في 19 سبتمبر 2025، كشفت ESET ما وصفته بأنه أول حالات معروفة لديها لتعاون مباشر بين مجموعتي التجسس السيبراني الروسيتين Gamaredon وTurla. لم يعتمد الاستنتاج على مجرد العثور على برمجيات المجموعتين على الجهاز نفسه؛ بل رصد الباحثون أدوات مرتبطة بـGamaredon تُستخدم لإعادة تشغيل ونشر باب Turla الخلفي Kazuar على أنظمة محددة داخل أوكرانيا.
خلصت ESET بثقة عالية إلى أن Gamaredon كانت توفر وصولًا إلى بعض الأجهزة التي اخترقتها، بينما تنتقي Turla عددًا صغيرًا من الأنظمة ذات القيمة الاستخباراتية الأعلى. وبعد نحو تسعة أشهر، أعادت ESET في تقريرها الصادر في يونيو 2026 الإشارة إلى هذا التعاون باعتباره جزءًا من نشاط Gamaredon خلال 2025، في وقت تؤكد فيه أبحاث أحدث أن المجموعتين ظلتا نشطتين وتتطور أدواتهما بصورة مستقلة.
من هما Gamaredon وTurla؟
كلتا المجموعتين تدخلان ضمن ما يعرف بجهات التهديد المستمر المتقدم أو APT في الأمن السيبراني، لكن أسلوبهما التشغيلي يختلف بصورة واضحة.
Gamaredon
تتبع MITRE ATT&CK مجموعة Gamaredon بالمعرف G0047، وتصفها بأنها جهة تجسس سيبراني روسية استهدفت مؤسسات عسكرية وحكومية وإنفاذ القانون ومنظمات أوكرانية منذ 2013 على الأقل. كما تنسبها السلطات الأوكرانية إلى Center 18 التابع لجهاز الأمن الفيدرالي الروسي FSB.
تعتمد Gamaredon على حجم كبير من العمليات مقارنة بجهات APT أكثر انتقائية، وتستخدم بصورة متكررة Spear Phishing وملفات LNK والسكريبتات وأدوات مخصصة للانتشار وجمع الملفات والحفاظ على الوصول.
Turla
أما Turla أو G0010 في MITRE ATT&CK، والمعروفة أيضًا بأسماء مثل Snake وSecret Blizzard وVenomous Bear، فهي من أقدم مجموعات التجسس السيبراني المعروفة، مع نشاط موثق منذ 2004 على الأقل.
ارتبطت Turla باستهداف الحكومات والبعثات الدبلوماسية والمؤسسات العسكرية والبحثية في عشرات الدول. كما نسبت جهات حكومية غربية عمليات Snake المرتبطة بها إلى Center 16 في جهاز FSB الروسي. لذلك فوجود Gamaredon وTurla تحت مظلة FSB لا يعني أنهما مجموعة واحدة؛ فهما تاريخيًا جهتان منفصلتان بأدوات واستهدافات وأنماط تشغيل مختلفة.
ماذا رصدت ESET فعليًا في 2025؟
يقدم بحث ESET الأصلي حول تعاون Gamaredon وTurla تسلسلًا زمنيًا يجعل فرضية التعاون أقوى من مجرد تداخل عارض بين برمجيات خبيثة مختلفة.
| الفترة | ما رصدته ESET | الدلالة |
|---|---|---|
| يناير 2025 | ترجح ESET أن Gamaredon اخترقت أول أربعة أجهزة محل الدراسة. | إنشاء موطئ قدم أولي قبل ظهور أدوات Turla. |
| فبراير 2025 | رُصدت أربع حالات إصابة مشتركة، مع أدوات Gamaredon وKazuar v3 التابع لـTurla. | أول ارتباط تقني مباشر بين نشاط المجموعتين في هذه الحالات. |
| فبراير 2025 | استُخدمت PteroGraphin التابعة لـGamaredon لإعادة تشغيل Kazuar على أحد الأجهزة. | تفاعل تشغيلي أقوى من مجرد وجود برمجيتين على النظام نفسه. |
| أبريل 2025 | رُصد نشر Kazuar v2 بواسطة أداة PteroOdd التابعة لـGamaredon. | أدوات جهة تُستخدم لتسليم Implant مرتبط بالجهة الأخرى. |
| 5 و6 يونيو 2025 | رُصدت PteroPaste وهي تنشر Kazuar v2 على جهازين في أوكرانيا. | تكرار نموذج التسليم في وقت مختلف. |
| 19 سبتمبر 2025 | نشرت ESET نتائج التحقيق علنًا. | الإعلان عن أول تعاون معروف لديها بين المجموعتين. |
لماذا كانت الأدلة أقوى من مجرد Co-compromise؟
وجود أدوات مجموعتي APT على الجهاز نفسه لا يثبت وحده أن المشغلين يتعاونون. يمكن لجهاز واحد أن يتعرض لاختراقات مستقلة، أو أن يستولي مهاجم على Backdoor زرعها مهاجم آخر، أو أن تتداخل البنية التحتية والأدوات دون تنسيق مباشر.
