فترة التقرير: 14-21 سبتمبر 2026
موعد قطع التقييم: 21 سبتمبر 2026
النطاق: العمليات السيبرانية للدول والدول المتحالفة، حملات APT، الاستخبارات التقنية، الاستغلال النشط، مخاطر البنية التحتية الحرجة، والنشاط الاستخباراتي المدعوم بالسيبرانية.
التقييم التنفيذي
أنتجت فترة التقرير هذه أربعة تطورات ذات أهمية استخباراتية فورية.
أصبحت الأنشطة السيبرانية لوزارة الاستخبارات والأمن الإيرانية مرتبطة بشكل أوثق بالعمليات المضادة للاستخبارات والقمع في العالم الحقيقي. كشف مشترك بين المملكة المتحدة والولايات المتحدة وهولندا في 15 سبتمبر عن CHOSEN BRICK، بينما وسعت إفراج تقني موازٍ من مكتب التحقيقات الفيدرالي بشكل كبير تحليل نظام البرمجيات الخبيثة HEAVYGRAM المرتبط. تستهدف الحملات المعارضين والصحفيين والنشطاء وغيرهم من الخصوم المزعومين للحكومة الإيرانية. تشمل عمليات الجمع الاتصالات، جهات الاتصال، البريد الإلكتروني، لقطات الشاشة، صوت الميكروفون، معلومات الموقع/نمط الحياة، وبيانات وسائل التواصل الاجتماعي. تشير الوكالات بوضوح إلى أن الاستخبارات الإيرانية قد خططت سابقًا للاختطاف والعمليات القاتلة ضد الأعداء المزعومين في الخارج. (FBI)
ركزت FamousSparrow المتحالفة مع الصين حوالي 90% من استهدافها الملحوظ مؤخرًا على أمريكا اللاتينية واستبدلت SparrowDoor بزراعة جديدة بشكل كبير، SparroWocky. تأثرت الكيانات الحكومية في الأرجنتين، الإكوادور، غواتيمالا، هندوراس، بنما، بيرو، بورتو ريكو، وفنزويلا. التركيز الجغرافي غير عادي لهذا الفاعل ويعكس بشكل معقول متطلبات الاستخبارات المتزايدة في بكين بشأن المنافسة السياسية والاقتصادية الأمريكية في المنطقة. (ESET)
تمت نسبة نظام مقابلة Contagious Interview في كوريا الشمالية رسميًا وقياسه من قبل أربع حكومات. تحدد النصيحة متعددة الجنسيات في 18 سبتمبر الفاعل على أنه WaterPlum، وتبلغ عن ما لا يقل عن 30,000 جهاز كمبيوتر مخترق في أكثر من 100 دولة، وتربط الحملة بسرقة أو اختراق involving أكثر من 7,000 محفظة عملة مشفرة. تعتبر العملية مهمة إلى جانب سرقة العملات المشفرة لأن اختراق المطور يمكن أن يكشف عن بيانات اعتماد المؤسسات، الشيفرة المصدرية، بيئات السحابة، والملكية الفكرية. (Cyber.gov.au)
تتطلب ثغرتان نشطتان في بنية الأمان اهتمامًا دفاعيًا فوريًا، على الرغم من أن أيًا منهما لا يمتلك حاليًا نسبة موثوقة لدولة قومية. يسمح CVE-2026-76461 بتنفيذ أوامر جذرية غير مصادق عليها ضد Cisco Secure Email Gateway ببساطة من خلال معالجة البريد الإلكتروني الضار. يسمح CVE-2026-76460 بتجاوز مصادقة Cisco Identity Services Engine بدون مصادقة. تؤثر كلا الثغرتين على الأنظمة الموجودة عند حدود ثقة حساسة بشكل غير عادي. (Cisco)
الاتجاه الأوسع للاستخبارات في هذا الأسبوع هو:
تستغل العمليات السيبرانية للدولة بشكل متزايد الحدود بين الحياة الشخصية للهدف وحدود الأمان المؤسسي.
تستهدف إيران الأجهزة الشخصية بعد أن تتداخل الدفاعات المؤسسية. تقترب كوريا الشمالية من المطورين كطالبي وظائف خاصة. تستهدف التجسس الصيني بشكل متزايد البنية التحتية الحكومية في المناطق التي تتداخل فيها متطلبات الاستخبارات السياسية والتجارية. في الوقت نفسه، يتحرك الاستغلال النشط مباشرة ضد بنية الهوية وأمان البريد الإلكتروني.
