اكتشف باحثو الأمن السيبراني إطار عمل معياري للبرامج الضارة غير موثق سابقًا يحمل الاسم الرمزي أفالون يتم توزيعها عن طريق سلسلة تصيد احتيالي متعددة المراحل قادرة على تجاوز الضوابط الأمنية التقليدية.
تجمع Avalon بين جمع بيانات الاعتماد، والحركة الجانبية، والوصول عن بعد، وتعطيل عملية الاسترداد، وتنفيذ برامج الفدية، مما يجمع وظائف متنوعة تحت مظلة واحدة. تمت تسمية مكون برنامج الفدية داخليًا باسم CrownX.
وقال نيفان بيل وسام ديكر، الباحثان في بلاك بوينت سايبر: “بدأ الهجوم برسالة بريد إلكتروني قانونية مخادعة توجه المستلمين إلى أرشيف محمي بكلمة مرور على Proton Drive”. “تم تضمين محتوى ضار داخل صورة ISO بدلاً من إرفاقه مباشرةً، مما يقلل من احتمالية اكتشافه في طبقة البريد الإلكتروني.”
في حالة تفاعل مستلم البريد الإلكتروني مع اختصار Windows ذي سمة المستند (“Secure Document CA-283505.pdf.lnk”) داخل الصورة المحملة، فإنه يؤدي إلى تشغيل تسلسل ضار مرحلي يبلغ ذروته بنشر Avalon. على وجه التحديد، يقوم الاختصار بتشغيل أمر لتشغيل مشروع MSBuild الموجود في صورة ISO.
يقوم مشروع MSBuild، من جانبه، بتحميل تجميع .NET مضمن، والذي يتداخل بعد ذلك مع الأداء المنتظم لـ Event Tracing for Windows (ETW) لتقليل رؤية الطب الشرعي وتنزيل حمولة المرحلة التالية عبر HTTPS المسؤولة عن إطلاق Avalon.
يتميز إطار عمل البرامج الضارة بنظام فرعي شامل للتهرب الدفاعي يهدف إلى تجنب الكشف، مع دمج أساليب محددة لإخفاء التنفيذ من أدوات الأمان المرتبطة بـ Microsoft Defender وSentinelOne وCrowdStrike وSophos وElastic Endpoint وFortiEDR وESET وMcAfee وBitdefender.
وقال الباحثون: “تمنح هذه القدرات إطار العمل العديد من الطرق لتقليل القياس عن بعد، وتجاوز مراقبة وضع المستخدم، وضبط تنفيذه اعتمادًا على عناصر التحكم الدفاعية الموجودة على المضيف”.
المجموعة الكاملة من الميزات المضمنة في Avalon هي كما يلي –
- احصل على بيانات الاعتماد وملفات تعريف الارتباط والتاريخ والإشارات المرجعية من المتصفحات المستندة إلى Chromium وMozilla Firefox.
- اجمع البيانات من تطبيقات محفظة العملات المشفرة مثل MetaMask وPhantom وCoinbase Wallet وExodus وElectrum وAtomic Wallet وLedger Live وBitcoin Core، إلى جانب Discord وSlack وTeams وOpenVPN وWireGuard وWindows Credential Manager.
- اجمع تفاصيل حول مضيفي SSH المعروفين، واتصالات RDP المحفوظة، وملفات تعريف Wi-Fi، وعناصر كلمة المرور الخاصة بتفضيلات نهج المجموعة.
- قم بتصفية البيانات إلى خادم بعيد (“helloxcherry[.]com”) واستقصاء الخادم لتلقي أوامر المهام.
- إجراء الاستطلاع وتحديد أولويات الأنظمة التي يمكنها توسيع نطاق التسوية.
- قم بتشفير الملفات المرتبطة بالعمليات التجارية وتطوير البرامج والهندسة وتخزين البيانات والبنية التحتية الافتراضية باستخدام Windows Cryptography API وتقديم مذكرة فدية تحتوي على تعليمات الدفع ومؤقتات الموعد النهائي التي توضح مقدار الوقت المتبقي قبل زيادة مبلغ الفدية.
- منع استرداد النظام عن طريق إنهاء خدمة النسخ الاحتياطي لوحدة التخزين وحذف النسخ الاحتياطية.
- قم بإزالة آثار القطع الأثرية باستخدام نظام فرعي للتنظيف لمكافحة الطب الشرعي لتعقيد جهود الاستجابة للحوادث.
- التفاعل بشكل مباشر مع هياكل القرص على الأرجح في محاولة لإتلاف معلومات القسم أو سجلات التمهيد أو المناطق الهامة الأخرى في محرك الأقراص، مما يجعل النظام غير قابل للاستخدام بشكل فعال.
