APT29 يستغل ثغرات N-day بهجمات صفرية النقرة على iOS وأندرويد

مقدمة تحليلية

في 4 نوفمبر 2026، كشفت شركة Sekoia للأمن السيبراني عن حملة واسعة النطاق لـ APT29، المعروفة أيضاً باسم Midnight Blizzard، وهي مجموعة تهديد روسية استهدفت مستخدمي أجهزة iOS وأندرويد. اعتمدت الحملة، التي نُسبت إلى المجموعة بثقة "متوسطة إلى عالية"، على هجمات "نضح المياه" (watering hole) واستغلال ثغرات "N-day" صفرية النقرة (zero-click) لسرقة بيانات حساسة. استهدفت الهجمات مواقع ويب حساسة في الولايات المتحدة وأوكرانيا وجمهورية التشيك وبلغاريا، بالإضافة إلى مواقع مزورة تنتحل بوابات شرعية. يشير هذا التكتيك إلى تصعيد في قدرات التجسس، مستفيداً من تأخر المستخدمين في تطبيق التحديثات الأمنية المتاحة لسد الثغرات المكتشفة سابقاً.

تحديداً، استهدفت الثغرات إصدارات iOS 16.7 و iOS 18.5 و Chrome لأنظمة أندرويد من 139 إلى 145، باستثناء 143، في حملة كشفت عن استغلال مباشر للثغرات بعد الكشف عنها بفترة.

التحليل التقني

بدأت حملة APT29 بتقديم حمولة JavaScript أولية تزور المواقع المستهدفة. كان الهدف من هذه الحمولة تحديد إصدار المتصفح ونوع الجهاز، مما سمح لخادم القيادة والتحكم (C2) بنشر سلاسل استغلال "N-day" مخصصة لكل منصة دون أي تفاعل من المستخدم. اشتملت المواقع الشرعية المخترقة على منتج غاز أوكراني، وجمعية تجارية أمريكية للصناعات الكيميائية، وموقع عسكري بلغاري. كما تم انتحال مواقع مثل America250 وفندق Raffles London at The OWO، مع تمرير المحتوى الأصلي بأسلوب هجوم "الوسيط في المنتصف" (adversary-in-the-middle).

كشفت Sekoia أيضاً عن اختراق خدمة تحليلات الويب الأوكرانية Plerdy، حيث تم تعديل متتبع تحسين محركات البحث (SEO tracker) الخاص بها. تم تحميل هذا المتتبع بواسطة آلاف المواقع، معظمها في أوكرانيا، بين 27 أغسطس و 3 سبتمبر. استغل المهاجمون الثغرات التالية لسرقة بيانات محددة:

• iOS 16.7: CVE-2025-43529 و CVE-2024-27834. استهدفتا ملفات تعريف الارتباط المخزنة في متصفح Safari.
• iOS 18.5: CVE-2025-43529، CVE-2026-20700، CVE-2025-14174، CVE-2025-43510، و CVE-2025-43520. جمعت هذه الثغرات قواعد بيانات WhatsApp و Telegram، وبيانات اعتماد Keychain، وبيانات الموقع، والصور.
• Chrome لأندرويد (إصدارات 139 إلى 145، باستثناء 143): CVE-2026-3910 و CVE-2025-27038. استخدمت "AndroSnitch" لجمع ملفات تعريف ارتباط Chrome، وبيانات تسجيل الدخول، وسجل التصفح، وبيانات اعتماد Wi-Fi المحفوظة.

تم ربط CVE-2025-43529 بـ "DarkSword"، وهو طقم استغلال (exploit kit) تم توثيقه لأول مرة في مارس (من العام الجاري ضمناً) واستُخدم في هجمات منذ نوفمبر 2025. لم تُنشئ أي من الحمولات المستخدمة بواسطة APT29 في هذه الهجمات استمرارية على الأجهزة، مما يعني أن إعادة تشغيل الجهاز توقف النشاط الضار حتى زيارة موقع مخترق مرة أخرى.

السياق وتأثير السوق

تُظهر حملة APT29 تحولاً في تكتيكات المجموعات المدعومة من الدول، حيث تعتمد على استغلال ثغرات "N-day" في هجمات صفرية النقرة. هذا يعني أن المهاجمين لا يحتاجون إلى ابتكار ثغرات "صفرية اليوم" (zero-day) جديدة، بل يستغلون ثغرات معروفة تم إصلاحها بواسطة الشركات المصنعة، لكن العديد من المستخدمين لم يطبقوا التحديثات اللازمة. يمثل هذا تحدياً مباشراً لنموذج الأمن التقليدي، حيث يتم افتراض أن تصحيح الثغرات يكفي لحماية المستخدمين. في المقابل، فإن شركات مثل Apple و Google، اللتان تتصدران سوق الهواتف الذكية بنظامي iOS وأندرويد على التوالي، مضطرتان الآن لتوسيع نطاق تحديثات الأمن لتشمل الإصدارات القديمة من أنظمتهما.

هذا ما حدث بالفعل عندما قامت Apple بتوفير تحديثات CVE-2025-43529 و CVE-2024-27834 لإصدارات iOS 16.7 الأقدم، مما يفرض ضغطاً إضافياً على دورة دعم المنتجات ويزيد من تكلفة صيانة الأمن. لا يزال المنافسون مثل Samsung و Xiaomi و Huawei، الذين يعتمدون على نظام أندرويد، يواجهون نفس التحديات في ضمان التحديثات الأمنية السريعة والواسعة لمنتجاتهم، مما يجعل السوق عرضة لنفس النوع من الاستغلال في حال تخلف المستخدمين عن التحديث. الوضع الراهن يضع عبئاً أكبر على المستخدم النهائي بدلاً من الابتكار الأمني الاستباقي من المهاجمين.