في بعض الهجمات، لا يبدأ الاختراق بملف خبيث واضح.
ولا برسالة تطلب منك تحديث كلمة المرور.
أحيانًا يبدأ كل شيء بعرض وظيفي يبدو أفضل من أن يُرفض.
وهذا بالضبط ما عادت إليه مجموعة Lazarus الكورية الشمالية ضمن حملة Operation Dream Job.
لكن هذه المرة، دخل سلاح أخطر إلى السلسلة.
ثغرة يوم صفر في ويندوز تحمل المعرّف CVE-2026-68820.
الثغرة استُخدمت ضمن هجمات استهدفت جهات تعمل في قطاعات الدفاع والطيران والفضاء.
وسمحت للمهاجمين برفع صلاحياتهم داخل النظام حتى مستوى SYSTEM.
أي أن المهاجم لا يكتفي بالدخول.
بل يحاول أن يصل إلى أعلى نقطة ممكنة داخل ويندوز.
#عرض وظيفي ثم تبدأ السلسلة
حملة Operation Dream Job ليست جديدة.
فكرتها الأساسية تقوم على استهداف موظفين داخل جهات حساسة بعروض توظيف وهمية.
خصوصًا في المؤسسات التي تعمل في مجالات الدفاع والطيران والفضاء.
الطُعم هنا ليس تقنيًا.
هو اجتماعي.
المهاجم يعرف أن الموظف داخل شركة دفاعية قد يتجاهل رسالة غريبة.
لكنه قد يفتح ملفًا أو رابطًا إذا جاءه ضمن سياق فرصة وظيفية تبدو واقعية.
وفي الموجة الأخيرة من الحملة، ركزت Lazarus على مؤسسات في أوروبا والهند.
وامتد النشاط كذلك إلى أمريكا الجنوبية، ومن ضمنها البرازيل.
وبحسب Check Point، سُجل استهداف ناجح في دول من أوروبا الغربية.
من بينها فرنسا وألمانيا.
وفي حالة واحدة على الأقل، تمكن المهاجم من اختراق مؤسسة في فرنسا.
ثم استخدمها لاحقًا كنقطة انطلاق لهجمات Spear Phishing ضد أهداف إضافية.
وهنا تتحول الضحية إلى جزء من البنية الهجومية نفسها.
#الثغرة التي أوصلتهم إلى SYSTEM
في تحديثات Patch Tuesday لهذا الشهر، عالجت Microsoft الثغرة CVE-2026-68820.
ووصفتها بأنها مستغلة فعليًا في هجمات حقيقية.
وبحسب الباحثين، كانت Lazarus تستغلها منذ بداية يوليو.
الثغرة موجودة في Windows Ancillary Function Driver for WinSock المعروف باسم AFD.sys.
وهي من نوع Use-After-Free.
وبحسب Microsoft، يستطيع مستخدم محلي تمت مصادقته تشغيل تطبيق مُعد خصيصًا على النظام المتأثر.
التطبيق يفعّل Race Condition تسمح في النهاية برفع الصلاحيات إلى مستوى SYSTEM.
والأهم أن ذلك لا يتطلب أي تفاعل إضافي من المستخدم.
بمعنى آخر، بعد أن يحصل المهاجم على موطئ قدم أولي داخل الجهاز، يستطيع استخدام الثغرة للانتقال من مستخدم محدود الصلاحيات إلى أحد أعلى مستويات التحكم في ويندوز.
وهذا هو النوع من الثغرات الذي يجعل الاختراق الأولي مجرد بداية.
#FudModule يعود بنسخة أخطر
باحثو Check Point الذين تتبعوا النسخة الأخيرة من Operation Dream Job وجدوا أن Lazarus دمجت استغلال CVE-2026-68820 داخل نسخة جديدة من rootkit تعمل في مستوى النواة.
اسمها FudModule.
الاستغلال صُمم لدعم إصدارات Windows 11 build 26100 و26200.
الهدف كان واضحًا.
رفع الصلاحيات، ثم تشغيل FudModule في بيئة يملك فيها المهاجم قدرة أكبر على التخفي والتلاعب بأدوات الحماية.
وهذه ليست أول مرة تستخدم فيها Lazarus ثغرة يوم صفر داخل AFD.sys للوصول إلى صلاحيات أعلى وتثبيت FudModule.
أي أن المجموعة لا تكتشف هذا المسار لأول مرة.
هي تعود إليه وتطوره.
#عندما يصبح EDR أعمى
النسخة الأخيرة من FudModule احتفظت بقدرات سبق توثيقها.
من بينها تعطيل EDR telemetry والتدخل في عمل المنتجات الأمنية.
وهذه نقطة حساسة جدًا.
لأن أدوات EDR تعتمد على جمع الإشارات من النظام.
أي عملية بدأت؟
أي ملف تم تشغيله؟
أي اتصال شبكي حدث؟
أي سلوك غير طبيعي ظهر؟
إذا استطاع rootkit يعمل بمستوى النواة التأثير على هذه الرؤية، فالمشكلة لم تعد فقط أن المهاجم موجود داخل الجهاز.
المشكلة أن أدواتك قد ترى صورة ناقصة عما يفعله.
وفي الإصدار الجديد، أضافت Lazarus قدرة أخرى.
التلاعب بـ Smart App Control.
أي أن المهاجم يحاول إضعاف أكثر من طبقة دفاعية في الوقت نفسه.
بدل الاعتماد على تجاوز أداة واحدة فقط.
#Troy باب خلفي بـ17 أمرًا
FudModule لم يكن الأداة الجديدة الوحيدة في الحملة.
