كشفت شركة كاسبرسكي عن حملة تجسس إلكتروني متقدمة تقف وراءها مجموعة لازاروس المرتبطة بكوريا الشمالية، تستهدف مؤسسات كورية جنوبية في قطاعات البناء والبرمجيات وتصنيع معدات الاتصالات السلكية. وتحمل الحملة اسم “Operation FlashHole”، وتمثل امتدادًا لسلسلة عمليات معقدة تستغل برمجيات أمنية محلية واسعة الاستخدام في كوريا الجنوبية لاختراق الأهداف وزرع برمجيات خبيثة متطورة.
وتبرز أهمية هذه الحملة ليس فقط بسبب طبيعة الجهات المستهدفة، وإنما أيضًا نتيجة لجوء المهاجمين إلى استخدام تقنيات تشفير مقاومة للحوسبة الكمية، في خطوة تعكس التطور المستمر في قدرات الجماعات المدعومة من الدول وسعيها إلى حماية اتصالاتها السرية من عمليات الرصد والتحليل المستقبلية.
هجمات تصيد دقيقة تستهدف المؤسسات الكورية
بحسب تحليل كاسبرسكي، تعود نشاطات الحملة إلى يوليو 2025 على الأقل، حيث اعتمد المهاجمون على هجمات تصيد احتيالي موجهة بعناية فائقة، تضمنت إرسال رسائل بريد إلكتروني تحتوي على روابط لمواقع مزيفة صممت خصيصًا لتناسب اهتمامات كل ضحية.
وشملت تلك المواقع صفحات توظيف وسيرًا ذاتية ومعارض أعمال مهنية تبدو حقيقية ومرتبطة بمجال عمل الشخص المستهدف، ما رفع من احتمالات نجاح عملية الاختراق الأولية.
وترى كاسبرسكي أن الحملة الحالية تمثل امتدادًا لعملية سابقة عرفت باسم “Operation SyncHole”، والتي استهدفت منذ أواخر عام 2024 قطاعات البرمجيات والاتصالات والمال وأشباه الموصلات داخل كوريا الجنوبية، مستخدمة مجموعة واسعة من البرمجيات الخبيثة وأبواب التجسس الخلفية.
استغلال برمجيات أمنية إلزامية كنقطة دخول
إحدى السمات اللافتة في عمليات لازاروس الأخيرة هي استغلالها لبرامج أمنية محلية تفرضها البيئة الرقمية الكورية الجنوبية على المستخدمين للوصول إلى الخدمات الحكومية والمصرفية.
فبينما اعتمدت عملية SyncHole سابقًا على استغلال ثغرات في برنامج Cross EX، انتقلت حملة FlashHole إلى استغلال برنامج INISAFE CrossWeb EX، وهو حل أمني شائع يستخدم للمصادقة الرقمية والتوقيعات الإلكترونية عند التعامل مع البنوك والبوابات الحكومية.
وتتمثل خطورة هذا النهج في أن البرامج الأمنية المستهدفة تعد مكونات موثوقة ومثبتة على نطاق واسع داخل المؤسسات والأجهزة الشخصية، ما يسمح للمهاجمين بتحويل أدوات الحماية نفسها إلى قنوات توصيل للبرمجيات الخبيثة.
كما أن العلاقة التاريخية بين مطوري هذه المنتجات الأمنية منحت المهاجمين فرصة لفهم بنيتها التشغيلية واستغلال نقاط ضعفها عبر السنوات.
سلسلة إصابة معقدة تعتمد على التخفي داخل الذاكرة
تشير التحقيقات إلى أن زيارة الضحية لموقع مزيف يؤدي إلى بدء سلسلة إصابة متعددة المراحل شديدة التعقيد.
وتستغل العملية مكونات نظامية شرعية داخل ويندوز لتشغيل ملفات خبيثة بطريقة الترحيل الجانبي للمكتبات الديناميكية (DLL Sideloading)، بما يسمح بتنفيذ التعليمات البرمجية الضارة داخل عمليات تبدو سليمة وموثوقة.
وتبدأ العملية بتشغيل الملف الشرعي fsquirt.exe الخاص بنظام ويندوز، قبل تحميل مكتبات خبيثة تتولى تنزيل برمجيات إضافية من مستودعات على منصة GitHub.
