منذ بداية عام 2025، تتصاعد إشارات على حملة هجمات سيبرانية موجّهة تستهدف مؤسسات حكومية في آسيا الوسطى، مع امتداد إلى أفغانستان وقيرغيزستان وطاجيكستان وأوزبكستان وكازاخستان، إضافةً إلى الجمهورية العربية السورية. ما يجعل هذه التطورات أكثر إلحاحًا ليس فقط طبيعة الاستهداف، بل أيضًا “المنهجية الصناعية” التي تتكرر في أدوات الهجوم: أبواب خلفية مموهة تعمل داخل الذاكرة، وإطار عمل متعدد الإضافات، وأداة وسيطة لتوجيه حركة الشبكة، بهدف الحفاظ على السيطرة وتقليل آثار الاكتشاف.

بحسب تحليل شركة كاسبرسكي، فإن الجهة المهاجمة يُعتقد أنها من الفاعلين ذوي اللغة الصينية، لكن الحملة لم تُنسب بشكل مؤكد إلى جهة معروفة مسبقًا. وتبرز في التقرير أسماء عائلتين من البرمجيات الخبيثة: [OctLurk] و[SilkLurk]، إلى جانب أداة مساعدة لتوسيط حركة المرور تُسمى [LurkProxy]. والنتيجة النهائية: قدرة هجومية مرنة على التجنيد المبكر داخل الشبكة ثم توسيع نطاق التأثير عبر وظائف متعددة تبدأ من جمع البيانات وتنتهي بالسيطرة عن بُعد والقدرة على التحرك داخل البنية الداخلية.

لماذا تستهدف الهجمات الحكومية هذا النوع من البيئات؟

الجهات الحكومية—خصوصًا الوزارات ومكاتب العلاقات الخارجية ودوائر إنفاذ القانون والجهات البحثية—تمتلك ثلاث خصائص تجعلها هدفًا مغريًا:

• معلومات حساسة ومتعددة الطبقات: وثائق دبلوماسية، سجلات تحقيق، خطط بنية تحتية، بيانات بحثية، ومحتوى مراسلات.
• شبكات داخلية مترابطة: غالبًا ما تتشارك الأنظمة بين إدارات متعددة، ما يسهل “الانتقال الأفقي” بعد الاختراق الأولي.
• اعتماد على أنظمة تشغيل وخدمات شائعة: مثل خدمات البريد، قواعد البيانات، أنظمة المصادقة، وأدوات الأرشفة—وهي عناصر يمكن مهاجمتها بطرق قابلة للتكرار.

هذا النوع من الاستهداف يتقاطع مع نمط أوسع في تهديدات السنوات الأخيرة: هجمات الاختراق المستمر (APT) التي لا تسعى بالضرورة إلى “تدمير” مباشر، بل إلى الاستحواذ الطويل على القدرة على المراقبة والتلاعب والسرقة.

للتوضيح: الهجوم الموجّه يعني أن الفاعل يختار هدفًا محددًا أو فئة أهداف بناءً على قيمة البيانات أو الموقع الاستراتيجي. أما [Backdoor] فهي وسيلة تُمكّن المهاجم من العودة للأنظمة بعد الاختراق.

للمزيد من الخلفية، يمكن الرجوع إلى مفاهيم ذات صلة عبر: التهديد المستمر المتقدم والباب الخلفي.

ما الذي يميّز [OctLurk] و[SilkLurk]؟ هندسة “تعمل داخل الذاكرة”

وفق كاسبرسكي، تتميز العائلتان بكونهما متعددتي الإضافات وقادرتين على تحميل وظائف إضافية لاحقًا. والأهم: أن معظم نشاط التشغيل يتم داخل الذاكرة مع وجود محمل صغير على القرص لا يحمل كل شيء. هذا التصميم يقلّل من فعالية بعض تقنيات الكشف التقليدية التي تعتمد على فحص الملفات على القرص أو التوقيعات الثابتة.

