عملية الحلم الوظيفي: كيف استغلت لازاروس ثغرة AFD.sys وتشفير Kyber لاختراق شركات الدفاع

في أوائل عام 2026، صعدت مجموعة لازاروس الكورية الشمالية حملتها المستمرة منذ زمن طويل والتي تُعرف باسم عملية الحلم الوظيفي (Operation Dream Job) عبر سلسلة هجوم متطورة جمعت بين ثغرة يوم صفري في نواة ويندوز وتشفير مقاوم للحواسيب الكمومية. كشف باحثو شركة Check Point عن الحملة وأبلغوا مايكروسوفت بالثغرة—CVE-2026-68820—التي أصدرت مايكروسوفت تصحيحًا لها في 11 أغسطس 2026 ضمن تحديثات Patch Tuesday الشهرية . استهدفت الحملة مؤسسات دفاع وفضاء وطيران في أوروبا الغربية والهند والبرازيل، مستخدمةً عروض عمل وهمية من مسؤولين مزيفين، وقارئ PDF مخترق، وبابًا خلفيًا جديدًا يُدعى Troy .

ما الذي جعل هذا الهجوم مختلفًا

تدير لازاروس عملية الحلم الوظيفي منذ عام 2020، لكن هذه الموجة أدخلت ثلاثة ترقيات تقنية كبيرة :

1. ثغرة يوم صفري غير معروفة سابقًا في ويندوز (CVE-2026-68820) في برنامج تشغيل AFD.sys
2. تبادل مفاتيح مقاوم للحواسيب الكمومية باستخدام Kyber/ML-KEM لتشفير حركة مرور القيادة والتحكم
3. باب خلفي معياري جديد يُدعى Troy، يتواصل عبر خوادم شرعية مختطفة

سلسلة الهجوم خطوة بخطوة

1. الهندسة الاجتماعية عبر عروض عمل وهمية

تم استهداف الضحايا على LinkedIn ومنصات مهنية أخرى عبر أشخاص ينتحلون صفة مسؤولي توظيف من شركتي Lockheed Martin وEnveil . كان الضحايا يتلقون وصفًا وظيفيًا ورابطًا لتنزيل "مواد مقابلة". استُخدمت سلسلتا إصابة متوازيتان :

• السلسلة A (تحميل DLL جانبي): ينزل الضحية أرشيف ZIP يحتوي على ملف قابل للتنفيذ لقارئ PDF أصلي وموقع رقميًا، ومكتبة DLL خبيثة (libmupdf.dll)، وحمولة مشفرة بامتداد .pdf.enc. عند تشغيل قارئ PDF، يقوم بتحميل المكتبة الخبيثة جانبيًا، والتي تعرض ملف PDF وهميًا (ديكوي) بينما تقوم بفك تشفير الحمولة وتنفيذها بصمت .
• السلسلة B (قارئ PDF مخترق): ينزل الضحية تطبيقًا مزيفًا يُدعى SecurityPDF، ينتحل صفة قارئ PDF أصلي مبني على MuPDF. يبدو هذا القارئ المخترق شرعيًا لكنه يُحمّل كودًا خبيثًا عند فتح ملف PDF مصمم خصيصًا .

2. تشفير مقاوم للحواسيب الكمومية يحمي قناة C2

بمجرد تنفيذ المُحمل الأولي، ينشر وحدة بصمة رقمية تتصل بخادم القيادة وتطلب أربعة مفاتيح عامة. تستخدم الوحدة Kyber / ML-KEM—آلية تغليف المفاتيح المعيارية من NIST والمقاومة للحواسيب الكمومية—لتوليد مواد مفتاح جديدة وتغليف سر مشترك وإرسال النتيجة إلى الخادم قبل طلب الحمولة الاستغلالية الفعلية .

هذا هو أول استخدام موثق لتشفير مقاوم للحواسيب الكمومية من قبل لازاروس لحماية تسليم الاستغلال. تضمن هذه التقنية أنه حتى إذا تم اعتراض حركة مرور الشبكة، لا يمكن فك تشفير قناة القيادة والتحكم بواسطة خصوم يمتلكون قدرات تقليدية أو كمومية .