إيران: CHOSEN BRICK / HEAVYGRAM واستهداف وزارة الاستخبارات والأمن عبر الوطنية
الأولوية: حرجة
الفاعل: الفاعلون السيبرانيون الإيرانيون الذين يعملون لصالح وزارة الاستخبارات والأمن
البرمجيات الخبيثة: نظام CHOSEN BRICK / HEAVYGRAM
الهدف: مكافحة الاستخبارات، المراقبة، سرقة البيانات، المضايقة، دعم الاستهداف المحتمل جسديًا
ثقة النسبة: عالية
في 15 سبتمبر، كشف المركز الوطني للأمن السيبراني في المملكة المتحدة، ومكتب التحقيقات الفيدرالي، وAIVD الهولندي بشكل مشترك عن تفاصيل تقنية تتعلق بـ CHOSEN BRICK، البرمجيات الخبيثة المستخدمة من قبل الفاعلين الحكوميين الإيرانيين ضد المعارضين والنشطاء والصحفيين في المملكة المتحدة والولايات المتحدة وهولندا وأماكن أخرى. يقول NCSC إن البرمجيات الخبيثة قد تم استخدامها منذ عام 2025 على الأقل؛ تتبع تحقيق HEAVYGRAM الأوسع من مكتب التحقيقات الفيدرالي النشاط المرتبط إلى خريف 2023. (FBI)
تتجاوز الأهمية الاستخباراتية التجسس السيبراني التقليدي. يذكر NCSC أن المعلومات المجمعة يمكن أن تكشف عن جهات الاتصال، الموقع، ونمط الحياة. ظهرت بعض المعلومات الشخصية المسروقة لاحقًا على مواقع تسريب مؤيدة لإيران. تشير النصيحة أيضًا إلى أن الاستخبارات الإيرانية قد خططت سابقًا للاختطاف أو العمليات القاتلة ضد أعداء النظام المزعومين في الخارج. (FBI)
هذا يخلق سلسلة محتملة:
لم يتم إثبات المراحل الأخيرة لكل ضحية من ضحايا CHOSEN BRICK، لكن فائدة الاستخبارات واضحة.
تنبيهات سيبرانية من مكتب التحقيقات الفيدرالي
الوصول الأولي والهندسة الاجتماعية
يقوم المشغلون بإجراء بحث مستفيض عن الهدف قبل الانخراط.
يحدث الاتصال الأول من خلال:
Telegram.
WhatsApp.
منصات الرسائل/التواصل الاجتماعي الأخرى.
يتظاهر الفاعل بأنه معارف موثوق بهم، أو منظمات، أو موظفي دعم فني ويطور علاقة قبل تسليم الحمولة الضارة.
تشمل الأزياء الملحوظة:
Pictory.
RunwayML.
Norton Antivirus.
Telegram.
Adobe Flash Player.
KeePass.
نتائج مزيفة لفحص MRI.
سلوك تشغيلي مهم بشكل خاص هو انتقال حدود الأمان. عندما تفشل عملية التسليم ضد جهاز مؤسسي أو يبدو أنها ستؤدي إلى اكتشاف، يحاول المشغل إقناع الضحية بنقل النشاط إلى جهاز كمبيوتر شخصي. هذا يسمح بتجاوز بنية الأمان المؤسسية من خلال الهندسة الاجتماعية.
الاستمرارية وتجنب الدفاع
تستمر CHOSEN BRICK عادة من خلال:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
تشمل القيم الملحوظة:
SMQDService
winappx
يمكن للزرع أيضًا إضافة استثناءات إلى Microsoft Defender.
تشمل mutexes الملحوظة:
ytyjyujyu
noi672pp434awkc12f
لاحظ مكتب التحقيقات الفيدرالي أوامر PowerShell التي تستدعي:
Add-MpPreference -ExclusionPath
تجاوز ضد أدلة البرمجيات الخبيثة وحتى دليل تنزيل Telegram Desktop الخاص بالضحية.
الأمر والتحكم
تتواصل CHOSEN BRICK باستخدام روبوتات Telegram.
الأهم من ذلك، أن كل جهاز مصاب يتلقى معرف روبوت Telegram مختلف. يحد هذا التصميم من ارتباط البنية التحتية.