومة التحليل: فحوصات مضادة للبيئات الوهمية

لا يكتفي الإطار بالتحميل؛ بل يضم فحوصات مضادة للتحليل لتفادي التشغيل داخل بيئات الحماية الآلية أو المختبرات (sandboxes). تم الإبلاغ عن مؤشرات مثل: مدة تشغيل النظام، كمية الذاكرة المثبتة، عدد الملفات داخل ملف المستخدم، وحركة المؤشر.

هذه الفكرة ليست جديدة تمامًا في عالم البرمجيات الخبيثة، لكنها تتطور باستمرار. فكلما كانت فحوصات “الحياة الواقعية” أكثر دقة، زادت احتمالية أن تفلت العينات من التحليل، أو تظهر سلوكًا جزئيًا فقط.

كيف تعمل [Matryoshka]؟ نسختان لالتقاط الأوامر

تأتي عائلة [Matryoshka] في نسختين، ما يعكس فهمًا عمليًا لطبيعة الشبكات والقدرة على التكيّف:

• نسخة تعتمد HTTP للتواصل وتنفيذ أوامر عن بُعد.
• نسخة تستخدم GitHub كقناة للتحكم والسيطرة [Command and Control] (C2)، مع “نبضات” لاستلام المهام وإرجاع النتائج.

الاستخدام المبني على GitHub ملفت لأنه قد يندمج بشكل طبيعي مع السلوك الشبكي في بعض البيئات (حيث قد تكون خدمات المطورين أو المستودعات جزءًا من الحياة اليومية). كذلك، يمكن للمهاجم الاستفادة من البنية التحتية القائمة بدل إنشاء خادم تحكم مخصص بالكامل—ما يقلل كلفة التشغيل ويزيد صعوبة التتبع.

قناة GitHub: “صناديق بريد” لكل جهاز

بحسب Blackpoint Cyber، تعمل البنية كأنها مجموعة “صناديق بريد” لكل جهاز. يتم تعيين دليل مخصص لكل ضحية بصيغة تجمع بين اسم الجهاز واسم المستخدم، ويحتوي على ملفات مثل: beacon.json وcmd.json وresult.json، وأحيانًا شجرة upload/ لنقل الملفات.

هذا التصميم يحقق هدفين: إدارة مهام دقيقة لكل مضيف، وتاريخ تغييرات قد يظهر—حسب إعدادات المستودع—ضمن سجل الإصدارات، ما قد يترك آثارًا إضافية للباحثين (أو يخلق نقاطًا ضعف إن تم حذف المستودع أو التزامات الالتزام).

كما أشارت التقارير إلى أن حساب GitHub المستخدم تم إنشاؤه في 6 يناير 2023 مع تحديثات في الملف الشخصي حتى 7 يونيو 2026. ومع ذلك، لا يزال من غير المعروف من يقف خلف النشاط.

ما الذي يجعل هذا النمط صعبًا على الدفاع؟

أحد الاستنتاجات الجوهرية في التقرير هو أن كل مرحلة تقلل مقدار السلوك الخبيث الظاهر في المرحلة السابقة. هذه المقاربة تُعقّد الربط (Correlation) بين إشارات الهجوم، وتؤخر اكتشاف “الخيط” الذي يجمع الأحداث.

عمليًا، قد ترى فرق SOC:

• تشغيل عملية تبدو شرعية ([python.exe]) مع تحميل DLL غير معتاد.
• إنشاء مهمة مجدولة.
• استعلامات شبكية إلى نقاط تبدو عادية نسبيًا.
• لكن دون أن يظهر في أي لحظة “المشهد الكامل”.

وهذا يضع المؤسسات أمام سؤال: هل تملك أنظمة الكشف سياقًا كافيًا تربط بين الهوية والعملية والشبكة والملفات عبر الزمن؟ أم أنها تعتمد على مؤشرات منعزلة يمكن أن تتلاشى عند تقسيم السلوك؟

الأثر الأمني المحتمل: من الاستمرارية إلى الحركة الجانبية

وفقًا للباحثين، فإن قدرات السلسلة قد تدعم:

• سرقة بيانات اعتماد عبر أساليب متعددة (مثل جمع بيانات تسجيل الدخول أو تهيئة بيئة تسمح بسرقة لاحقة).
• الحركة الجانبية داخل الشبكة انطلاقًا من موطئ قدم أولي.
• استقصاء [Active Directory] لفهم البنية والصلاحيات والمسارات الممكنة للتوسع.
• تحميل أدوات لاحقة (follow-on tooling) لتوسيع نطاق التأثير.

