ثغرة Windows الصفرية لمجموعة Lazarus: عرض عمل مزيف من Lockheed Martin مع برنامج تحكم خفي بمستوى النواة

عرض عمل كان في الواقع نظام توصيل لبرنامج تحكم خفي

لا يمكن لطُعوم الهندسة الاجتماعية أن تكون أكثر استهدافاً تحديداً من إعلان وظيفة مزيف من مقاول دفاع حقيقي يُرسَل بالضبط إلى المحترفين الذين يرغبون في تلك الوظيفة. وثّقت Check Point Research أن مجموعة Lazarus — جهة التهديد المدعومة من الدولة الكورية الشمالية — نفّذت حملة استخدمت ملف PDF خادعاً يعرض وصف وظيفة من Lockheed Martin، إلى جانب طُعم ثانٍ ينتحل صفة Enveil، شركة تقنيات تعزيز الخصوصية، لمقاربة محترفي الدفاع والطيران. استهدفت الحملة تحديداً منظمات تطوّر تقنيات عسكرية تشمل مستشعرات المراقبة والطائرات المسيّرة والروبوتات، مع أهداف مؤكدة في فرنسا وألمانيا والهند والبرازيل. تؤكد تغطية مستقلة من BleepingComputer تركيز الحملة على قطاع الدفاع وتؤكد أن الثغرة الصفرية استُخدمت تحديداً لنشر باب خلفي لم يُشاهَد سابقاً ضد شركات الطيران والدفاع المستهدفة.

السلسلة التقنية وراء هذا الطُعم هي ما يجعل الحملة خطيرة فعلياً لا مقنعة فحسب. واجه الضحايا الذين فتحوا الطُعم أحد مسارين للإصابة: أرشيف ZIP مشفّر يحتوي على عارض PDF شرعي وموقّع رقمياً إلى جانب ملف DLL خبيث (libmupdf.dll) يُحمَّل عبر تحميل DLL جانبي بينما يعرض إعلان الوظيفة الخادع، أو عارض PDF مُحصَّن يُدعى “SecurityPDF” — نسخة معدّلة من عارض MuPDF مفتوح المصدر — يُوزَّع عبر مواقع منتحلة. تحتوي ملفات PDF المصممة خصيصاً والمفتوحة في العارض المُحصَّن على نص علامة حرفي يقرأ “This document is encrypted with sumatrapdf reader!!!!!!!!!!!!!!!” قبل أن يستخرج فك تشفير XOR أحادي البايت باستخدام المفتاح 0x39 باباً خلفياً مضمّناً.

من أداة تنزيل إلى برنامج تحكم خفي بمستوى النواة في سلسلة واحدة

بمجرد بدء التنفيذ، تتصاعد السلسلة بسرعة. ينشر كلا مساري الإصابة MISTPEN، أداة تنزيل خفيفة تعمل في الذاكرة تُنشئ استطلاعاً واستمرارية قبل تفعيل السلاح الفعلي للحملة: CVE-2026-68820، وهي ثغرة استخدام-بعد-تحرير (use-after-free) في برنامج تشغيل الوظائف المساعدة لـWindows الخاص بـWinSock (AFD.sys). يؤكد إشعار Microsoft نفسه أن الثغرة تتيح لمهاجم محلي منخفض الصلاحيات رفع صلاحياته إلى مستوى SYSTEM عبر تحفيز حالة تسابق (race condition)، وهو أمر حاسم للمدافعين، لا تتطلب أي تفاعل من المستخدم بمجرد امتلاك المهاجم بالفعل تنفيذاً للكود على الجهاز، ما يعني أن عرض العمل المزيف كان مجرد ناقل الدخول، لا الهجوم بأكمله.