وما يميز هذه التقنية أن الجزء الأكبر من سلسلة التنفيذ يجري داخل الذاكرة دون كتابة ملفات واضحة على القرص الصلب، الأمر الذي يصعب مهمة حلول الحماية التقليدية ويرفع من قدرة المهاجمين على الإفلات من الرصد.
وأوضحت كاسبرسكي أن المهاجمين بذلوا جهودًا كبيرة لإخفاء الأدوات المستخدمة ومراحل الاختراق الأولى، بحيث يصعب على فرق الاستجابة للحوادث الأمنية تتبع نقطة البداية أو إعادة بناء التسلسل الكامل للهجوم.
منظومة برمجيات تجسس متكاملة
اعتمدت حملة FlashHole على إطار عمل خبيث متعدد الطبقات يتكون من مجموعة من الأدوات المصممة لأداء مهام مختلفة.
فبرمجية TechHub تعمل كأداة تنزيل واستطلاع متقدمة، حيث تجمع معلومات عن الأجهزة المصابة وتحمل مكونات إضافية من الإنترنت.
أما Cubridge فتعد المركز التشغيلي الأساسي للحملة، إذ توفر اتصالاً مستمرًا بخوادم القيادة والسيطرة وتسمح بتحميل وحدات إضافية يمكنها سرقة الملفات وتشغيل الأوامر وجمع البيانات الحساسة من الأنظمة والمتصفحات.
كما رصد الباحثون أدوات أخرى مثل TouchHub وTouchShift وClientHub وLPEClient، وهي مكونات متخصصة في إنشاء الاستمرارية داخل النظام، وجمع المعلومات، وتحميل الإضافات الجديدة، ومراقبة الضحايا على المدى الطويل.
ويشير هذا التنوع إلى أن لازاروس لم تعد تعتمد على برمجيات منفردة، بل أصبحت تستخدم بنية تشغيلية متكاملة تشبه المنصات الاستخباراتية الاحترافية القادرة على التوسع وتغيير وظائفها بحسب طبيعة الهدف.
تشفير ما بعد الكم يدخل ساحة التجسس السيبراني
أبرز ما لفت انتباه الباحثين في النسخة الحديثة من البرمجيات الخبيثة هو اعتمادها خوارزمية ML-KEM-1024، وهي إحدى خوارزميات التشفير المصممة لمقاومة الهجمات المستقبلية المتوقعة من الحواسيب الكمية.
ويجري استخدام هذه التقنية لإنشاء قنوات اتصال مشفرة بين الأجهزة المصابة وخوادم المهاجمين قبل تنزيل المكونات الإضافية أو تنفيذ التعليمات البرمجية داخل الذاكرة.
ووفقًا لكاسبرسكي، فإن الأدلة التقنية تشير إلى أن مجموعة لازاروس تستخدم هذه الخوارزميات منذ سبتمبر 2024 على الأقل، أي قبل أكثر من عام من الكشف العلني عن هذه الحملة.
ويمثل هذا التطور مؤشرًا مهمًا على أن الجهات المتقدمة المدعومة من الدول بدأت بالفعل في تبني تقنيات التشفير الخاصة بعصر ما بعد الحوسبة الكمية، ليس لحماية البنية التحتية الشرعية فحسب، بل أيضًا لتعزيز سرية عمليات التجسس والهجمات السيبرانية.
وفي الوقت ذاته، ربطت كاسبرسكي بين حملة FlashHole وموجة أحدث من الهجمات التي استخدمت الباب الخلفي COPPERHEDGE ضد مؤسسات كورية جنوبية، حيث انتهت بعض الحوادث بتسريب بيانات إلى موقع ULOSE الموجود على الشبكة المظلمة، في نمط يتشابه مع العمليات المنسوبة سابقًا لعصابات الفدية التي استهدفت منظمات كورية خلال الفترة نفسها.
وتؤكد هذه التطورات أن مجموعة لازاروس تواصل توسيع قدراتها الهجومية وتطوير أدواتها باستمرار، مع الاستثمار في تقنيات تشفير متقدمة وبنى برمجية أكثر تعقيدًا، بما يجعلها واحدة من أكثر مجموعات التجسس السيبراني الحكومية نشاطًا وتأثيرًا على الساحة العالمية.
