تتعرف على Genox لأول مرة؟ جولة في Genox Cybersecurity AI خلال ثلاث دقائق ← الإبلاغ عن حادث (على مدار الساعة)
مجموعات التهديد

خمس مجموعات تهديد تستهدف كوريا
كما تصفها المصادر المنشورة

جمعنا هنا ما ورد في صفحات المجموعات على MITRE ATT&CK وفي تنبيهات الجهات الحكومية وتقارير شركات الأمن، ولم نضف شيئًا من عندنا.
ولكل مجموعة كتبنا التقنيات التي تكثر من استخدامها، وما يجب البحث عنه في سجلاتك، وكيف تتحقق من أن دفاعاتك توقفها فعلًا.

نظرة عامة

المجموعات الخمس في جدول واحد

تصنّف MITRE ATT&CK المجموعات الخمس كلها على أنها مرتبطة بحكومة كوريا الشمالية.
لم تُصدر Genox أي حكم خاص بها في نسبة الهجمات (attribution)، ولم ننقل من الحوادث إلا ما ورد في المصادر المنشورة.

المجموعةمعرّف ATT&CKالهدف الرئيسيالجهات المستهدفة المتصلة بكوريا في المصادر المنشورةأبرز المصادر المنشورة
Lazarus GroupG0032جمع المعلومات، وسرقة الأموال، والتخريبالقطاع المالي، والأصول الافتراضية، والدفاع والطيران. وتذكر MITRE أيضًا صلتها بعمليات مثل DarkSeoul وTen Days of RainCISA AA22-108A
KimsukyG0094جمع المعلوماتالجهات الحكومية، ومراكز الأبحاث، والخبراء في الشؤون الدبلوماسية والأمنية وشؤون كوريا الشمالية، ووسائل الإعلامCISA AA20-301A، وتنبيه كوري أمريكي مشترك (2023.6)
APT37G0067جمع المعلوماتكوريا الجنوبية في المقام الأول، عبر هجمات حفرة الماء (watering hole) من خلال مواقع ويب كوريةFireEye (2018)، Volexity (2021)
AndarielG0138جمع المعلومات، وسرقة الأموالالجهات الحكومية، والجيش، والشركات الكورية، وقطاعات الدفاع والطيران والطاقة النووية والهندسةCISA AA24-207A (بمشاركة جهاز الاستخبارات الوطني الكوري والشرطة الوطنية الكورية)
APT38G0082سرقة الأموالالبنوك، ومنصات تداول الأصول الافتراضية، وأنظمة الدفع. لا يوجد ما يدل على أنها تستهدف كوريا وحدها، لكن القطاع المالي الكوري يقع ضمن الفئة المستهدفة نفسهاCISA AA20-239A

تاريخ المراجعة 2026-11-07. في هذا التاريخ راجعنا صفحات المجموعات على MITRE ATT&CK من جديد. تتغير قوائم التقنيات والأسماء الأخرى مع كل إصدار جديد من ATT&CK، فراجع المصدر الأصلي مرة أخرى قبل الاعتماد عليه.

G0032

Lazarus Group

تصف MITRE هذه المجموعة بأنها مرتبطة بالمكتب العام للاستطلاع (RGB) وناشطة منذ عام 2009 على الأقل. وتوضح أيضًا أن الجهات الكورية الشمالية تتشارك الأفراد والأدوات، ولذلك كثيرًا ما يُستخدم اسم «Lazarus» للإشارة إلى مجمل النشاط الصادر عن كوريا الشمالية. يختلف نطاق الاسم من تقرير إلى آخر، فلا تفترض أن الاسم نفسه يعني الجهة الفاعلة نفسها.

أسماء أخرى

Labyrinth ChollimaHIDDEN COBRAGuardians of PeaceZINCNICKEL ACADEMYDiamond Sleet

الجهات المستهدفة

المؤسسات المالية، ومستخدمو الأصول الافتراضية، والعاملون في قطاعي الدفاع والطيران. وفي عملية Operation Dream Job بين عامي 2019 و2020، تواصلت المجموعة مع موظفين في قطاعي الدفاع والطيران عبر عروض توظيف مزيفة وحسابات على LinkedIn.

الوصول الأولي

أشهر أساليبها التصيّد الموجّه بطُعم التوظيف. يشرح تنبيه CISA AA22-108A كيف عُرضت وظائف برواتب مرتفعة على مسؤولي الأنظمة وفرق DevOps في شركات البلوك تشين، ثم دُفعوا إلى تنزيل تطبيق خبيث متنكر في هيئة تطبيق لتداول الأصول الافتراضية (TraderTraitor). وتتولى دالة تحديث داخل التطبيق تنزيل برمجيات خبيثة إضافية وتشغيلها.