تستخدم العائلة [OctLurk] آلية تحميل وإدخال (حقن) داخل الذاكرة عبر محمل، مع آليات تحقق من الاتصال بالإنترنت قبل التنفيذ. كما تراقب—بحسب التحليل—اتصالها بمجال يُستخدم كإشارة قبل تشغيل برنامج وسيط لتوجيه المرور. وبعد ذلك تتواصل مع خادم تحكم وسيطرة (C2) عبر اتصال مخصص.

أما [SilkLurk] فيُطلق عبر تسلسل تحميل مكتبات داخلية (DLL side-loading). هذه التقنية—على مستوى المفهوم—تستغل ثغرات في طريقة تحميل البرمجيات للمكتبات أو افتراضات خاطئة حول مسار البحث عن DLL، بهدف تشغيل كود خبيث تحت غطاء شرعي.

للتوسع في المصطلحات: حقن العملية واختطاف DLL والتحكم والسيطرة.

وظائف هجومية “متسلسلة” داخل [OctLurk]

يُظهر تحليل كاسبرسكي أن [OctLurk] قادر على تنفيذ سلسلة واسعة من الأفعال بعد الحصول على موطئ قدم داخل النظام، تشمل:

• بصمات النظام وجمع معلوماته ثم تشفير الإرسال إلى خادم التحكم.
• جمع سجلات الدخول والاستهداف عبر أسماء مستخدمين محددة.
• استخراج تجزئات كلمات المرور من وحدات تحكم المجال باستخدام أدوات من عائلة [Impacket] (ضمن التحليل: [secretsdump.py]).
• التسجيل السري للمدخلات عبر كيلوكّر يتنكر باسم [AnyDesk] لتقليل فرص التنبيه.
• سرقة كلمات مرور المتصفحات من [Google Chrome] و[Mozilla Firefox] عبر فك/استخراج البيانات المخزنة.
• التقاط لقطات شاشة وتحريك المؤشر/الماوس وتوليد أحداث لوحة مفاتيح وفأرة.
• فحص الشبكات داخليًا وخارجيًا، بما في ذلك مسح منافذ شائعة مثل [SSH] على المنفذ 22 و[MySQL] على المنفذ 3306، ثم محاولة الوصول باستخدام بيانات اعتماد من ملف كلمات مرور.
• التفاعل مع خوادم البريد عبر المصادقة ثم جمع أو تعديل الرسائل.
• إنشاء وصول عن بُعد عبر وكلاء طرفية مثل [Pandora RC] (بحسب وصف التقرير).

هذه القائمة ليست “قدرات منفصلة” بل تشير إلى إطار عمل تكتيكي: استطلاع → تصعيد → سرقة اعتماد → تحرك جانبي → استدامة. وهو بالضبط ما يجعل الحملة خطيرة على المؤسسات الحكومية، لأن كل مرحلة تضيف “وقودًا” للمرحلة التالية.

دور [LurkProxy] في الالتفاف على الدفاعات

أداة [LurkProxy] تعمل كوسيط عكسي (reverse proxy) بقدرتين: كوكيل [SOCKS5] أو كوكيل شفاف. وجود وضعين يعني أن المهاجم يستطيع تكييف التوجيه حسب بنية الشبكة أو قيود المراقبة. وفي أي لحظة، تعمل الأداة بوضع واحد فقط، لكن مجرد توفر الخيارين يعكس نضجًا في تصميم البنية التحتية للسيطرة.

من منظور دفاعي، هذا النوع من الوساطة يخلق تحديًا إضافيًا: قد لا تظهر حركة الهجوم كحركة مباشرة من الجهاز المصاب إلى الإنترنت، بل كحركة “مُعاد توجيهها” عبر مسار وسيط.

