كشف فريق صيد التهديدات التابع لشركة سيمانتك عن سلسلة هجمات إلكترونية نسبها إلى مجموعة التجسس المدعومة من روسيا والمعروفة باسم APT28، وتُعرف أيضاً بأسماء بلو دلتا وفانسي بير وفورست بليزارد. واستهدفت الهجمات دولتين عضوين في حلف شمال الأطلسي. وتتتبع سيمانتك هذه الحملة تحت اسم سوالوتيل، وقد رصدت فيها استخدام باب خلفي يحمل اسم HOOKEDGE إلى جانب أداة تحميل لم يسبق توثيقها، صُممت لفك تشفير حمولة خبيثة وتشغيلها في الذاكرة مباشرة باستخدام مفتاح تشفير يُمرَّر وقت التشغيل.
وشملت الأهداف جهة لإنفاذ القانون وشركة لبناء السفن الحربية وشركة مصنعة لمحركات الطائرات العسكرية، وهي جميعها جهات تحتفظ بمعلومات قد تهم أي جهاز استخبارات أجنبي، بحسب وحدة استخبارات التهديدات التابعة لشركة برودكوم.
تفاصيل الهجوم على شركة بناء السفن
أوضحت سيمانتك في تقرير شاركته مع موقع ذا هاكر نيوز أن المهاجمين عادوا إلى الجهاز المخترق مراراً على مدى أسبوع كامل فيما بدا أنه نشاط يدوي مباشر عبر لوحة المفاتيح. وسرقوا بيانات اعتماد بطريقتين مختلفتين، وفتحوا نفقاً دائماً عبر بروتوكول SSH إلى الشبكة الداخلية للمؤسسة، ثم نشروا أداة تحميل انعكاسية لم يُعرف عنها شيء من قبل.
وفي الهجوم الذي وقع أواخر يوليو 2026، سلّم المهاجمون نسخاً جديدة من HOOKEDGE تخلت عن استخدام خدمة webhook.site لصالح عنوان IP مخصص يعمل على المنفذ 443 في إدارة المهام وسحب البيانات. وتمثلت الطريقة الأولى لسرقة بيانات الاعتماد في دفع مفتاح SSH خاص إلى الجهاز المخترق واستخدامه فوراً لفتح اتصال عائد إلى خادم المهاجمين، مع طلب نفق خلفي دائم يمنحهم طريقاً من بنيتهم التحتية إلى الشبكة الداخلية للهدف. أما الطريقة الثانية فاعتمدت على سكربت PowerShell قصير ومستقل ينشئ مستمعاً على عنوان الحلقة المرتدة للجهاز نفسه ويجبره على المصادقة معه، فيلتقط بذلك تبادل المصادقة الخاص ببروتوكول NTLM.
ولوحظ كذلك إسقاط أداة التحميل الجديدة المسماة ld.exe عبر أمر curl يُنفَّذ من خلال SSH، وهي مصممة لفك ترميز مكون لاحق وتشغيله، بينما تظل طبيعة الحمولة النهائية مجهولة. وسُجل أحدث نشاط في 24 سبتمبر 2026 حين رُصد مشغّل بلغة Visual Basic Script مرتبط بـ HOOKEDGE داخل شبكة شركة بناء السفن. ولا يزال من غير الواضح ما إذا كانت بيانات قد سُرقت فعلاً. وأكدت سيمانتك أن الأساليب المرصودة بعد الاختراق الأولي تتجاوز آلية التسليم التي وُثقت علناً في هذه الحملة حتى الآن.
الخلفية التقنية لبرمجية HOOKEDGE
وثّقت مجموعة إنسيكت التابعة لشركة ريكورديد فيوتشر استخدام APT28 لهذه البرمجية علناً للمرة الأولى في أواخر أغسطس 2026، ضمن حملة تجسس استهدفت مؤسسات حكومية ودبلوماسية في رومانيا وإسبانيا وتركيا بين سبتمبر 2025 وأوائل أبريل 2026. وتتشارك HOOKEDGE قدراً كبيراً من الشيفرة والأساليب مع HEADLACE، وهي زرعة معيارية لنظام ويندوز تستخدمها المجموعة في هجمات ضد الدبلوماسيين منذ أبريل 2023.
