جوجل تحذر من برنامج LOSTKEYS الخبيث التابع لشركة Cold River الروسية والذي يستهدف الدبلوماسيين والصحفيين الغربيين

مجموعة كولد ريفر الإلكترونية الروسية تنشر برمجيات خبيثة جديدة تستهدف شخصيات غربية

كشفت شركة جوجل عن سلالة جديدة من البرامج الضارة تدعى "LOSTKEYS"، مرتبطة بمجموعة القرصنة المرتبطة بروسيا Cold River، والمرتبطة أيضًا بجهاز الأمن الفيدرالي الروسي (FSB).

ويمثل البرنامج الخبيث تصعيدًا كبيرًا في أنشطة التجسس الإلكتروني للمجموعة، حيث يستهدف الشخصيات والمنظمات الحساسة لسرقة الملفات وبيانات النظام.

ما هو LOSTKEYS وكيف يعمل؟

تم تصميم LOSTKEYS للتسلل إلى الأنظمة بشكل خفي، واستخراج ملفات معينة مثل المستندات وجداول البيانات وبيانات اعتماد تسجيل الدخول.

وتمتد قدرات البرمجيات الخبيثة إلى جمع معلومات النظام القيمة، والتي يتم إرسالها بعد ذلك مرة أخرى إلى مشغلي Cold River.

وبحسب ويسلي شيلدز من شركة جوجل، فإن LOSTKEYS "يمثل تطوراً جديداً في مجموعة الأدوات" التي تستخدمها مجموعة القرصنة، مما يمكّنهم من توسيع مجموعة أدوات التجسس الخاصة بهم.

تعمل البرامج الضارة بدقة ملحوظة، وتستهدف ملفات معينة مخزنة في أدلة محددة، وكل ذلك مع البقاء دون أن يتم اكتشافها.

يتيح نهجها الخفي لشركة Cold River جمع معلومات استخباراتية بالغة الأهمية دون تنبيه أهدافها، مما يجعلها أداة فعالة للغاية في عملياتها السيبرانية.

تاريخ طويل من الهجمات الإلكترونية رفيعة المستوى لشركة كولد ريفر

تتمتع مجموعة كولد ريفر، التي تم تحديدها سابقًا تحت أسماء مستعارة مختلفة، بسجل طويل من الهجمات الإلكترونية التي تستهدف أفرادًا ومؤسسات رفيعة المستوى في جميع أنحاء الغرب.

وتتركز مهمة المجموعة في المقام الأول على جمع المعلومات الاستخباراتية لتعزيز المصالح الجيوسياسية الروسية.

في الأشهر الأخيرة، بين يناير/كانون الثاني وأبريل/نيسان 2025، استهدفت شركة كولد ريفر مستشارين حكوميين غربيين، حاليين وسابقين، إلى جانب عسكريين وصحفيين وأعضاء في مراكز أبحاث دولية.

ومن الجدير بالذكر أن الأفراد الذين لهم صلة بالصراع في أوكرانيا كانوا أيضًا على رادار المجموعة.

وتتماشى هذه الهجمات المستمرة مع الهدف الاستراتيجي لشركة كولد ريفر: جمع المعلومات الاستخباراتية.

كيف تستهدف شركة كولد ريفر الضحايا بأساليب خادعة

يبدأ نشر LOSTKEYS بصفحة CAPTCHA مزيفة.

تخدع هذه الصفحة المستخدم لتنفيذ أمر ضار، مما يؤدي إلى تشغيل البرامج الضارة.

بعد أن يتفاعل المستخدم معه، يتم نسخ كود PowerShell الخبيث إلى الحافظة الخاصة به، ثم يتم خداعه لتشغيله من خلال مربع الحوار "تشغيل" في نظام التشغيل Windows.

بمجرد تنفيذ الأمر، يبدأ البرنامج الضار في التنزيل والتثبيت على الجهاز المستهدف، بدءًا بعملية التحقق للتأكد من شرعية الجهاز.

بمجرد تثبيته، يعمل LOSTKEYS بصمت في الخلفية، ويستخرج الملفات الحساسة وتفاصيل تسجيل الدخول وبيانات النظام دون تنبيه المستخدم.

يضمن نظام الاستهداف المتقدم هذا نشر البرامج الضارة فقط على الأهداف ذات القيمة العالية، مما يؤدي إلى تعظيم تأثير كل هجوم.

عمليات كولد ريفر السابقة: من المختبرات النووية إلى تسريبات البريد الإلكتروني

حظيت شركة كولد ريفر في السابق باهتمام كبير بسبب عملياتها الجريئة والمتميزة.

وفي منتصف عام 2022، اتُهمت المجموعة بشن هجمات إلكترونية على ثلاث منشآت للأبحاث النووية في الولايات المتحدة.

وفي وقت لاحق من العام نفسه، تورطت الشركة في تسريب رسائل بريد إلكتروني خاصة تخص رئيس الاستخبارات البريطانية السابق السير ريتشارد ديرلوف، فضلاً عن العديد من الأفراد المرتبطين بأنشطة مؤيدة للخروج البريطاني من الاتحاد الأوروبي.

وكانت هذه العمليات جزءًا من جهد أوسع نطاقًا لجمع المعلومات الاستخباراتية حول القضايا الجيوسياسية الحساسة، وتعزيز المصالح الروسية.

إن التطور المستمر للقدرات السيبرانية لشركة كولد ريفر، بما في ذلك استخدام برنامج LOSTKEYS الخبيث، يمثل تصعيدًا مثيرًا للقلق في تعقيد عمليات القرصنة التي ترعاها الدولة.

خبراء الأمن السيبراني يحذرون من تهديد متزايد

دفع صعود مجموعة LOSTKEYS خبراء الأمن السيبراني إلى دق ناقوس الخطر بشأن التهديد المتزايد الذي تشكله مجموعات القرصنة التي ترعاها الدول مثل Cold River.

ومع قيام هذه المجموعات بتطوير تكتيكاتها، أصبحت المنظمات والأفراد في القطاعات الحساسة، وخاصة أولئك الذين يشاركون في الأنشطة السياسية والعسكرية، أكثر عرضة للهجمات التي تهدف إلى سرقة المعلومات السرية.

حثت مجموعة التهديدات الاستخباراتية التابعة لشركة جوجل المؤسسات المستهدفة على اعتماد تدابير أمنية أقوى، بما في ذلك التحديثات المنتظمة لأنظمتها وبروتوكولات المراقبة المحسنة، للتخفيف من المخاطر التي تشكلها مثل هذه التهديدات السيبرانية المتطورة.