نشرت شركة الأمن السيبراني Morphisec في 7 أكتوبر 2026 تحليلاً لسلسلة اختراق على نظام Windows تبدأ بملف مضغوط بصيغة ZIP يصل عبر تطبيق WhatsApp متنكراً في هيئة مستند مالي، وتسعى الهجمة إلى تشغيل أداة تحكم عن بعد بصلاحيات SYSTEM.
يحمل الأرشيف ملفاً تنفيذياً باسم Statement.exe مضغوطاً بآلية تخفي حقيقته، ليفك تشفيره داخل الذاكرة دون كتابة أي بيانات على القرص الصلب، ثم يجري الملف فحصاً شاملاً للجهاز قبل أي خطوة تنفيذية يشمل مساحة القرص والذاكرة والمعالج وسجلات الأحداث ومفاتيح التسجيل وعلامات الأجهزة الافتراضية، ويتوقف عند رصد أي إخفاق. وتؤكد Morphisec أن فحوص التوقيت المدمجة تعطل عمل البرمجية في بيئات المحاكاة والتحليل البطيئة.
وفي حال لم يكن الملف يعمل بصلاحيات المسؤول، يحاول المهاجمون رفعها عبر كائنات COM أو الأمر runas. وتوضح Morphisec أن نجاح هذه المسارات يعتمد على إعدادات تحكم حساب المستخدم، ما يجعلها محاولة غير مضمونة. إثر ذلك، تحقن شيفرة التنزيل في العملية التي تستضيف خدمة جدولة المهام (Task Scheduler) في Windows باستخدام تقنية PoolParty Variant 7 التي كشفت عنها شركة SafeBreach في ديسمبر 2023، متجنبة بذلك استدعاء الدالة CreateRemoteThread الخاضعة للمراقبة الأمنية.
ونظراً لأن خدمة جدولة المهام تعمل بحساب LocalSystem، ترث المكونات اللاحقة صلاحياتها تلقائياً. تتصل الشيفرة المحقونة بخادم تحكم خارجي لتنزيل حزمة نشر تتضمن أداة VulkanInfo الشرعية الموقعة رقمياً من Intel وملفين خبيثين هما vulkan-1.dll وvulkan-1.bin إلى جانب مكتبة نشر.
وقبل تفعيل آلية البقاء، تثبت الحزمة معرف البرمجيات GoFly64.sys لتصفية الشبكة، وهو تطبيق صيني المنشأ يحمل توقيعاً رقمياً صالحاً، لترسل إليه معرفات عمليتين تابعتين لبرنامج الحماية Baidu هما bdservicehost.exe وbduserhost.exe وتنهيهما من مستوى النواة. بعد ذلك، تكتب البرمجية ثلاثة ملفات في المسار C:\Program Files\Common Files وتسجل مهمة مجدولة بصلاحيات SYSTEM تحت اسم USOPrivate Kit للتمويه ومحاكاة مهام التحديث الخاصة بشركة Microsoft.
وعند تشغيل المهمة، تبحث أداة VulkanInfo عن المكتبة vulkan-1.dll في مجلدها أولاً وتحمل النسخة الخبيثة عبر أسلوب التحميل الجانبي، لتقرأ الملف vulkan-1.bin وتعيد بناء الأداة النهائية في الذاكرة، ما يضمن عودة البرمجية للعمل بعد كل إعادة تشغيل للنظام دون الحاجة لعملية الحقن الأولية.
تتصل الأداة النهائية VulcanRAT207.A بالخادم عبر بروتوكول WebSocket وتتولى جمع بيانات الجهاز والحسابات وفتح واجهة أوامر عن بعد والتقاط صور لسطح المكتب وتسجيل ضغطات المفاتيح والتحكم بالفأرة. كما تحجب حركة الشبكة باستخدام قواعد Windows Filtering Platform، وتمتلك قدرات لإنشاء حسابات مسؤول محلية وتغيير كلمات المرور وتشغيل برمجيات إضافية.
وتشير Morphisec إلى أن هذه السلسلة تتوافق مع نشاط وثقته شركة Proofpoint لجهة التهديد TA4922 والتي استخدمت سابقاً ملفاً تنفيذياً مشروعاً مرتبطاً بواجهة Vulkan عبر التحميل الجانبي. ورغم ذلك، لم تنسب Morphisec الحملة الحالية إلى جهة محددة ولم يحدد التحليل قطاعات أو دولاً مستهدفة.