ما جعل حالة Gamaredon وTurla مختلفة هو تسلسل الأحداث. رصدت ESET أداة PteroGraphin وهي تشغل Kazuar من جديد، ثم رصدت في حالات لاحقة أدوات Gamaredon وهي تنشر إصدارات Kazuar بصورة مباشرة. ووفق تقييم الباحثين، فإن التفسير الأكثر ترجيحًا هو أن Gamaredon كانت تمنح Turla وصولًا إلى أجهزة منتقاة.
هذا التفصيل مهم أيضًا عند Attribution: لا ينبغي لمحلل التهديدات أن يرى أول عائلة Malware ويقرر تلقائيًا أن جهة واحدة مسؤولة عن دورة الاختراق كاملة. قد ينتقل الوصول من فريق إلى آخر، أو يُشارك، أو يُستغل من جهة ثانية بعد المرحلة الأولى.
Gamaredon للوصول الواسع وTurla للأهداف الأعلى قيمة
إحدى أهم الإشارات جاءت من Victimology. قالت ESET إنها رصدت Turla على سبعة أجهزة فقط داخل أوكرانيا خلال فترة 18 شهرًا، بينما كانت Gamaredon تخترق مئات وربما آلاف الأجهزة.
هذا الفارق الكبير يدعم نموذجًا تشغيليًا منطقيًا: تنفذ Gamaredon عمليات أوسع للحصول على عدد كبير من نقاط الوصول، ثم تحصل Turla على وصول انتقائي إلى الأنظمة التي يُعتقد أنها تحمل قيمة استخباراتية أعلى.
لكن يجب التعامل مع ذلك كتقييم استخباراتي مبني على Telemetry وليس كدليل على أن كل جهاز اخترقته Gamaredon يُعرض تلقائيًا على Turla. البيانات المنشورة تشير إلى اختيار عدد صغير جدًا من الأهداف مقارنة بإجمالي نشاط Gamaredon.
ما الأدوات التي ربطت النشاطين؟
رصدت ESET عدة عائلات مرتبطة بـGamaredon على الأنظمة التي درستها، من بينها:
- PteroLNK
- PteroStew
- PteroOdd
- PteroEffigy
- PteroGraphin
- PteroPaste
أما الأثر الأبرز المرتبط بـTurla فكان Kazuar بإصداري v2 وv3. Kazuar عبارة عن Backdoor متطور مرتبط منذ سنوات بعمليات Turla، ويتيح للمشغلين تنفيذ مهام استطلاع وتحكم وجمع بيانات على الأنظمة المصابة.
في إحدى الحالات كان PteroGraphin هو الذي أعاد تشغيل Kazuar v3، بينما استُخدمت PteroOdd وPteroPaste في حالات لاحقة لتسليم Kazuar v2. هذه السلسلة هي جوهر الدليل الذي بنت عليه ESET تقييمها للتعاون.
ما الذي لم تستطع ESET إثباته؟
رغم قوة العلاقة التقنية، توجد حدود مهمة للدليل. في حالات فبراير كانت منتجات ESET قد ثُبتت على الأنظمة بعد حدوث الاختراقين، ولذلك لم يتمكن الباحثون من تحديد وسيلة Initial Access الأصلية بصورة قاطعة.
Gamaredon معروفة باستخدام Spear Phishing وملفات LNK الخبيثة ووسائط التخزين القابلة للإزالة، ولهذا اعتبرت ESET هذه السيناريوهات مرشحة بقوة، لكن ذلك يختلف عن إثبات أن مسارًا محددًا كان نقطة الاختراق الفعلية في الأجهزة الأربعة.
هذا التفريق بين ما شوهد مباشرة وما يرجحه الباحثون ضروري في أي تحليل Threat Intelligence جيد.