وقالت الشركة: “يمثل CrownX مرحلة الابتزاز النهائية، لكن الضرر امتد إلى ما هو أبعد من التشفير نفسه”. “بحلول الوقت الذي ظهرت فيه مذكرة الفدية، كان الإطار الأوسع قد جمع بالفعل بيانات الاعتماد، وأنشأ اتصالات C2، وأعد مسارات متعددة للحركة الجانبية، وأضعف خيارات الاسترداد المحلية.”
ومن التفاصيل المهمة الأخرى أن أفالون تظهر علامات التطوير المدعوم بالذكاء الاصطناعي، وهو التطوير الذي قام بتجميع مكونات متعددة مع القليل من الاهتمام بالحرف التجارية المتطورة أو الأمن التشغيلي، وهو أمر يتطلب خبرة كبيرة لبناءه.
تمثل النتائج علامة أخرى على كيفية قيام الذكاء الاصطناعي بخفض حاجز الدخول، مما يجعل تطوير البرامج الضارة أكثر سهولة مع القليل من الوقت والجهد، وحتى السماح للجهات الفاعلة ذات الخبرة والموارد التقنية القليلة بالتوصل إلى أدوات قد تتطلب جهدًا تطويريًا مكثفًا. بمعنى آخر، لم يعد وجود قدرة معينة مؤشرًا موثوقًا على مدى تطور جهة التهديد أو نضجها التشغيلي.
وقالت Blackpoint Cyber: “توضح سلسلة القتل كيف يمكن لإغراء الأعمال المألوف أن يتطور إلى إطار عمل متعدد القدرات وقابل لإعادة الاستخدام مصمم لجمع بيانات الاعتماد، واسترداد الحمولات اللاحقة بالكامل في الذاكرة، وتنظيم إجراءات متابعة متعددة من نقطة نهاية واحدة معرضة للخطر”.
LLM وراء هجوم برنامج الفدية
ويأتي هذا الكشف في الوقت الذي قامت فيه Sysdig بتفصيل ما قالت إنه أول إصابة بفيروس فدية وكيل موثقة علنًا مدفوعة بنموذج لغة كبير من البداية إلى النهاية، أثناء إعادة المحاولة وتعديل إجراءاتها في الوقت الفعلي لإكمال المهام. وقد أطلق على ممثل التهديد الوكيل (ATA) الذي يقف وراء العملية الاسم الرمزي JADEPUFFER.
وقال مايكل كلارك من Sysdig، إن المشغل “حصل على وصول مبدئي إلى مثيل Langflow الذي يواجه الإنترنت من خلال CVE-2025-3248 وأدار حملة تكيفية ومؤتمتة بالكامل، وتحول في النهاية إلى الهدف المقصود وقام بتشغيل دليل مدمر لابتزاز قاعدة البيانات ضد خادم قاعدة بيانات إنتاج الضحية”.
“لقد انخفض مستوى المهارة في تشغيل برامج الفدية إلى ما يكلفه تشغيل وكيل، وإذا كان هذا الوكيل يعمل باستخدام بيانات اعتماد مسروقة من خلال LLMjacking، فإن التكلفة التي يتحملها المهاجم تقترب من الصفر.”
برامج الذكاء الاصطناعي الضارة التي تستخدم LLM في هجوم بدون رموز
وتأتي النتائج أيضًا في أعقاب اكتشاف برنامج ضار للذكاء الاصطناعي يجمع بين روبوت Telegram وواجهة برمجة تطبيقات LLM عامة لابتكار هجوم بدون تعليمات برمجية. بمجرد إطلاقها، تقوم عملية الزرع بنقل التفاصيل الأساسية حول النظام المخترق إلى روبوت Telegram الخاص بالمهاجم ويدخل في حلقة الأوامر والتحكم (C2) التي تستقصي واجهة برمجة تطبيقات الروبوت كل 5 ثوانٍ بحثًا عن رسائل جديدة. يتم إرجاع نتائج تنفيذ الأمر مرة أخرى باستخدام نفس القناة.
تخصص هذه البرامج الضارة هو أنه تتم إعادة توجيه كل رسالة مشغل إلى نقطة نهاية LLM API عامة (“api.groq”[.]com/openai/v1/chat/completions”)، والذي يقوم بعد ذلك بترجمة تعليمات اللغة الطبيعية التي يقدمها المهاجم إلى أمر Shell المكافئ. تم تحميل الأداة إلى منصة VirusTotal في 11 مارس 2026، ولم يتم اكتشافها عبر جميع المحركات حتى الآن.
وقالت وحدة Palo Alto Networks Unit 42: “يقدم هذا العمل طبقة ترجمة LLM تستبدل بناء جملة Shell بنص عادي. يقوم المهاجم بكتابة تعليمات النص العادي في Telegram”. “يقوم برنامج LLM بترجمة التعليمات إلى أوامر shell. ويقوم الضحية بتنفيذ أوامر shell. ولا يلزم معرفة سطر الأوامر.”