هذا السيناريو—إن تحقق—قد يتحول بسرعة من حادثة “تشغيل ملف” إلى اختراق واسع. وهو ما يجعل استجابة الحوادث لا تقل أهمية عن الكشف: فكل ساعة إضافية قد تسمح بتعميق القدرة الهجومية.

ما الذي ينبغي فعله؟ ربط الكشف بالطبقات وليس باللقطات

لا توجد “عقيدة واحدة” لمواجهة مثل هذه السلاسل، لكن يمكن تلخيص أفضل الممارسات في اتجاهين: تقليل السطح ورفع جودة السياق في الكشف.

إجراءات دفاعية عملية

• حماية نقطة الدخول: تقييد فتح ملفات [LNK] غير الموثوقة، وتحسين سياسات البريد (مثل الحظر/العزل عند الاشتباه).
• مراقبة سلوك التحميل الجانبي: كشف حالات تحميل DLL غير متوقعة بواسطة عمليات شرعية أو غير معتادة.
• تعزيز مراقبة الاستمرارية: إنذار عند إنشاء مهام مجدولة جديدة من سياقات غير معتادة أو من حسابات غير متوقعة.
• ربط الأحداث عبر الزمن: استخدام [SIEM] أو قدرات مطابقة تبيّن “سلسلة” (Process → File → Network → Scheduled Task) بدل مؤشرات واحدة.
• تقليل الثقة في أدوات الحماية الأحادية: لأن تقارير مثل هذه تشير إلى محاولات لإضعاف [Microsoft Defender]، يجب اعتماد طبقات حماية متعددة (endpoint + network + identity).

على مستوى الحوكمة، يمكن للمؤسسات مواءمة جهودها مع أطر مثل إطار عمل NIST للأمن السيبراني ونماذج سلسلة الهجوم، إضافةً إلى مبادئ “التحكم بالامتيازات” وتقليل الصلاحيات الممنوحة للمستخدمين.

كيف يغير هذا المشهد الاتجاهات الأوسع في التهديدات؟

هذه الواقعة تتقاطع مع ثلاث اتجاهات كبرى في السنوات الأخيرة:

• الهجمات متعددة المراحل التي تفصل الوظائف لتقليل قابلية الكشف.
• استغلال منصات مشهورة مثل GitHub كقناة تحكم بدل خوادم خاصة.
• التركيز على الاستمرارية عبر مهام مجدولة وطرق تحميل جانبي، مع مقاومة التحليل.

وبينما لا تكشف التقارير عن هوية الجهة، فإن بنية السلسلة تعطي مؤشرًا على نضج هندسي: ليس مجرد “برمجية خبيثة”، بل منظومة تشغيل تتطلب تخطيطًا لتقليل البصمات ورفع القدرة على التكيّف.

خلاصة واستفسار للمناقشة

حين تُقسّم السلسلة منطق الهجوم إلى طبقات—وتُستخدم منصات شائعة كقنوات تحكم، وتُستغل عمليات شرعية كغلاف—يتحول الكشف من “بحث عن ملف” إلى تحليل سلوك وربط سياقي عبر مراحل متعددة. هذا يرفع سقف متطلبات فرق الدفاع، ويجعل الاستثمار في الربط والتحليل العميق أكثر إلحاحًا.

سؤال للنقاش: هل تملك مؤسستك رؤية مترابطة لسلسلة الهجوم كاملة عبر السجلات (الهوية والعمليات والملفات والشبكة) بحيث لا تضيع الإشارات عندما تُقسّم البرمجية الخبيثة منطقها إلى مراحل متفرقة؟

مصادر مقترحة للتوسع:
هندسة التصيد الموجه,
الملفات الديناميكية (DLL),
التحكم والسيطرة,
اختصارات ويندوز.

فيسبوك |
إكس