لماذا “الترميز الخاص بكل ضحية” يربك الاكتشاف؟

أحد التفاصيل الدقيقة في تقرير كاسبرسكي هو أن البنية تستخدم ترميزًا/فك ترميز يعتمد على بيانات خاصة بالضحية لتحديد مواقع الحمولة (payload) ومحتواها. فـ [OctLurk] يعتمد على رقم تسلسلي للقرص (drive serial number)، بينما [SilkLurk] يعتمد على اسم الجهاز (computer name).

هذه الممارسة تجعل الكشف الآلي أصعب لأسباب عملية:

• تغيّر الحمولة بين الأجهزة يعني أن التوقيعات قد لا تتطابق.
• صعوبة إعادة بناء النسخ في المختبر دون معرفة بيانات الجهاز المستهدَف.
• تعقيد التحليل الآلي لأن المحتوى قد لا يكون ثابتًا.

هذا يتماشى مع اتجاه عام في عالم الهجمات: الانتقال من “أداة ثابتة” إلى “منصة تتكيف” مع بيئة الهدف.

تداخل البنية مع حملات سابقة: [SilentRaid] كإشارة إنذار

تذكر كاسبرسكي وجود تداخل في البنية التحتية مع حملة سابقة تتضمن مُركّبًا بلغة [C++] يُعرف باسم [SilentRaid] (ويُشار إليه أيضًا بأسماء أخرى ضمن التحليل). التداخل—بحسب النص—لا يعني بالضرورة أن الهجمات تمت في الوقت نفسه، لكنه يشير إلى أن الفاعلين ربما يستخدمون نفس الموارد أو نفس “مدرسة الهندسة” عبر حملات متعددة.

هذا النمط شائع في أعمال التجسس: البنية التحتية للخوادم، أدوات التحكم، وقنوات الإخفاء قد تتكرر أو تُعاد توظيفها، حتى لو تغيرت أسماء البرمجيات أو آليات التسليم.

ما المخاطر التي يجب أن تقلق منها المؤسسات؟

إذا تم قياس تأثير هذا النوع من البرمجيات الخبيثة على أرض الواقع، فسنجد أنه يتجاوز “اختراق جهاز” إلى تهديد منظومي. المخاطر الأساسية تشمل:

• سرقة كلمات المرور والتجزئات مما يفتح الباب لاختراقات لاحقة دون الحاجة لاستغلال جديد.
• استهداف البريد والمستندات عبر جمع أو تعديل محتوى، وهو ما يهدد السرية والامتثال.
• التوسع داخل الشبكة عبر مسح المنافذ والخدمات ثم المحاولة باستخدام ملفات كلمات مرور—أي محاولة تحويل الاختراق إلى سيطرة أوسع.
• تعطيل فعالية المراقبة بسبب التشغيل داخل الذاكرة واستخدام وسيط لتوجيه الاتصالات.
• إمكانية التصعيد إلى سيطرة عن بُعد بما يعني أن النظام قد يصبح نقطة انطلاق لمهام أخرى.

من الناحية الدفاعية، هذا النوع من الحملات يتطلب رؤية لا تقتصر على مكافحة البرمجيات الخبيثة التقليدية، بل تشمل مراقبة سلوك وتحليل حركة شبكية وضبط صلاحيات وتصميم مرونة لاستعادة الخدمة بسرعة.

إطار دفاعي عملي: كيف تقلل المؤسسات من فرص النجاح؟

لا توجد “ضربة واحدة” تمنع الهجمات التي تستخدم حقن الذاكرة وتعدد الإضافات، لكن يمكن تقليل المخاطر عبر حزمة إجراءات متكاملة. من أبرز ما ينصح به الخبراء عادةً (بما يتوافق مع أفضل الممارسات مثل إطار عمل معهد المعايير والتقنية NIST ونموذج MITRE ATT&CK):

