نيمبوس مانتيكور صعّد هجماته في الشرق الأوسط وأفريقيا وجنوب آسيا عبر باب خلفي جديد باسم NightLedger يحول الأجهزة المخترقة إلى قنوات اتصال خفية.
ما هي هجمات نيمبوس مانتيكور الأخيرة؟
تشير المعطيات إلى موجة اختراقات جديدة نُسبت إلى مجموعة نيمبوس مانتيكور المرتبطة بإيران، وهي جهة معروفة أيضاً بعدة أسماء تتبع مختلفة في تقارير الأمن السيبراني. الهدف هذه المرة لم يكن مجرد التجسس التقليدي، بل الحفاظ على وجود طويل الأمد داخل الشبكات المستهدفة.
اللافت أن الحملة أصابت جهات في مصر والأردن وتنزانيا وباكستان وإثيوبيا وبوركينا فاسو، ما يعكس اتساع النطاق الجغرافي وتركيز المهاجمين على قطاعات حيوية. ووفقاً لقراءة تيكبامين، فإن تنوع الضحايا يوحي بأن العملية تستهدف البنية التشغيلية والاتصالات والجهات الحكومية والمالية معاً.
ما هو NightLedger ولماذا يمثل خطراً؟
البرمجية الجديدة NightLedger تعمل كباب خلفي على نظام ويندوز، وتمنح المهاجمين قدرة واسعة على جمع المعلومات وتنفيذ الأوامر عن بعد. الخطر الحقيقي لا يكمن فقط في دخول الشبكة، بل في القدرة على البقاء والتحرك بهدوء لفترات طويلة.
أبرز وظائف البرمجية الخبيثة
- جمع معلومات أولية عن الجهاز والبيئة التشغيلية
- تنفيذ أوامر عن بعد عبر خادم تحكم وسيطرة
- إدارة الملفات ورفعها أو تنزيلها
- استكشاف العمليات الجارية داخل النظام
- التقاط لقطات شاشة لمراقبة المستخدم
وتعتمد البرمجية على أسلوب تحميل جانبي لملفات DLL لتشغيل الحمولة الخبيثة بطريقة تبدو شرعية نسبياً داخل النظام. كما تتواصل مع خادم خارجي عبر HTTPS، ما يزيد صعوبة رصدها مقارنة بالأدوات الأقل تمويهاً.
كيف تحوّل الأجهزة المصابة إلى قنوات اتصال سرية؟
إلى جانب NightLedger، استخدمت الحملة أداتين مخصصتين للأنفاق الشبكية هما BridgeHead وArcBridge. هاتان الأداتان لا تكتفيان بإنشاء قناة خفية، بل تحولان جهاز الضحية نفسه إلى وسيط عبور للاتصالات الصادرة والواردة.
هذا يعني أن المهاجم يستطيع تشغيل أدواته من جهة الخادم، بينما تمر حركة الشبكة عبر جهاز الضحية وكأنها صادرة من داخل بيئته المحلية. عملياً، يصبح الجهاز المصاب نقطة ترحيل سرية تساعد على إخفاء مصدر النشاط وتقليل احتمالات كشف البنية الهجومية.
ماذا تفعل أدوات الأنفاق الشبكية؟
- إنشاء نفق WebSocket للتحكم الخفي
- تمرير اتصالات TCP عبر جهاز الضحية
- دعم بروكسي SOCKS5 في بعض السيناريوهات
- إخفاء البصمة الحقيقية للمهاجم داخل الشبكة
كيف يبدأ الاختراق وما هي الجهات المستهدفة؟
طريقة الوصول الأولي لم تُحسم بعد بشكل قاطع، لكن الأساليب السابقة للمجموعة تشير إلى رسائل تصيد موجهة بعناية، غالباً تحت غطاء فرص عمل أو صفحات اجتماعات مرئية مزيفة. وبعد خداع الضحية، يتم توجيهه إلى ملفات خبيثة مستضافة على خدمات مشاركة خارجية.
القطاعات المستهدفة في هذه الحملة تشمل الطيران والاتصالات والجهات الحكومية والشركات الصغيرة والمتوسطة والمؤسسات المالية. هذا التنوع يوضح أن NightLedger ليس تهديداً محدوداً، بل أداة مرنة يمكن تطويعها حسب طبيعة الهدف.
لماذا يجب متابعة تهديد NightLedger الآن؟
تكمن أهمية هذه الحملة في أنها تجمع بين باب خلفي متقدم وأدوات نقل خفي لحركة الشبكة، وهو مزيج يمنح المهاجمين قدرة أعلى على التخفي والمراوغة. كما أن تحويل الأنظمة المصابة إلى مرحلات اتصال يرفع كلفة الاكتشاف والاستجابة لدى فرق الدفاع.
بالنسبة للمؤسسات في المنطقة، فإن رصد سلوكيات الأنفاق الشبكية، وتقييد تحميل ملفات DLL غير الموثوقة، ومراجعة محاولات التصيد الموجه أصبح أمراً عاجلاً. وفي تقدير تيكبامين، فإن نيمبوس مانتيكور يواصل تطوير أدواته بما يجعل NightLedger تهديداً يستحق المتابعة الدقيقة خلال الفترة المقبلة.