ماذا تغيّر بعد كشف التعاون؟
لم تتوقف القصة عند تقرير سبتمبر 2025. ففي 25 يونيو 2026 نشرت ESET تحليلًا موسعًا لنشاط Gamaredon خلال 2025 وأكدت فيه مجددًا أن المجموعة تعاونت مع Turla في الجزء الأول من العام.
وأظهر التقرير أن Gamaredon بقيت شديدة النشاط ومركزة على مؤسسات حكومية وعسكرية أوكرانية، مع ارتفاع واضح في وتيرة وحجم حملات Spear Phishing خلال النصف الثاني من 2025.
كما وثقت ESET ست أدوات PowerShell جديدة ضمن ترسانة المجموعة، إلى جانب توسعها في إساءة استخدام خدمات شرعية لتحديد خوادم C2 أو نقل البيانات. وشملت الخدمات التي ظهرت في أبحاثها Telegram وDropbox وDEV Community وMastodon، بالإضافة إلى استخدام خدمات تخزين متوافقة مع Amazon S3 لاستقبال الملفات المسروقة.
هل ما زالت Turla نشطة في 2026؟
نعم. في اليوم نفسه، 25 يونيو 2026، نشرت Google Threat Intelligence Group تحليلًا مفصلًا للباب الخلفي STOCKSTAY المرتبط بـTurla، وأكدت أن المجموعة ما زالت نشطة وتطوّر وسائلها لجمع المعلومات.
تقول Google إن STOCKSTAY قيد التطوير والاستخدام منذ ديسمبر 2022 على الأقل، وقد ظهر في عمليات استهدفت مؤسسات حكومية وعسكرية داخل أوكرانيا، إلى جانب نشاط مرتبط بجهات مهتمة بالسياسة الخارجية الإيطالية. كما وجدت GTIG تداخلًا وظيفيًا وبرمجيًا مهمًا بين STOCKSTAY وKazuar.
هذه النتائج تؤكد استمرار نشاط Turla، لكنها لا تعني تلقائيًا استمرار آلية التعاون نفسها مع Gamaredon طوال 2026. المصادر العامة المستخدمة هنا توثق بصورة مباشرة التعاون في أوائل 2025، بينما تناقش التقارير الأحدث تطور كل مجموعة ونشاطها اللاحق.
ماذا عن CVE-2025-8088 وWinRAR؟
هناك تطور لاحق يوضح لماذا يجب الحذر عند تفسير التداخل بين الجهات. ففي يناير 2026 كشفت Google Threat Intelligence Group عن استغلال واسع لثغرة WinRAR CVE-2025-8088 من جهات متعددة.
وثقت Google نشاط TEMP.Armageddon المرتبط بـGamaredon حتى يناير 2026، كما رصدت Turla تستخدم الثغرة لتسليم STOCKSTAY. لكن GTIG عرضت المجموعتين كمسارات نشاط منفصلة؛ لذلك فإن استخدامهما الثغرة نفسها ليس دليلًا كافيًا على استمرار التعاون الذي كشفته ESET.
وهنا يظهر درس مهم: اشتراك جهتي تهديد في CVE أو Technique أو خدمة استضافة لا يثبت أنهما تعملان معًا. الدليل الأقوى يأتي من تسلسل التنفيذ، مشاركة الوصول، العلاقات بين Payloads، Telemetry، والبنية الزمنية الكاملة للحادث.
ماذا يعني ذلك لفرق SOC وIncident Response؟
الدلالة الدفاعية الأهم هي أن العثور على Malware معروفة لا يعني بالضرورة أنك وجدت كل ما حدث داخل البيئة. إذا كانت جهة أولى قادرة على تمرير الوصول إلى جهة ثانية، فإن إزالة Loader أو Backdoor الأولى قد تترك Implant آخر أو Persistence مستقلة تعمل على النظام.
لذلك يجب أن تتعامل عملية الاستجابة للحوادث الأمنية مع الاختراق باعتباره سلسلة زمنية كاملة، لا ملفًا خبيثًا واحدًا يجب حذفه.
1. ابحث عن وصول ثانوي
بعد اكتشاف Gamaredon أو أي جهة Initial Access مشابهة، راجع ما حدث بعد نقطة الاختراق الأولى. ابحث عن أدوات وعائلات Malware لا تنتمي إلى البنية المعتادة للجهة الأولى، خصوصًا إذا ظهرت في وقت لاحق.