3. الثغرة من نوع يوم صفري: CVE-2026-68820 في AFD.sys

الحمولة التي تم تسليمها استغلت CVE-2026-68820، وهي عيب سباق (استخدام بعد التحرير) في afd.sys، برنامج تشغيل الوظائف المساعدة لـ WinSock في ويندوز والذي يدير عمليات Winsock في وضع النواة . تشمل التفاصيل التقنية الرئيسية:

• درجة CVSS: 7.0 (عالية)
• شرط مسبق: يحتاج المهاجم بالفعل إلى تنفيذ كود محلي من المُحمل الأولي
• آلية الاستغلال: يجب الفوز بسباق التوقيت (race condition) لتحرير وإعادة تخصيص ذاكرة النواة بنجاح، مما يسمح للمهاجم بإفساد كائنات النواة وتحقيق تصعيد الصلاحيات المحلية إلى صلاحية SYSTEM
• ناقل متكرر: هذه هي نفس برنامج التشغيل (AFD.sys) الذي أساءت لازاروس استخدامه في أربع حملات سابقة على الأقل منذ عام 2022، مما يجعله سطح هجوم متكرر

4. نشر جذر فودموديول (FudModule) الخبيث في النواة

بعد الحصول على صلاحيات SYSTEM، نشر الاستغلال نسخة مطورة من FudModule، جذر لازاروس الخبيث في وضع النواة . تدعم هذه النسخة—التي تُسمى أحيانًا FudModule v3.1—إصدارات ويندوز 11 26100 و26200 . عمل FudModule بصلاحيات نواة كاملة لـ:

• تعطيل أدوات كشف الاستجابة للنقاط الطرفية (EDR) على مستوى النواة
• إخفاء أدوات الأمان عن طريق العبث باستدعاءات النواة ومراقبة العمليات
• تثبيت الاستمرارية وتحميل أبواب خلفية معيارية إضافية، بما في ذلك MISTPEN والباب الخلفي الجديد Troy

5. الباب الخلفي Troy والبنية التحتية المختطفة

استخدمت المرحلة النهائية الباب الخلفي Troy، وهي أداة وصول عن بعد معيارية جديدة موثقة. تم بناء بنية القيادة بالكامل تقريبًا من خوادم شرعية مختطفة—لم يبن المهاجمون بنيتهم التحتية الخاصة بل اخترقوا خوادم مؤسسات أخرى .

الدول والقطاعات المستهدفة

الفئة	التفاصيل
القطاعات المستهدفة	الدفاع، الفضاء، الطيران
الدول المؤكدة	فرنسا، ألمانيا (أوروبا الغربية)، الهند، البرازيل
الجدول الزمني	الهجمات نشطة منذ أوائل يوليو 2026 على الأقل، مع رصد الاستغلال في وقت مبكر من يونيو

الاستجابة والتخفيف

تصحيح مايكروسوفت

• أصدرت مايكروسوفت تصحيحًا في 11 أغسطس 2026 (Patch Tuesday)، شمل 398 ثغرة بما فيها CVE-2026-68820
• جاء التصحيح بعد إفصاح مسؤول من باحثي Check Point، الذين حددوا استغلال الثغرة وأبلغوا مايكروسوفت بها
• صنفت مايكروسوفت CVE-2026-68820 كـالثغرة الوحيدة التي تم استغلالها بنشاط في تحديث ذلك الشهر

توجيه CISA الطارئ

• أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) توجيهًا طارئًا إلزاميًا يأمر جميع وكالات السلطة التنفيذية المدنية الفيدرالية الأمريكية (FCEB) بمعالجة CVE-2026-68820
• مُنحت الوكالات مهلة حتى 25 أغسطس 2026 لتطبيق التصحيح
• أضافت CISA الثغرة إلى كتالوج الثغرات المستغلة المعروفة (KEV)، مما يتطلب اتخاذ إجراء من جميع المؤسسات الفيدرالية ويوصي به لجميع مؤسسات القطاع الخاص

إجراءات موصى بها للمؤسسات

• تطبيق تحديثات Patch Tuesday لشهر أغسطس 2026 من مايكروسوفت فورًا، مع إعطاء الأولوية لـ CVE-2026-68820
• مراقبة نشاط AFD.sys غير المعتاد، وتحميل برامج تشغيل النواة غير المتوقعة، والتلاعب بأدوات EDR
• توعية الموظفين بأساليب عروض التوظيف المزيفة وقارئات المستندات المخترقة
• تنفيذ كشف على مستوى الشبكة لحركة مرور تبادل مفاتيح Kyber/ML-KEM على قنوات غير متوقعة

لماذا هذا مهم

تمثل هذه الحملة تصعيدًا في التعقيد من جهة تهديد ترعاها دولة وهي بالفعل واحدة من أكثر الجهات فاعلية. استخدام تشفير مقاوم للحواسيب الكمومية لحماية تسليم الاستغلال يشير إلى أن لازاروس تراقب القدرات الدفاعية وتستثمر في جعل عملياتها مقاومة للمستقبل. الاستهداف المتكرر لنفس برنامج تشغيل AFD.sys—الذي تم استغلاله الآن أربع مرات على الأقل منذ عام 2022—يسلط الضوء على سطح ضعف مستمر في نواة ويندوز تواصل مايكروسوفت تصحيحه بشكل تفاعلي .