بمجرد تأمين وصول بمستوى SYSTEM، تنشر Lazarus ForestTiger، وهو باب خلفي موثّق جيداً نُسب سابقاً إلى المجموعة، إلى جانب نسخة محدَّثة من FudModule — برنامج تحكم خفي (rootkit) بوضع النواة مصمم خصيصاً للتدخل في أدوات مراقبة الأمن من داخل حلقة صلاحيات نظام التشغيل نفسه. يمكن لبرنامج تحكم خفي يعمل بهذا المستوى تعمية أو تعطيل برمجيات كشف نقاط النهاية العاملة على الجهاز نفسه، وهذا بالضبط سبب أهمية خطوة رفع الصلاحيات بقدر أهمية الوصول الأولي: دون صلاحيات SYSTEM، لا يستطيع FudModule التثبت بعمق كافٍ للتهرب من أدوات الأمن التي يعتمد عليها المدافعون لكشفه.

نافذة خمسة أسابيع بين الاستغلال والتحديث

يُظهر الجدول الزمني الذي وثّقته Check Point دقة حقيقية من كلا الجانبين — جانب المهاجمين وجانب المدافعين. تحدد الأدلة الجنائية، بما فيها طابع زمني للترجمة على ملف FudModule الثنائي، موجة الحملة بأنها بدأت في 7 يوليو 2026 على الأقل. أبلغت Check Point الثغرة إلى Microsoft في 28 يوليو 2026؛ أكدت Microsoft الخلل في 31 يوليو؛ خُصص معرّف CVE في 5 أغسطس؛ وصدر التحديث في 11 أغسطس 2026 كجزء من إصدار Patch Tuesday لذلك الشهر، الذي عالج أكثر من 400 ثغرة إجمالاً. تضع تغطية Tech Times لجدول الإفصاح الزمني التسلسل نفسه صراحة كنافذة استغلال مدتها خمسة أسابيع، مؤكدة أن Lazarus امتلكت استغلالاً فعالاً من نوع الثغرة الصفرية لرفع الصلاحيات، قيد الاستخدام النشط ضد أهداف حقيقية في قطاع الدفاع، قبل أن تبدأ حتى عملية الإفصاح-إلى-التحديث الخاصة بـMicrosoft.

هذه الفجوة هي الواقع غير المريح لاقتصاديات الثغرات الصفرية: حتى عملية إفصاح منسقة تُدار بشكل جيد وسريع — انتقلت Microsoft من تأكيد الخلل إلى إصدار التحديث خلال 11 يوماً بمجرد تلقي بلاغ Check Point — لا تزال تترك فترة من عدة أسابيع يعمل خلالها فاعل تابع لدولة يمتلك استغلالاً فعالاً للنواة ضد أهداف حقيقية دون دفاع متاح يتجاوز الكشف والتحليل السلوكي. والجدير بالذكر أن باحثي الأمن لاحظوا أن حجم التحديثات المرتفع في أغسطس 2026 لم يُصاحَب بارتفاع متناسب في الثغرات الصفرية المستغَلة بنشاط عبر إصدار Patch Tuesday الأوسع — ما يعني أن CVE-2026-68820 لم تكن جزءاً من موجة استغلال أوسع، بل سلاحاً موجهاً لحملة واحدة.

اختيار AFD.sys كهدف للاستغلال لافت بحد ذاته من منظور دفاعي. برنامج تشغيل الوظائف المساعدة لـWinSock مكوّن أساسي بوضع النواة يعالج عملياً كل عمليات المقابس (sockets) التي تُجريها تطبيقات Windows عبر واجهة برمجة المقابس القياسية — ما يعني أنه يعمل على كل جهاز Windows يتعامل مع أي شكل من أشكال الاتصال الشبكي، ما يمنح Lazarus مساراً شبه شامل لرفع الصلاحيات بمجرد تحقيق تنفيذ الكود الأولي، بصرف النظر عن البرمجيات أو التهيئة المحددة التي يشغّلها مقاول دفاع معين. هذه الشمولية هي بالضبط ما يجعل ثغرة على مستوى برنامج التشغيل أكثر قيمة لفاعل تابع لدولة ذي موارد وفيرة من خلل خاص بتطبيق معين: فهي تعمل عبر كامل تنوّع أسطول Windows لمؤسسة مستهدفة دون الحاجة إلى استطلاع البرمجيات الخارجية المحددة المثبتة على كل جهاز.

