IOCs

BREAK THE SILENCE: TRACKING SILENT LYNX THROUGH EXPOSED INFRASTRUCTURE PDF: github.com/blackorbird/APT_REPORT/blob/master/Sil… Silent Lynx: github.com/blackorbird/APT_REPORT/tree/master/Sil… t.co

حملة تجسس مرتبطة بالصين تستخدم Antino وMicrosoft 365 كشف باحثون في Cisco Talos عن حملة تجسس تستهدف جهات حكومية وسياسية وأمنية في آسيا، وتستخدم باباً خلفياً جديداً لنظام Windows أُطلق عليه اسم Antino. ما يميز الحملة أن البرمجية تستخدم Outlook وOneDrive، عبر Microsoft Graph، لإرسال الأوامر ونقل الملفات، بدلاً من الاتصال بخادم تحكم تقليدي قد يسهل رصده. ما حجم الحملة ومن المستهدف؟ يراقب Talos المجموعة تحت اسم UAT-11587. وبدأ رصد نشاطها في سبتمبر 2025؛ وبحلول يوليو 2026، حدد الباحثون نحو 16 بيئة مؤسسية متأثرة أو مستهدفة في ثماني دول، ونحو 350 جهازاً مخترقاً. وشملت الجهات المتأثرة أو المستهدفة مؤسسات حكومية وأمنية ودبلوماسية وتشريعية، إلى جانب مراكز أبحاث ومنظمات مجتمع مدني. وذكر التقرير دولاً منها تايوان والهند والفلبين وكمبوديا وباكستان وتايلاند وميانمار وسوريا. تقيّم Cisco Talos المجموعة بأنها مرتبطة بالصين بدرجة ثقة عالية، استناداً إلى مجموعة من المؤشرات التقنية والعملياتية، وليس إلى مؤشر منفرد. هذا تقييم بحثي لا يثبت علناً هوية أفراد المجموعة أو ارتباطها المباشر بجهة حكومية محددة. كيف تصل البرمجية إلى الأجهزة؟ يبدأ مسار الهجوم برسائل تصيّد موجّهة، صُممت لتبدو مرتبطة بموضوع يهم الجهة المستهدفة، مثل السياسة أو الشؤون الدبلوماسية أو الأمن البحري. وفي إحدى الطرق، أنشأ المهاجمون رسالة تحاكي معاينة المرفق في Gmail؛ فتبدو للمستلم كأنها بطاقة مرفق عادية، لكنها في الواقع رابط إلى موقع يتحكم به المهاجمون. قد يؤدي فتح الرابط إلى تشغيل سلسلة من الملفات والبرامج الوسيطة، ثم تحميل Antino إلى جهاز Windows. وذكر Talos أن بعض العينات استخدمت ملفاً ضاراً من نوع HTA أو WSF، ثم حمّلت مكوّناً آخر واستغلت برنامجاً موقعاً من Microsoft لتحميل ملف خبيث إلى جانبه. يُعرف هذا الأسلوب باسم DLL sideloading: استغلال برنامج موثوق لتشغيل مكتبة ضارة تحمل الاسم أو الموقع المتوقع. ماذا يستطيع Antino أن يفعل؟ بحسب تحليل Talos، يمكن لـAntino أن يجمع معلومات عن الجهاز، وينفذ أوامر وPowerShell، ويستعرض ملفات، وينقل الملفات، ويحمّل شيفرة إلى الذاكرة، ويحافظ على الوصول إلى الجهاز المصاب. أما قناة التحكم فتعمل كالتالي: - يتفقد Antino صندوق Outlook المرتبط بالمهاجم بحثاً عن أوامر جديدة، في بعض النسخ كل 10 ثوانٍ. - تستخدم الرسائل حقولاً وموضوعات محددة لتوجيه الأوامر والنتائج. - يستخدم OneDrive لإرسال إشارات دورية بحالة الجهاز، ولرفع الملفات المسروقة وتنزيل أدوات إضافية. بهذا الأسلوب، قد تبدو اتصالات البرمجية شبيهة بحركة Microsoft 365 الاعتيادية. لكنه لا يعني أن Microsoft أو خدماتها كانت مخترقة؛ الحيلة هي إساءة استخدام البنية السحابية المشروعة كقناة اتصال. لماذا يصعب رصد هذا الأسلوب؟ كثير من المؤسسات تسمح لموظفيها باستخدام Outlook وOneDrive وMicrosoft Graph. لذلك قد لا يكون حجب نطاقات Microsoft خياراً عملياً، وقد لا تكفي مراقبة عناوين IP وحدها. أوصى فريق CERT-PH بمراجعة سجلات Microsoft 365 وOutlook وOneDrive وEntra ID وتطبيقات OAuth، إلى جانب سجلات الأجهزة والبريد الإلكتروني. ماذا يُنصح به للمؤسسات؟ - راجعوا رسائل التصيّد التي تتعلق بالشؤون الحكومية أو السياسية أو الدبلوماسية، خصوصاً المرفقات والروابط غير المتوقعة. - افحصوا سجلات Microsoft 365 وMicrosoft Graph بحثاً عن استخدام غير معتاد لتطبيقات OAuth أو نشاط غير مألوف في Outlook وOneDrive. - ابحثوا على أجهزة Windows عن تشغيل غير متوقع لـmshta.exe أو Windows Script Host أو PowerShell، وعن تحميل مكتبات DLL من مجلدات غير معتادة. - افحصوا مؤشرات الاختراق وقواعد الكشف التي نشرها Talos، واعزلو الأجهزة المشبوهة واحفظوا سجلاتها للتحقيق. - إذا ظهرت مؤشرات اختراق، راجعوا الحسابات والجلسات السحابية ذات الصلة، وغيّروا بيانات الاعتماد المتأثرة بعد احتواء الحادثة. الخلاصة: تكمن خطورة Antino في جمعها بين باب خلفي يتيح الاستطلاع وتنفيذ الأوامر ونقل الملفات، وبين قناة تحكم مخفية داخل خدمات Microsoft 365 المألوفة. وقال Talos إنه رصد نحو 350 جهازاً مخترقاً و16 بيئة مؤسسية متأثرة أو مستهدفة بحلول يوليو 2026؛ وهذه الأرقام لا تعني أن جميع الجهات في الدول المذكورة تعرضت للاختراق. المصادر - التحليل التقني الأصلي — Cisco Talos: blog.talosintelligence.com - التغطية الصحفية — The Hacker News: thehackernews.com - التنبيه الحكومي — CERT-PH: ncert.gov.ph - تغطية The Record: therecord.media - مؤشرات الاختراق التي نشرها Cisco Talos: github.com/Cisco-Talos/IOCs/blob/main/2026/09/uat…