حملة تجسس سيبراني في الشرق الأوسط وإفريقيا تستخدم برمجية خبيثة جديدة

اكتشف فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) حزمة برمجيات خبيثة لم يتم توثيقها سابقاً، وتستخدمها مجموعة Mirage Kitten المتقدمة المستمرة. وأعلنت الشركة عن هذه الأبحاث خلال مؤتمرها السنوي (Cyber Security Weekend) لمنطقة الشرق الأوسط وتركيا وإفريقيا (META). وقد استخدمت هذه الأدوات الخبيثة في حملة موجهة ركزت على ضمان وصول طويل الأمد إلى شبكات الضحايا وسرقة بيانات حساسة ومهمة.

رصد باحثو الشركة الضحايا المستهدفين بهذه الحملة في عموم الشرق الأوسط وإفريقيا، وتضمنت القائمة مؤسسات في مصر، وشركات صغيرة ومتوسطة وهيئات حكومية في الأردن وتنزانيا، ومؤسسات طيران في باكستان، وشركات اتصالات في إثيوبيا، وهيئات ضمن القطاع المالي في بوركينا فاسو.

تتضمن مجموعة الأدوات ثلاثة برامج مخصصة. ويعدّ NightLedger البرنامج الأساسي فيها، وهو أداة باب خلفي حديثة الاكتشاف تعمل في نظام ويندوز، وقد نُسبت إلى المجموعة نظراً لتشابه كودها البرمجي وسلوكها مع برمجياتها الخبيثة المعروفة سابقاً. وتمنح هذه الأداة المهاجمين تحكماً عن بعد في الأجهزة المصابة؛ إذ يمكنهم تشغيل الأوامر، واستكشاف الملفات ونقلها، والتقاط صور للشاشة. ويكتمل هذا التهديد مع أداتين سريتين لإنشاء أنفاق اتصال هما ArcBridge وBridgeHead، اللتين تحولان الحاسوب المخترق إلى عقدة لتحويل وتمرير البيانات والاتصالات؛ حيث يُشغل المهاجمون أدواتهم على خوادمهم الخاصة، فيما يتم تمرير جميع البيانات الناتجة بخفية عبر جهاز الضحية لتبدو كأنها صادرة من داخل شبكته. ويتيح هذا الأمر للمهاجمين التسلل وتجاوز دفاعات الشبكة، وامتلاك وصول طويل الأمد دون لفت الانتباه. وقد رُصدت أولى هذه الأدوات في شهر أبريل عام 2026 خلال نشاط خبيث استهدف ضحايا في الشرق الأوسط.

وبينما يظل ناقل الهجوم الأول غير معروف في معظم الحالات، رصد باحثو فريق البحث والتحليل العالمي في كاسبرسكي نشر أداة BridgeHead في الأنشطة التالية للاختراق في بيئات الجهات المستهدفة في مصر ومؤسسة طيران وفضاء في باكستان. وفي تلك الحالات، جاء نشاط الاختراق عقب محاولات تصيد احتيالي موجهة تتسق مع الأساليب المعهودة عن هذه المجموعة. وقد صممت حيل الخداع بدرجة عالية من التخصيص، وتضمنت رسائل توظيف تنتحل هوية علامات تجارية ومنصات توظيف موثوقة، فضلاً عن صفحات اجتماعات فيديو وهمية تُعيد توجيه الضحايا إلى ملفات أرشيفية خبيثة مخزنة في خدمات مشاركة ملفات تابعة لجهات خارجية.

يعلق على هذه المسألة عمر أمين، باحث أمني خبير في فريق البحث والتحليل العالمي في كاسبرسكي: «بناء على أحدث نتائجنا، نرى أنّ مجموعة Mirage Kitten تُواصل تطوير ترسانتها من البرمجيات الخبيثة التي تدعم عمليات التجسس الإلكتروني الموجهة في عموم الشرق الأوسط وإفريقيا. وتتجلى إحدى السمات البارزة الأخرى لهذه الحملة في اعتماد المجموعة المتواصل على أدوات أنفاق الاتصال الخفية كجزء من أدواتها التشغيلية المستخدمة، ويتيح هذا الأمر عملياً للمهاجمين تجاوز ضوابط الشبكة الأمنية، والمحافظة على وصول خفي إلى البيانات المخترقة، وزيادة صعوبة وتعقيد جهود الاكتشاف بشكل كبير. ولمّا كانت هذه الأساليب تتطور باستمرار، فإنه ينبغي للمؤسسات ومسؤولي الحماية والأمن إدراج هذه النتائج في تقييماتهم للتهديدات السيبرانية، وتعزيز قدرات الاكتشاف والاستجابة وفقاً لهذه المعطيات.»