كشفت شركة مايكروسوفت في تقرير استخباراتي حديث عن اعتماد مجموعة قرصنة روسية تابعة لجهاز الأمن الفيدرالي أسلوب تصيد خبيث يُدعى ريد فليك، نجح في اختراق أكثر من 100 منظمة ومؤسسة في الولايات المتحدة وبريطانيا بنقرة مستخدم واحدة.
- تقرير استخباراتي يفضح تحول تكتيكات ستار بليزارد
- استهداف المؤسسات الدولية والداعمة لسياسات أوكرانيا
- اختراق مواقع ووردبريس وسي بانل لإرسال الطعوم
- تطور تقنيات التخفي وإرشادات الدفاع السيبراني
- أسئلة شائعة
تقرير استخباراتي يفضح تحول تكتيكات ستار بليزارد
نشرت شركة «مايكروسوفت» يوم الثلاثاء تقريراً استخباراتياً مفصلاً حول التهديدات السيبرانية، كشفت فيه أن مجموعة القرصنة الروسية المدعومة حكومياً «ستار بليزارد» اعتمدت أسلوباً برمجياً جديداً لتسليم البرمجيات الخبيثة يُدعى «ريد فليك»، مما يمثل تحولاً جذرياً في عمليات المجموعة من التصيد الرمحي الدقيق والمحدود إلى حملات تصيد واسعة النطاق أصابت أكثر من 100 منظمة ومؤسسة دولية، تتركز غالبيتها في الولايات المتحدة الأمريكية والمملكة المتحدة.
وتتبع هذه المجموعة الاستخباراتية مركز العمليات الثامن عشر التابع لجهاز الأمن الفيدرالي الروسي وفقاً لتصنيفات وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية. واستخدمت المجموعة أسلوب ريد فليك منذ يناير 2026 لنشر بابها الخلفي المخصص «كوزميك بلس» عبر المهام المجدولة في نظام ويندوز، وهي آلية خبيثة تقتضي نقرة وتفاعلاً واحداً فقط من المستخدم للسيطرة على الجهاز، متخلية عن تكتيكاتها السابقة المعقدة التي كانت تتطلب خطوات تفاعلية متعددة من الضحية.
استهداف المؤسسات الدولية والداعمة لسياسات أوكرانيا
استهدفت هذه الحملات المنظمة بصورة أساسية شخصيات ومؤسسات أوكرانية، بالإضافة إلى منظمات غير حكومية دولية، ومراكز أبحاث استراتيجية، ووزارات حكومية، وهيئات مالية ترتبط ارتباطاً وثيقاً بملفات دعم أوكرانيا والسياسات الغربية.
ورصدت مايكروسوفت ما لا يقل عن 13 حملة تصيد ضخمة ومستقلة شنتها المجموعة بين شهري يناير وأغسطس 2026؛ حيث تنوعت الطعوم الاحتيالية بين إشعارات ضريبية أوكرانية مزيفة، ودعوات مفبركة لحضور مؤتمرات وفعاليات دبلوماسية منسوبة زوراً لمؤسسات مرموقة؛ مثل المعهد الدولي للدراسات الاستراتيجية، والمجلس الأطلسي، وتشاتام هاوس البريطاني.
اختراق مواقع ووردبريس وسي بانل لإرسال الطعوم
في تحول عملياتي لافت ومثير للقلق، بدأت المجموعة الروسية في استخدام حسابات منشأة على مواقع مخترقة تعمل بنظام إدارة المحتوى «ووردبريس» وخوادم «سي بانل» لإرسال رسائل التصيد الاحتيالي، متخلية عن اعتمادها التاريخي على خدمات البريد الإلكتروني المجانية المشفرة مثل بروتون ميل.
وقدرت فرق استخبارات التهديدات في مايكروسوفت «بدرجة ثقة عالية» أن مواقع ووردبريس تلك قد جرى اختراقها واستغلالها من قبل المجموعة خصيصاً لهذا الغرض، لتجاوز مرشحات البريد العشوائي وإضفاء مصداقية على الرسائل الخبيثة.
تطور تقنيات التخفي وإرشادات الدفاع السيبراني
شهد أسلوب ريد فليك تطوراً ملحوظاً خلال أشهر عام 2026؛ ففي يناير اعتمدت المجموعة على ملفات الأقراص الافتراضية المحمية بكلمات مرور، وبحلول أبريل باتت مثبتات البرامج تنشئ مهام مجدولة متنكرة في هيئة مكونات شبكية شرعية مثل «فحص جودة الاتصال» و«مراقبة صحة النظام»، وفي يوليو استخدمت سلاسل هجومية متخفية داخل ملفات المستندات الرقمية، بينما شهدت حملات أغسطس استخدام تقنيات إخفاء البيانات المشفرة داخل الصور.
وحثت مايكروسوفت المنظمات المعرضة للخطر على تطبيق بروتوكولات المصادقة المقاومة للتصيد، وتفعيل سياسات الوصول المشروط، ونشر أنظمة فحص الروابط والمرفقات الآمنة، مع تشغيل حلول الاستجابة لنقاط النهاية في وضع الحظر الشامل لمنع تسلل الأبواب الخلفية.
ويؤكد هذا التطور الخطير ضرورة مراجعة سياسات الأمان في الشركات المستهدفة وتحديث أدوات التحقق من التهديدات الداخلية لمنع استغلال مواقع إدارة المحتوى في نشر برمجيات التجسس الرقمي.
أسئلة شائعة
السؤال: ما هي مجموعة القرصنة المسؤولة عن هجمات ريد فليك وما تبعيتها؟
الإجابة: هي مجموعة ستار بليزارد التابعة لمركز العمليات 18 بجهاز الأمن الفيدرالي الروسي.
السؤال: كيف تمكنت المجموعة من إرسال رسائل التصيد دون اكتشافها؟
الإجابة: قامت باختراق مواقع ووردبريس وخوادم سي بانل واستخدمتها لإرسال الرسائل بدلاً من خدمات البريد المجانية.
السؤال: ما الذي يميز تكتيك ريد فليك عن أساليب القرصنة السابقة؟
الإجابة: يتطلب تفاعلاً ونقرة واحدة فقط من الضحية لزرع الباب الخلفي كوزميك بلس في نظام التشغيل والسيطرة عليه.
