أمضت مجموعة هاكتيفيست مرتبطة ببيلاروسيا قرابة عامين داخل شبكة مؤسسة رعاية صحية روسية. وبحسب تقرير نشرته شركة Solar الروسية للأمن السيبراني، نُسب النشاط إلى مجموعة تهديد تُعرف باسم Partisan Zmiy، وتُسمى أيضاً Cyber Partisans. وتنشط المجموعة منذ عام 2020 على الأقل، ولها سجل في استهداف مؤسسات صناعية وجهات حكومية في روسيا وبيلاروسيا بباب خلفي يسمى Vasilek يستخدم تطبيق تيليغرام للتحكم والسيطرة ولتسريب البيانات. واكتشفت Solar، التابعة لشركة Rostelecom، الاختراق في ديسمبر 2025، لكن الأدلة تشير إلى أن أولى علامات الاختراق تعود إلى مطلع 2024. ولم تكشف الشركة اسم المؤسسة المستهدفة، كما أن أسلوب الوصول الأولي إليها غير معروف.
تغيير في أسلوب المجموعة
استخدمت بعض هجمات المجموعة رسائل تصيّد لتوزيع مثبّت يضع على الجهاز برنامج FortiClient VPN الشرعي وبرنامجاً مفتوح المصدر يسمى DNSCat2 يتيح للمهاجمين التحكم بالجهاز المصاب. وتتميز المجموعة بقدرتها على تنفيذ هجمات تدميرية بأداة مسح تسمى Pryanik، وبمسح سجلات أحداث ويندوز بانتظام عبر أداة تسمى Evlx. لكن المهاجمين في هذه الحالة، خلافاً لهجمات أخرى منسوبة إلى المجموعة، بقوا في الشبكة مدة طويلة دون أي نشاط تدميري، وهو تحول في أسلوب عملها. وقالت Solar إن المؤسسة المستهدفة تملك بنية واسعة وعلاقات ثقة متبادلة مع مؤسسات طبية تابعة عديدة، وإن غياب تعطيل البنية يعود على الأرجح إلى قيمة هذا الوصول في التجسس لاحقاً وفي هجمات علاقات الثقة.
التخفي داخل VMware Tools
رُصدت في الاختراق خدمة تحميل وجدولة باسم vmauad تتنكر في هيئة مكوّن شرعي من VMware للحفاظ على بقائها وتفادي الفحص السطحي. واستغل المهاجمون موقعاً موثوقاً غير خاضع للمراقبة في مجلد VMware Tools لزرع ملفات تنفيذية خبيثة أو استبدال مكتبات DLL الشرعية بنسخة خبيثة باسم vmtools.dll تحوي الباب الخلفي. وتتولى خدمة ويندوز هذه تشغيل الملف التنفيذي الخبيث authd.exe في المسار C:\Program Files\VMware\VMware Tools، وهو يشغّل نفقاً من نوع GOST كل سبت من العاشرة مساءً إلى الحادية عشرة، ويشغّل مرة واحدة نسخة محدّثة من Vasilek (الإصدار 1.5.8) بعد ثماني ساعات من بدء الخدمة.
وبعد تثبيته يستطيع Vasilek جمع معلومات عن الجهاز المصاب، وتنفيذ أوامر ويندوز، وتشغيل العمليات وإنهائها، ونقل الملفات، والتقاط لقطات الشاشة، وتسجيل ضغطات المفاتيح، ورفع الصلاحيات عبر runas. ويمنع الجهاز كذلك من الدخول في وضع السكون، ويحدّث نفسه أو يزيل نفسه. ومن الإضافات الجديدة الأمر move_cursor الذي يتيح للباب الخلفي تحريك المؤشر ومحاكاة إدخال المستخدم على الشاشة.
وقالت Solar إن المجموعة تستثمر باستمرار في التخفي والأمن التشغيلي بدلاً من القدرات الجديدة، ومن ذلك ربط اسم الجهاز في مكونين مستقلين، وإطلاق الحمولات ليلاً بجدولة، ووراثة إعدادات الوكيل في النظام، والتنكر في هيئة برامج مثبتة بشكل شرعي لكنها غير مستخدمة، وتدوير الملفات في المسارات نفسها، وتزييف الطوابع الزمنية، وكتم الرسائل الصادرة، وإرسال رسائل مجهولة باسم المجموعة في محادثات المشغّلين. وأضافت أن مجموعة ميزات الباب الخلفي لم تتغير كثيراً عبر أربع مراجعات، وأن الاتصال بين Vasilek وخادم التحكم صار غير مستقر لأن مزودي الإنترنت في روسيا يحجبون تيليغرام.
حملة تصيّد ببرمجية HypeAgent
كشفت Solar كذلك تفاصيل حملة تصيّد تستخدم مرفقات JavaScript تحاكي مستندات تجارية مثل المدفوعات وأوامر الشراء لتوزيع عائلة برمجيات خبيثة لم يُبلَّغ عنها سابقاً تسمى HypeAgent. وهي حصان طروادة كامل الميزات لنظام ويندوز، مصمم للسيطرة التامة على الأجهزة المصابة، ويستطيع سرقة الملفات وفتح وحدة تحكم نصية وتغيير خلفية سطح المكتب وتشغيل كاميرا الويب وتسجيل ضغطات المفاتيح وتشغيل جلسات VNC وRDP خفية والتحكم بالفأرة ونشر برنامج تعدين للعملات المشفرة. ويمكنها أيضاً سرقة ملفات تعريف الارتباط المرتبطة بحسابات Discord وSteam وGitHub وInstagram وTelegram وBinance وChatGPT وClaude وCursor، والعبث بتطبيق محفظة Exodus لحقن شيفرة JavaScript تجمع كلمة المرور ورمز PIN والعبارة السرية والمفتاح الخاص.
نشاط آخر رصدته Solar وتطورات قضائية
رصدت Solar في يونيو الماضي بنية تحتية شرعية اخترقتها برمجية الشبكة الآلية ProxyCB لبرامج الوكيل تُجري طلبات آلية إلى مواقع ومنصات روسية، وحددت تداخلات محتملة بين بنية هذه الشبكة ونشاط تاريخي مرتبط بمجموعة TeamSpy المعروفة بإساءة استخدام TeamViewer لتسهيل الاستطلاع وسرقة البيانات. وفي الشهر الماضي وجهت وزارة العدل الأمريكية اتهامات إلى الروسي سيرجودين تاميرلانوفيتش أكتولايف، البالغ 40 عاماً، الذي سُلّم من قبرص في مايو 2025، بتهمة استغلال خدمة مراسلة على منصة معروفة للعمل الحر لإرسال مرفقات إكسل ملغومة إلى نحو 80 ألف مستخدم عامي 2016 و2017 عبر 255 حساباً مزيفاً. وأدى ذلك إلى نشر نوعين من البرمجيات الخبيثة، هما نسخة من TVRAT المعروفة أيضاً بأسماء Sheldor وSpyAgent وTeamBot وTeamSpy وTVSPY، وDarkVNC، لجمع البيانات من جهاز الضحية وإرسالها إلى خادم يتحكم به المهاجم. ويُقدَّر أن آلاف الحواسيب أُصيبت.