ماذا يعني هذا لمؤسسات قطاع الدفاع ومورديها

1. عاملوا اتصالات التوظيف التي تحمل طُعوم صناعة الدفاع كفئة مخاطر محددة ومرتفعة

بما أن هذه الحملة حوّلت عروض عمل واقعية من شركات حقيقية مسمّاة (Lockheed Martin وEnveil) إلى سلاح، ينبغي لمؤسسات الدفاع والطيران توعية الموظفين — خصوصاً في الأدوار التقنية أو الهندسية التي تتعامل مع برامج حساسة — بأن أي اتصال غير مرغوب من جهة توظيف يحمل مرفقات وثائق، حتى لو أشار إلى شركات حقيقية ومعروفة، يستدعي تحققاً عبر قناة منفصلة قبل الفتح.

2. حدّثوا CVE-2026-68820 فوراً وتحققوا من أن AFD.sys محدَّث عبر أسطولكم

بما أن الثغرة لا تتطلب أي تفاعل من المستخدم بمجرد امتلاك المهاجم تنفيذاً محلياً للكود، يظل أي نظام Windows غير محدَّث معرّضاً لرفع الصلاحيات حتى لو نجحت مؤسستكم في حجب ناقل التصيد الأولي. تأكدوا من نشر تحديث 11 أغسطس 2026 عبر جميع نقاط نهاية Windows، لا الأنظمة التي يُعتقد أنها معرضة بشكل مرتفع فقط.

3. افترضوا أن أدوات برامج التحكم الخفية بمستوى النواة يمكنها هزيمة كشف نقاط النهاية الحالي لديكم

هدف تصميم FudModule المحدد — تعطيل مراقبة الأمن من داخل النواة — يعني أن مؤسسات الدفاع والطيران والقطاعات المجاورة ينبغي ألا تعتمد فقط على أدوات كشف نقاط النهاية والاستجابة لالتقاط هذه الفئة من الهجمات. أضيفوا طبقة من كشف الشذوذ على مستوى الشبكة وتوجيه سجلات خارج النطاق لا يمكن لنقطة نهاية مخترقة العبث بها، إذ يهدف نشر FudModule الناجح تحديداً إلى تعمية الأدوات ذاتها التي تعتمد عليها معظم المؤسسات للكشف.

طُعم التوظيف الذي لا يزال ناجحاً

تعمل Operation Dream Job منذ سنوات تحديداً لأنها تستغل شيئاً يصعب على التدريب على الوعي الأمني مواجهته بالكامل: الطموح المهني. عرض عمل واقعي من مقاول دفاع حقيقي ومعروف طُعم أصعب مقاومة من رسالة تصيد عامة، وقد قرنت Lazarus الآن هذا النهج المثبت للهندسة الاجتماعية بثغرة صفرية حقيقية بمستوى النواة بدلاً من برمجية خبيثة شائعة. الفجوة الممتدة خمسة أسابيع بين الاستغلال المؤكد والتحديث المتاح تذكير بأن المرحلة الأخطر في أي حملة ثغرة صفرية هي تلك التي تحدث قبل أن يعلم أي شخص خارج المهاجم، ولاحقاً المورد، بوجودها — وهذا بالضبط سبب حاجة مؤسسات قطاع الدفاع المذكورة كأهداف في هذه الحملة إلى كشف سلوكي وعلى مستوى الشبكة قادر على التقاط تقنية جديدة، لا مجرد قائمة ثغرات مُحدَّثة.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Shattering the Dream — When a Job Offer Becomes a Zero-Day Attack — Check Point Research
• Microsoft patches 400+ vulnerabilities, one zero-day under attack (CVE-2026-68820) — Help Net Security
• Lazarus hackers exploited Windows zero-day to target defense firms — BleepingComputer
• Lazarus Group Hacked Defense Workers With Windows Kernel Zero-Day for Five Weeks — Tech Times