وتصل HOOKEDGE عبر رسائل التصيد الموجه، وهي في جوهرها سكربت دفعي بسيط لنظام ويندوز يستقبل الأوامر من المهاجم ويعيد النتائج إليه. وتُسلَّم عبر مستندات وورد مفعّلة بالماكرو، وتتواصل بالكامل عبر عنوان على webhook.site يعمل كقناة لتجهيز المهام واستلام مخرجات التنفيذ. وتجلب الأجهزة المصابة هذه المهام باستخدام نسخة مخفية من متصفح مايكروسوفت إيدج تعمل خارج حدود الشاشة، بدلاً من الاعتماد على أداة تحميل تقليدية.
استهداف الهواتف الذكية في أوكرانيا
في تقرير نُشر أواخر الشهر الماضي، أفاد فريق الاستجابة للطوارئ الحاسوبية في أوكرانيا (CERT-UA) بأن قراصنة روساً يستهدفون على نحو متزايد الهواتف الذكية العائدة لأفراد الجيش والمسؤولين الحكوميين الأوكرانيين، لأغراض التجسس والهجمات ذات الدوافع المالية. وأشار الفريق إلى أن تنامي دور الهواتف في اتصالات العسكريين والموظفين الحكوميين والمدنيين يجعلها أهدافاً أكثر جاذبية لجمع المعلومات الاستخباراتية.
ويشمل ذلك استخدام مجموعة الاستغلال DarkSword الخاصة بنظام iOS، وتُوزَّع عبر هجمات «حفرة السقاية» من خلال مواقع إخبارية وحكومية أوكرانية مشروعة جرى اختراقها، بهدف سحب بيانات حساسة من الأجهزة المصابة. ورأى الفريق أن استخدام هذه الأداة ضد أهداف أوكرانية يدل على تنامي اهتمام الخصم بمنصة iOS التي كانت تُعد آمنة نسبياً. ويتسق ذلك مع تقرير لمجموعة استخبارات التهديدات في غوغل (GTIG) صدر في مارس 2026، ربط الجهة التجسسية الروسية UNC6353 باستخدام مجموعتي Coruna وDarkSword في حملات حفرة السقاية ضد مستخدمين أوكرانيين منذ صيف 2025.
وتمتد التهديدات إلى منظومة أندرويد، إذ تستخدم المجموعتان UAC-0244 وUAC-0263 تطبيقات خادعة لتوزيع عائلتين مختلفتين من البرمجيات الخبيثة. فالمجموعة UAC-0244 توزع برمجية CAMELSPY التي تجمع معلومات النظام والموقع الجغرافي وتفاصيل بطاقة SIM وجهات الاتصال وسجلات المكالمات والصور من المعرض. أما UAC-0263 فتوزع أداة الوصول عن بعد BTMOB RAT التي تمنح المهاجم سيطرة على الجهاز المصاب وقدرة على سحب البيانات.
ثغرات قديمة وأرقام الحوادث
رصد CERT-UA كذلك استغلال APT28 لثغرات مثل CVE-2026-21509، وهي ثغرة تجاوز لميزة أمنية في مايكروسوفت أوفيس، والثغرة CVE-2026-8496 وهي ثغرة بلا نقر في عميل البريد SOGo، وذلك لتسليم برمجية COVENANT الخبيثة وسحب بيانات اعتماد صناديق البريد وبياناتها على التوالي. وأوضح الفريق أن المجموعة لم تتخلَّ عن الأساليب القديمة المجربة التي ما زالت فعالة، ومنها استغلال ثغرات XSS في عميل البريد Roundcube، واستخدام مستندات إكسل المحتوية على ماكرو لمواصلة نشر COVENANT.
وتندرج هذه الهجمات ضمن 3137 حادثاً إلكترونياً سجّلها الفريق في النصف الأول من 2026، بزيادة تقدر بنحو 8 بالمئة عن النصف الثاني من 2025. وفي سياق متصل، أعلنت شركة Team Cymru رصد خمسة خوادم قيادة وتحكم إضافية لأداة LegionRelay تُستخدم في هجمات ضد جهات أوكرانية، وهي العناوين التالية:
91.149.221[.]118:8000
91.149.221[.]123:8000
166.88.239[.]54:8000
194.87.108[.]12:8000
194.87.108[.]217:8000
وLegionRelay اسم أُطلق على أداة وصول عن بعد مكتوبة بلغة PowerShell، تدعم تعداد الملفات وسحبها والتقاط لقطات الشاشة وسرقة بيانات المتصفح وسحب بيانات تيليغرام وواتساب وإعداد وصول عبر RDP. وتُنسب إلى جهة تهديد تُعرف باسم GREYVIBE، يُقدَّر أنها تشن هجمات متواصلة ضد أوكرانيا والجهات المرتبطة بها منذ أغسطس 2025 على الأقل.
