كاسبرسكي ترصد أساليب جديدة لـ«لازاروس» تجمع بين الذكاء الاصطناعي والتشفير الكمومي

كتب حاتم محمد

كشفت شركة كاسبرسكي عن حملة جديدة للتجسس السيبراني تحمل اسم Operation FlashHole، وتنسب إلى مجموعة الهجمات المتقدمة المستمرة «Lazarus APT»، التي استهدفت ما لا يقل عن ثلاث مؤسسات كورية جنوبية تعمل في قطاعات البناء والبرمجيات وتصنيع معدات الاتصالات السلكية، في تطور يعكس تصاعد تعقيد الهجمات السيبرانية مع توظيف تقنيات الذكاء الاصطناعي والتشفير المصمم لمقاومة تهديدات الحوسبة الكمومية.

وأعلن فريق البحث والتحليل العالمي في كاسبرسكي (GReAT)، خلال قمة محللي الأمن السيبراني 2026 بمدينة بالي الإندونيسية، نتائج تحقيقاته بشأن الحملة، التي تشير البيانات إلى أن نشاطها بدأ في يوليو 2025 على الأقل، مع اعتماد المهاجمين على التصيد الاحتيالي الموجه واستغلال برامج مستخدمة على نطاق واسع داخل المؤسسات المستهدفة.

الذكاء الاصطناعي لتطوير أساليب الاستدراج

أوضحت التحقيقات أن المهاجمين استخدموا مواقع إلكترونية مزيفة تعرض سيرًا ذاتية ونماذج أعمال مصممة بما يتناسب مع الجهات المستهدفة، في محاولة لإضفاء طابع مهني موثوق على عمليات الاستدراج.

ورصد الباحثون موقعًا مستضافًا عبر خدمة GitHub Pages، مرتبطًا بحساب على GitHub أُنشئ في سبتمبر 2025، وعرض في بدايته سيرة ذاتية لشخص يدعي العمل مطورًا أول لأجهزة الشبكات. كما تضمنت الصفحة صورة لشخص يُعتقد أنها مولدة باستخدام الذكاء الاصطناعي.

ويرى باحثو كاسبرسكي أن هذه المؤشرات تعكس اتجاهًا نحو توظيف الذكاء الاصطناعي في تخصيص المواقع الاحتيالية بما يتلاءم مع طبيعة كل جهة مستهدفة، بما يزيد من واقعية محاولات التصيد وصعوبة اكتشافها.

وتتشابه هذه الأساليب مع حملة Operation DreamJob المرتبطة بمجموعة «لازاروس»، والتي تعتمد على استدراج الضحايا من خلال عروض عمل وفرص مهنية وهمية.

أدوات خبيثة جديدة لتوسيع نطاق الاختراق

بحسب التحقيق، يُحتمل أن تكون زيارة أحد المواقع الخبيثة قد أسهمت في بدء سلسلة إصابة تضمنت برنامج CrossWeb EX، وهو برنامج يُستخدم في كوريا الجنوبية ضمن خدمات المصادقة الإلكترونية وبعض المعاملات المالية. ويرجح الباحثون أن ثغرة أمنية محتملة في البرنامج وفرت للمهاجمين نقطة دخول أولية، دون الجزم بأن هذا هو المسار الوحيد للاختراق.

وكشف تحليل البرمجيات المستخدمة عن إطار عمل متطور لنشر الأدوات الخبيثة وإخفاء الأنشطة المشبوهة داخل الأنظمة المستهدفة، إلى جانب إصدارات محدثة من برمجيات معروفة وأداتين لم يسبق توثيقهما، هما TouchHub وClientHub.

وتتيح هذه الأدوات تثبيت برمجيات إضافية على الأجهزة المصابة، وتنفيذ الأوامر عن بُعد، والتواصل مع مشغلي الهجوم لأغراض التجسس. كما رصد الباحثون إصدارًا معدلًا من إحدى الأدوات يستخدم خدمة Dropbox قناةً للاتصال بالمهاجمين.

تشفير مقاوم للحوسبة الكمومية

من أبرز ما كشفته التحقيقات استخدام إصدار محدث من أداة LPEClient، التي سبق ربطها بمجموعة «لازاروس»، لجمع معلومات عن الأجهزة المصابة وخصائص أنظمتها وبرامج الحماية المثبتة عليها، ثم ضغط البيانات وتشفيرها قبل إرسالها إلى المهاجمين.

ويستخدم الإصدار الجديد تقنية ML-KEM-1024، وهي آلية لتبادل المفاتيح التشفيرية مصممة لمقاومة الهجمات التي قد تنفذها الحواسيب الكمومية مستقبلًا. وتتيح هذه التقنية إنشاء قناة اتصال مشفرة مع خادم المهاجمين قبل تحميل برمجيات خبيثة إضافية وتشغيلها مباشرة في ذاكرة النظام.

ولتعزيز قدرتها على التخفي، تحاول الأداة تعديل خصائص حماية الذاكرة وتعطيل بعض آليات المراقبة التي تعتمد عليها الحلول الأمنية لرصد الأنشطة غير المعتادة، بما يزيد من صعوبة اكتشاف الهجوم وتحليل مراحله.

كاسبرسكي: تطور مستمر في قدرات مجموعة «لازاروس»

قال سوجون ريو، الباحث الأمني الرئيسي في فريق البحث والتحليل العالمي بكاسبرسكي، إن مجموعة «لازاروس» تواصل توسيع نطاق عملياتها من خلال تطوير أدوات جديدة وتحديث برمجيات سبق استخدامها لتحقيق أهدافها.

وأضاف أن التحقيق في عملية Operation FlashHole، إلى جانب نتائج أبحاث سابقة، يشير إلى بدء دمج الذكاء الاصطناعي في أساليب المجموعة، وهو اتجاه رُصد أيضًا لدى جهات تهديد أخرى مرتبطة بها.

وأشار إلى أن استخدام تقنيات التشفير المقاومة للتهديدات الكمومية يستحق اهتمامًا خاصًا، موضحًا أن نتائج أبحاث الشركة تشير إلى استخدام المجموعة هذه التقنيات منذ سبتمبر 2024 على الأقل، أي قبل اكتشاف الحملة الحالية بأكثر من عام.

توصيات للحد من مخاطر الهجمات السيبرانية

أوصت كاسبرسكي المؤسسات بتكثيف تدريب الموظفين على اكتشاف رسائل التصيد الاحتيالي الموجهة، والتحقق من الروابط والرسائل غير المتوقعة حتى عندما تبدو المواقع المرتبطة بها مهنية وموثوقة، مع الإبلاغ عن أي نشاط مشبوه إلى فرق الأمن السيبراني.

كما شددت على ضرورة تحديث البرامج وتطبيق التصحيحات الأمنية فور صدورها، وإجراء تقييمات دورية للثغرات في التطبيقات المهمة، وتعطيل المكونات غير الضرورية، إلى جانب تقييد صلاحيات المستخدمين ومراقبة الاتصالات بالخدمات السحابية تحسبًا لاستغلالها في عمليات التحكم والسيطرة.

ودعت الشركة المؤسسات إلى تعزيز قدرات الكشف والاستجابة للحوادث، والاستفادة من حلول الأمن السيبراني وخدمات استخبارات التهديدات لتحديد الهجمات المعقدة والتعامل معها في مراحل مبكرة.

ويمكن الاطلاع على التقرير الفني الكامل بشأن الحملة عبر موقع Securelist.com.