كشفت شركة كاسبرسكي عن حملة تجسس سيبراني جديدة مرتبطة بمجموعة الهجمات المتقدمة المستمرة Lazarus APT، تستخدم أدوات خبيثة مطورة وتقنيات الذكاء الاصطناعي والتشفير المقاوم للحوسبة الكمومية، في تطور يعكس تصاعد تعقيد الهجمات الإلكترونية وقدرة منفذيها على تطوير أساليب التخفي والوصول إلى الأنظمة المستهدفة.
واستعرض فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) نتائج تحقيقاته بشأن حملة Operation FlashHole خلال قمة محللي الأمن السيبراني 2026 في بالي بإندونيسيا، موضحًا أن نشاطها بدأ في يوليو 2025 على الأقل، واستهدف ثلاث مؤسسات كورية جنوبية على الأقل تعمل في قطاعات البناء والبرمجيات وتصنيع معدات الاتصالات السلكية.
الذكاء الاصطناعي لتطوير مواقع احتيالية تستهدف الشركات
رصد باحثو كاسبرسكي موقعًا إلكترونيًا مستضافًا عبر خدمة GitHub Pages، مرتبطًا بحساب على GitHub استُخدم قناةً للتحكم والسيطرة على الأنظمة المصابة. وأنشئ الحساب في سبتمبر 2025، واستضاف في البداية صفحة تعرض سيرة ذاتية لشخص يزعم أنه مطور أول لأجهزة الشبكات، إلى جانب صورة يُعتقد أنها مولدة بالذكاء الاصطناعي.
ويرى الباحثون أن المهاجمين ربما استخدموا الذكاء الاصطناعي لتخصيص المواقع الاحتيالية وفق طبيعة كل جهة مستهدفة، في أسلوب يشبه عملية Operation DreamJob المرتبطة بمجموعة Lazarus، والتي تعتمد على استدراج الضحايا عبر عروض العمل.
وبدأت الحملة برسائل تصيد إلكتروني موجهة تضمنت روابط إلى مواقع مزيفة تعرض سيرًا ذاتية ونماذج أعمال مصممة بما يتناسب مع المؤسسات المستهدفة. وأشار التحقيق إلى احتمال استغلال ثغرة أمنية في برنامج CrossWeb EX، المستخدم على نطاق واسع في كوريا الجنوبية ضمن خدمات المصادقة الإلكترونية والأمن المالي، لتوفير نقطة دخول أولية إلى الأنظمة.
أدوات خبيثة جديدة لتوسيع نطاق التجسس
كشف تحليل البرمجيات المستخدمة في الهجوم عن أدوات خبيثة محدثة، إلى جانب أداتين لم يسبق توثيقهما، هما TouchHub وClientHub. وتُستخدم هذه الأدوات لتثبيت برمجيات إضافية، وتنفيذ الأوامر على الأجهزة المصابة، والتواصل مع المهاجمين لدعم عمليات التجسس السيبراني. كما رصد الباحثون إصدارًا معدلًا من إحدى الأداتين يعتمد على خدمة Dropbox في الاتصال بمشغليه.
وشملت الحملة أيضًا إصدارًا مطورًا من أداة LPEClient المعروفة بارتباطها بمجموعة Lazarus، والتي تجمع معلومات عن الأجهزة المصابة وتتيح تحميل برمجيات خبيثة إضافية.
ويجمع الإصدار الجديد بيانات عن برامج الحماية المثبتة وإجراءات تأمين نظام Windows وغيرها من خصائص النظام، ثم يضغطها ويشفرها قبل إرسالها إلى المهاجمين. كما يحاول تجاوز أنظمة المراقبة الأمنية من خلال تعديل خصائص حماية الذاكرة وتعطيل آليات رصد الأنشطة المشبوهة.
تشفير مقاوم للحوسبة الكمومية لإخفاء الاتصالات
من أبرز نتائج التحقيق استخدام الإصدار المحدث من LPEClient آلية التشفير ML-KEM-1024، المصممة لمقاومة الهجمات التي قد تنفذها الحواسيب الكمومية مستقبلًا.
وتعتمد الأداة على هذه الآلية لإنشاء اتصال مشفر مع خادم المهاجمين قبل تحميل برمجيات خبيثة إضافية وتشغيلها مباشرة في ذاكرة النظام، بما يعزز قدرتها على إخفاء أنشطتها عن أدوات الحماية التقليدية.
وقال سوجون ريو، الباحث الأمني الرئيسي في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن تحقيقات الشركة تشير إلى استمرار مجموعة Lazarus في تطوير أدواتها وإطلاق حملات أكثر تعقيدًا، مع بدء دمج الذكاء الاصطناعي في أساليبها الهجومية.
وأضاف أن استخدام تقنيات التشفير المقاومة للحوسبة الكمومية يستحق اهتمامًا خاصًا، مشيرًا إلى أن أدلة التحقيقات كشفت عن استخدام المجموعة هذه التقنيات منذ سبتمبر 2024 على الأقل، أي قبل اكتشاف حملة Operation FlashHole بأكثر من عام.
كاسبرسكي توصي بتعزيز إجراءات الحماية
لمواجهة الهجمات المرتبطة بمجموعة Lazarus وغيرها من التهديدات المتقدمة، أوصت كاسبرسكي بتدريب الموظفين على اكتشاف رسائل التصيد الموجهة، والتحقق من الروابط غير المتوقعة، وتحديث البرامج وتطبيق التصحيحات الأمنية فور صدورها.
كما شددت على أهمية مراجعة الثغرات الأمنية بصورة دورية، وتقييد صلاحيات الوصول، ومراقبة الاتصالات بالخدمات السحابية التي قد يستغلها المهاجمون في إدارة أنشطتهم.
وأوصت الشركة كذلك بالاستعانة بحلول الأمن السيبراني التي توفر قدرات الكشف والاستجابة للتهديدات، بما يشمل تقنيات حماية النقاط الطرفية (EDR) والكشف والاستجابة الموسعة (XDR)، إلى جانب خدمات الاكتشاف والاستجابة المدارة والتحقيق في الحوادث واستخبارات التهديدات.
