كشف تقرير Red Report 2026 الصادر عن Picus Labs أن المهاجمين السيبرانيين لم يعودوا يركزون على تعطيل الأنظمة عبر التشفير كما في هجمات الفدية التقليدية، بل انتقلوا إلى استراتيجية أكثر هدوءاً تقوم على الوصول طويل الأمد غير المرئي.
فبدلاً من “اقتحام وحرق” الأنظمة، أصبح المهاجمون يتصرفون كـ طفيليات رقمية، يعيشون داخل الشبكات، يتغذون على بيانات الاعتماد والخدمات، ويبقون غير مكتشفين لأطول فترة ممكنة.
تراجع إشارة الفدية وصعود الابتزاز
بيّن التقرير أن استخدام تقنية تشفير البيانات للتأثير (T1486) تراجع بنسبة 38% خلال عام 2025 مقارنة بالعام السابق، حيث انخفض من 21% إلى نحو 12.9%. هذا لا يعني ضعف قدرات المهاجمين، بل يعكس تحولهم نحو نموذج ابتزاز البيانات بدلاً من تعطيل الأنظمة.
المهاجمون باتوا يفضلون:
- استخراج البيانات الحساسة بهدوء.
- سرقة بيانات الاعتماد والرموز.
- البقاء داخل الأنظمة لفترات طويلة.
- ممارسة الضغط لاحقاً عبر التهديد بنشر البيانات.
سرقة بيانات الاعتماد: محور السيطرة
أظهر التقرير أن سرقة بيانات الاعتماد من مخازن كلمات المرور (T1555) ظهرت في نحو ربع الهجمات (23.49%). المهاجمون لم يعودوا بحاجة إلى تقنيات معقدة، بل يكتفون باستخراج كلمات المرور المخزنة في المتصفحات أو مديري كلمات المرور، ثم يستخدمون أدوات إدارية أصلية للتصعيد والتحرك الأفقي داخل الشبكات.
تقنيات التخفي تهيمن على المشهد
ثمانية من أصل عشرة تقنيات رئيسية في إطار MITRE ATT&CK باتت تركز على التخفي والاستمرارية، مثل:
- T1055: حقن العمليات لتشغيل البرمجيات الخبيثة داخل عمليات موثوقة.
- T1547: التنفيذ التلقائي عند الإقلاع لضمان الاستمرارية.
- T1071: بروتوكولات طبقة التطبيقات لتوفير قنوات اتصال خفية.
- T1497: تقنيات التهرب من بيئات التحليل الافتراضية.
هذا التركيز يعكس أن معيار النجاح لم يعد تعطيل الأنظمة، بل مدة بقاء المهاجمين داخل الشبكة دون اكتشاف.
برمجيات واعية ترفض التحليل
أحد الأمثلة اللافتة هو برمجية LummaC2 التي حللت أنماط حركة الماوس باستخدام حسابات هندسية للتأكد من وجود تفاعل بشري حقيقي. إذا اكتشفت أن البيئة تحليلية أو آلية، فإنها تتوقف عن التنفيذ وتظل خاملة حتى تصل إلى نظام إنتاجي فعلي.
هذا السلوك يعكس تحولاً عميقاً: اللاعمل أصبح تقنية تخفي بحد ذاته.
الذكاء الاصطناعي: تطور لا ثورة
رغم الضجة حول دور الذكاء الاصطناعي في الهجمات، لم يرصد التقرير زيادة جوهرية في تقنيات هجومية مدعومة بالذكاء الاصطناعي. معظم الهجمات ما زالت تعتمد على أساليب تقليدية مثل حقن العمليات وأوامر PowerShell. بعض البرمجيات بدأت باستخدام واجهات LLM APIs كقنوات اتصال، لكنها لم تغير جوهر التكتيكات.
العودة إلى الأساسيات الأمنية
التهديدات الحديثة تركز على:
- البقاء غير مرئية.
- استغلال الهويات والأدوات الموثوقة.
- تعطيل الدفاعات بهدوء.
- الحفاظ على الوصول لفترات طويلة.
لذلك، يوصي التقرير بالتركيز على الكشف السلوكي، تحسين إدارة بيانات الاعتماد، والتحقق المستمر من التعرض للهجمات، بدلاً من الانشغال بالسيناريوهات الدرامية التي لم تعد تعكس الواقع.