• تقليل سطح الهجوم: إغلاق أو تقييد خدمات غير لازمة، خصوصًا منافذ الإدارة وقواعد البيانات المكشوفة.
• مراقبة محاولات الوصول إلى خدمات داخلية: رصد أنماط فحص المنافذ (Port Scanning) ومحاولات المصادقة المتكررة.
• كشف التشغيل داخل الذاكرة: تطبيق قدرات تحليل سلوكي مثل تتبع سلاسل تحميل العمليات، ومراقبة أنماط الحقن.
• حماية بيانات الاعتماد: اعتماد سياسات كلمات مرور قوية، وإجراءات عزل، وتقليل الاعتماد على حسابات ذات صلاحيات واسعة.
• تدقيق البريد والمستندات: قواعد تمنع أو تراقب الوصول غير المعتاد إلى صناديق البريد ومجلدات الوثائق الحساسة.
• جاهزية استجابة للحوادث: خطة استجابة مدروسة تشمل جمع الأدلة الرقمية، عزل الأجهزة المصابة، وتحليل مسارات الاختراق.

ولأن الهجوم قد يستهدف وحدات تحكم المجال وجمع سجلات الدخول، فإن تعزيز مراقبة الهوية (Identity) يعد خط الدفاع الأول. يمكن الاستفادة من ممارسات مثل قوائم التحقق الخاصة بالمصادقة ضمن منظومة أوسع لحماية الحسابات.

اتجاهات أوسع: لماذا تتكرر “الأدوات متعددة الإضافات” في 2025؟

ما نراه في [OctLurk] و[SilkLurk] ليس حادثًا منفردًا. في السنوات الأخيرة، اتجهت كثير من الهجمات نحو “منصات” بدل “برمجيات ثابتة”. هذا يتيح للفاعل:

• تحديث القدرات دون إعادة نشر كل شيء (تحميل إضافات لاحقة).
• تقليل التوقيعات الثابتة عبر الترميز الخاص بالضحية والتشغيل داخل الذاكرة.
• المرونة في التكيف مع الدفاعات عبر تغيير نمط التوجيه أو أساليب التنفيذ.

كما أن الاعتماد على وسيط مثل [LurkProxy] يعكس فهمًا عميقًا لكيفية مراقبة الشبكات الحديثة، بما في ذلك الفصل بين حركة المستخدم وحركة النظام المصاب.

الخلاصة: اختبار حقيقي لقدرة الدفاع على “الاستمرار”

حملة تستهدف مؤسسات حكومية في مناطق حساسة، وتستخدم إطار عمل متعدد الإضافات يعمل داخل الذاكرة مع ترميز خاص بكل ضحية، ليست مجرد “برمجية خبيثة جديدة”. إنها مؤشر على أن الفاعلين يطورون أساليب لتقليل زمن اكتشاف الهجوم وتعقيد التحليل، مع الحفاظ على السيطرة عبر وظائف واسعة تشمل سرقة الاعتماد، التجسس عبر لوحة المفاتيح، جمع المستندات، والتوسع داخل الشبكة.

في النهاية، السؤال الذي يجب أن تطرحه المؤسسات على نفسها هو: هل دفاعاتنا مصممة لاكتشاف “السلوك” داخل الذاكرة وحركة الشبكة، أم أنها ما تزال تعتمد بشكل مبالغ فيه على فحص الملفات والتوقيعات؟

إذا رغبت، يمكنني أيضًا تحويل هذه المعلومات إلى قائمة تحقق دفاعية مختصرة (تشخيص، منع، كشف، استجابة) مناسبة لفرق تقنية داخل جهة حكومية أو مؤسسة كبيرة.

مصادر:
موقع كاسبرسكي,
MITRE ATT&CK,
NIST Cybersecurity Framework

شارك النقاش:
هل تعتقد أن أهم فجوة لدى المؤسسات الحكومية اليوم هي في المراقبة داخل الذاكرة أم في حماية الاعتمادات أم في إدارة صلاحيات الشبكة؟

https://x.com/CYBRAT_NET |
https://www.facebook.com/Cybrat.NET