2. لا تعتمد على Attribution واحدة طوال الحادث
راجع Process Trees والملفات والاتصالات الشبكية والحسابات المستخدمة عبر الزمن. اختلاف TTPs بصورة مفاجئة قد يشير إلى انتقال في مرحلة الهجوم أو دخول جهة إضافية.
3. راجع جميع آليات Persistence
لا تكتف بإزالة أول ملف خبيث. افحص Scheduled Tasks وRegistry Run Keys وخدمات Windows وعناصر Startup والسكريبتات والملفات المخفية وأي Persistence أخرى ظهرت منذ بداية الاختراق.
4. راقب PowerShell وLNK وHTA
هذه الأنواع ظهرت بصورة متكررة في نشاط Gamaredon. وجود EDR مع تسجيل مناسب لـPowerShell وسلاسل العمليات يساعد على كشف العلاقة بين ملف الطعم والسكريبت والحمولة التي تأتي بعده.
5. افحص الحركة الجانبية والوسائط القابلة للإزالة
وثقت أبحاث ESET قدرة بعض أدوات Gamaredon على استغلال USB drives وMapped Network Drives وبرامج التثبيت للانتشار. لذلك يجب ألا يقتصر التحقيق على الجهاز الذي أطلق أول Alert.
6. أغلق الثغرات المستخدمة في Initial Access
إذا كانت المؤسسة تستخدم WinRAR، يجب تشغيل إصدار محدث لا يتأثر بـCVE-2025-8088. تم إصلاح الثغرة في WinRAR 7.13 خلال يوليو 2025، ومع ذلك استمر استغلال الأنظمة غير المحدثة بعد أشهر من توفر التصحيح.
7. تعامل مع Credentials كجزء من الحادث
إذا كان الجهاز المخترق يحتوي على بيانات اعتماد أو Sessions أو مفاتيح وصول، فيجب تحديد نطاق تعرضها وعزل الأنظمة المصابة ثم تدوير Credentials ذات الصلة. تنظيف Malware مع ترك وصول صالح للمهاجم لا ينهي الاختراق.
ما الدرس الأهم لمحلل Threat Intelligence؟
تكشف حالة Gamaredon وTurla أن Threat Actor ecosystem ليس مجموعة جزر مستقلة. الجهات الحكومية المتقدمة قد تتشارك الوصول أو تستفيد من بنية سبق أن أنشأتها جهة أخرى، كما أن Turla نفسها لديها تاريخ في الاستفادة من وصول وبنية جهات مختلفة.
لهذا يجب بناء Attribution على الزمن والسلوك والأدلة التقنية، لا على اسم أول Malware يظهر في التحقيق. قد تبدأ سلسلة الحادث بأداة تبدو مألوفة، ثم تتحول بعد أيام أو أسابيع إلى عملية تجسس أكثر انتقائية وتعقيدًا.
الخلاصة
ما كشفته ESET في سبتمبر 2025 لم يكن اندماجًا بين Gamaredon وTurla ولا دليلًا على أنهما أصبحتا مجموعة واحدة. ما وثقته الشركة هو نموذج أكثر تحديدًا: أجهزة اخترقتها Gamaredon ظهرت عليها لاحقًا أدوات Turla، وفي بعض الحالات استُخدمت أدوات Gamaredon نفسها لإعادة تشغيل أو نشر Kazuar.
هذا التسلسل، إلى جانب الفارق الكبير بين عدد اختراقات Gamaredon وعدد الأجهزة التي وصلت إليها Turla، دفع ESET إلى تقييم التعاون بثقة عالية ورجّح أن Gamaredon وفرت Initial Access بينما اختارت Turla أهدافًا محددة ذات قيمة استخباراتية أكبر.
وبحلول 2026 ما زالت الأبحاث الحديثة تؤكد نشاط المجموعتين وتطور أدواتهما، لكن من المهم عدم تحويل واقعة التعاون الموثقة في أوائل 2025 إلى ادعاء غير مثبت بأن الآلية نفسها استمرت دون انقطاع. بالنسبة للمدافعين، الدرس الأكثر قابلية للتطبيق هو أن اكتشاف جهة واحدة لا يعني أن الحادث يخص جهة واحدة فقط؛ التحقيق الكامل يجب أن يبحث دائمًا عما حدث قبل أول Alert وما تم نشره بعده.