Check Point رصدت كذلك بابًا خلفيًا جديدًا أطلقت عليه اسم Troy.
هذا الباب الخلفي يدعم 17 أمرًا مختلفًا.
ويمنح المهاجم مجموعة واسعة من القدرات بعد الوصول إلى النظام.
من بينها:
- جمع معلومات عن النظام والعمليات الجارية.
- رفع الملفات وتنزيلها وحذفها.
- ضغط البيانات وتجهيزها للتهريب.
- تنفيذ أوامر مخفية.
- إنهاء عمليات عن بُعد.
- حقن ملفات DLL داخل الذاكرة.
- تغيير الإعدادات وتوقيت اتصالات الـ Beacon.
هذه ليست قدرات أداة بسيطة هدفها تنفيذ أمر واحد ثم الانسحاب.
إنها بنية مصممة لإدارة الجهاز المصاب عن بُعد.
وجمع المعلومات منه، ونقل البيانات، وتعديل سلوك البرمجية حسب حاجة المهاجم.
#لم يكتفوا بويندوز وRoundcube دخل السلسلة
الجزء الآخر من الحملة لم يكن داخل أجهزة الموظفين فقط.
Check Point رصدت كذلك خوادم Roundcube مخترقة ضمن البنية المستخدمة في الحملة.
وغالبية الخوادم التي حللها الباحثون كانت تعمل بإصدارات معرضة للثغرة CVE-2025-49113.
السيناريو المرجح، بحسب الباحثين، أن المهاجم استخدم بيانات اعتماد مسربة للدخول إلى Roundcube أولًا.
ثم استغل الثغرة لتثبيت Web Shell جديدة بلغة PHP أطلق عليها الباحثون اسم RelayShell.
الثغرة من نوع Authenticated PHP Object Deserialization.
ويمكن أن تؤدي إلى تنفيذ تعليمات برمجية عن بُعد.
وخلال التحقيق، رصد الباحثون 17 معرّفًا فريدًا.
وهذا يرجح أن 17 خادمًا مخترقًا على الأقل استُخدمت كعقد Relay خلال الحملة.
لكن الباحثين لم يتمكنوا من تحديد جميع الخوادم المتأثرة.
وهنا تظهر قيمة هذه الخوادم للمهاجم.
بدل أن يتواصل دائمًا مع بنية تحتية خبيثة واضحة يمكن حظرها بسهولة، يستطيع استخدام خوادم ويب شرعية سبق اختراقها كجزء من مسار الاتصال.
#البنية الشرعية تتحول إلى غطاء
بحسب Check Point، تكشف هذه الحملة أن Lazarus أصبحت أكثر تركيزًا على التخفي والتكيف مع البيئة التي تستهدفها.
وفي هذه الحالة، استخدمت المجموعة بنية ويب شرعية مخترقة لإخفاء الاتصالات الخبيثة.
ومن ضمنها خوادم Roundcube.
وهذا تكتيك مزعج من زاوية الدفاع.
فعندما يأتي الاتصال من نطاق أو خادم معروف بأنه شرعي في الأصل، يصبح التمييز بين الحركة الطبيعية والحركة الخبيثة أصعب.
المهاجم لا يحتاج دائمًا إلى بناء كل شيء من الصفر.
أحيانًا يكون الخيار الأفضل بالنسبة له هو الاستيلاء على بنية شخص آخر واستخدام سمعتها بدلًا منه.
#لماذا قطاع الدفاع تحديدًا؟
بحسب Check Point، ركزت الحملة الجديدة بكثافة على قطاع الدفاع.
وبالأخص المؤسسات التي تعمل في تقنيات عسكرية متقدمة مثل:
حساسات المراقبة، والطائرات المسيّرة، والروبوتات.
وهذه ليست أهدافًا عشوائية.
المؤسسات العاملة في هذه المجالات تحتفظ عادةً بمعلومات عالية القيمة.
تصاميم.
أبحاث.
مشاريع مستقبلية.
بيانات موردين.
تقنيات مزدوجة الاستخدام.
ومعلومات يمكن أن تكون ذات قيمة استخباراتية أو استراتيجية كبيرة.
ولهذا، فإن استهداف موظف واحد داخل هذه المؤسسات قد يكون مجرد مدخل إلى هدف أكبر بكثير من جهاز الموظف نفسه.
#الخلاصة
هذه الحملة توضح كيف تبدو عملية اختراق متقدمة عندما تتجمع عدة طبقات في سلسلة واحدة.
البداية:
عرض وظيفي مزيف.
ثم وصول أولي إلى جهاز موظف.
بعدها استغلال CVE-2026-68820 للانتقال إلى صلاحيات SYSTEM.
ثم تشغيل FudModule لتعطيل الرؤية الأمنية والتدخل في أدوات الحماية.
ثم استخدام Troy للتحكم وجمع البيانات وتنفيذ الأوامر.
وبالتوازي، استغلال خوادم Roundcube المخترقة وتثبيت RelayShell واستخدام بنية شرعية كغطاء للاتصالات.
كل طبقة هنا تخدم التي بعدها.
والنتيجة ليست مجرد malware على جهاز.
إنها عملية مصممة للدخول، ثم رفع الصلاحيات، ثم الاختفاء، ثم البقاء، ثم استخدام البيئة نفسها ضد المدافع.
ولهذا، في حملات مثل Operation Dream Job، قد لا يكون أخطر شيء في الرسالة هو الملف المرفق.
قد يكون أخطر شيء فيها أنها تبدو أصلًا كرسالة كنت تنتظر وصولها.
