هجوم إلكتروني روسي يستهدف أوكرانيا عبر ثغرة في برنامج أرشيف الملفات

تتمتع برمجيات السرقة التي تنشرها غورباغ أيضاً بقدرة على حصاد إعدادات شبكات الاتصال الخاصة بالوكلاء الافتراضيين المستندة إلى البروتوكولات المفتوحة والوثائق ذات الأهمية، مما يثير احتمال أن تعمل المجموعة كوسيط للوصول الأولي، حيث تتنازل عن البيانات المسروقة لجهات تهديد أخرى تنفذ أنشطة استغلال لاحقة. إذا كان هذا صحيحاً، فقد تمثل غورباغ المرحلة الأولى فقط من سلسلة اختراق أطول، حيث تبقى المراحل اللاحقة قيد الملاحظة. تتماشى خيارات الاستهداف عن كثب مع أولويات الاستخبارات الروسية في وقت الحرب.

تعتمد الهجمات على رسائل تصيد انتقامي تحتوي على مرفقات خبيثة تستخدم طعماً إدارياً أو حكومياً، مثل الغرامات الإدارية أو الضرائب، لبدء تسليم البرمجيات الخبيثة. في حالة واحدة، تم استخدام جدول بيانات إكسل مفعّل بالماكرو كنقطة انطلاق لتشغيل حمولة في بي إيه، التي تقوم بفك تشفير وتنفيذ برمجيات بيوتيستيلر. بيوتيستيلر هي الأداة الأساسية لحصاد البيانات، والتي يمكنها التقاط البيانات من متصفحات كروم وإيدج وأوبرا وفايرفوكس، وإعدادات شبكات الاتصال الخاصة، والملفات المطابقة لتوسعات محددة، بما في ذلك مستندات مايكروسوفت أوفيس والأرشيفات والبريد الإلكتروني وقواعد بيانات كيباس وإعدادات بروتوكول سطح المكتب عن بعد.

تُضغط البيانات المجمعة في أرشيف وتُرسل إلى دردشة تيليجرام يسيطر عليها المهاجم أو إلى خادم أمر وتحكم مخصص. بعد اكتمال المهمة، تزيل بيوتيستيلر نفسها من المضيف المصاب، مما يؤكد تركيزها على جمع المعلومات المتقطع بدلاً من الحفاظ على وصول دائم. أكد الباحثون أن بيوتيستيلر هي تطور لبرمجيات غيفتدكروك الخبيثة، وأن المجموعة انتقلت بالكامل إلى استخدام متغير بيوتيستيلر فقط منذ نهاية ديسمبر 2025. رُصدت العينات الأولى في ديسمبر 2025، وبدأت العائلة الحالية في فبراير 2026 باستغلال الثغرة الأمنية المذكورة. استخدمت موجات الهجوم الأولية في أوائل 2025 أداة شل عكسي مشتقة من برنامج آخر لتنفيذ الأوامر على الأنظمة المصابة وإرجاع النتائج إلى خادم الأمر والتحكم. تتضمن إحدى المتغيرات تعليقاً في أعلى السكربت يحاول خداع المساعدات الذكية والمنتجات الأمنية، لكن الاختبارات العملية أثبتت عدم فعالية هذا الحقن التوجيهي في منع تحديد الأداة كشل عكسي. لا تتطلب عمليات التجسس السيبراني دائماً برمجيات خبيثة متطورة، فبرمجيات السرقة البسيطة وشل عكسي كافية لدعم جمع المعلومات الاستخباراتية المستهدفة ضد منظمات أوكرانية ذات اهتمام واضح في وقت الحرب.