في نوفمبر 2023 أصدر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) وجهاز الاستخبارات الوطني الكوري (NIS) تنبيهًا مشتركًا عن هجوم على سلسلة التوريد مرّ عبر مواقع إعلامية واستغل ثغرة في برنامج كوري للمصادقة الأمنية (MagicLine4NX, CVE-2023-45797). يكتفي التنبيه بوصف الجهة بأنها مرتبطة بكوريا الشمالية، ولا يذكر اسم مجموعة بعينها.

معرّف التقنيةالتقنيةالتكتيك
T1566.001Spearphishing Attachment (مرفق تصيّد موجّه)الوصول الأولي
T1566.002Spearphishing Link (رابط تصيّد موجّه)الوصول الأولي
T1059.001PowerShellالتنفيذ
T1543.003Windows Service (إنشاء خدمة ويندوز أو تعديلها)الثبات
T1547.001Registry Run Keys / Startup Folder (مفاتيح التشغيل في السجل ومجلد بدء التشغيل)الثبات
T1110.003Password Spraying (رش كلمات المرور)الوصول إلى بيانات الاعتماد
T1557.001LLMNR/NBT-NS Poisoning and SMB Relay (تزوير ردود LLMNR/NBT-NS وترحيل SMB)الوصول إلى بيانات الاعتماد
T1560.001Archive via Utility (ضغط البيانات المجمّعة بأداة أرشفة)الجمع
T1041Exfiltration Over C2 Channel (التسريب عبر قناة القيادة والتحكم)التسريب
T1485Data Destruction (إتلاف البيانات)التأثير

ما يجب فحصه عند الرصد

  • هل يظهر PowerShell أو cmd مباشرة بعد تشغيل ملف مضغوط أو ملف تثبيت وصل عبر تطبيق مراسلة أو بريد إلكتروني. راجع علاقة العملية الأم بالعملية الفرعية في شجرة العمليات في EDR أو في الحدث 1 في Sysmon (إنشاء عملية).
  • تسجيل خدمة جديدة (سجل System، الحدث 7045) وتعديل مفتاح Run (الحدث 13 في Sysmon). إذا أُنشئت خدمة خارج ساعات العمل فتحقق من مسار الملف التنفيذي وتوقيعه، حتى لو بدا اسمها مقنعًا.
  • نمط تتوالى فيه محاولات تسجيل دخول فاشلة على حسابات متعددة من مصدر واحد. لن يظهر رش كلمات المرور إلا إذا جمعت بين سجلات الأمان في ويندوز (4625 و4771) وسجلات تسجيل الدخول في خدمة الهوية السحابية.
  • الأجهزة التي ترد على طلبات LLMNR (UDP 5355) وNBT-NS (UDP 137) في الشبكة. إن لم تكن تستخدم هذين البروتوكولين فتعطيلهما عبر نهج المجموعة (Group Policy) أضمن من محاولة رصدهما.
  • عمليات برامج الأمان المحلية المستخدمة في العمل الكوري، مثل وكلاء الشهادات والتوقيع الإلكتروني، إذا شغّلت واجهة أوامر أو اتصلت بعنوان خارجي غير مألوف. هجمات سلسلة التوريد تدخل عبر برامج سليمة من هذا النوع.
تحقّق بنفسك هل تتوقف هذه التقنيات في بيئتكاطلب استشارة تحقق
G0094

Kimsuky

مجموعة لجمع المعلومات تنشط منذ عام 2012 على الأقل. استهدفت في البداية الجهات الحكومية الكورية ومراكز الأبحاث والخبراء في مجالات مختلفة، ثم وسّعت أهدافها لتشمل الأمم المتحدة وقطاعات الحكومة والتعليم والتصنيع في الولايات المتحدة واليابان وروسيا وأوروبا. وتستشهد MITRE بمصادر تنسب إلى هذه المجموعة اختراق شركة كوريا للطاقة المائية والنووية (KHNP) عام 2014.

أسماء أخرى

Black BansheeVelvet ChollimaEmerald SleetTHALLIUMAPT43TA427SpringtailEarth KumihoPatheticSlug

الجهات المستهدفة

الأفراد والمؤسسات العاملون في الشؤون الدبلوماسية والأمنية لشبه الجزيرة الكورية، والسياسة النووية، والعقوبات على كوريا الشمالية. ويعرض التنبيه الكوري الأمريكي المشترك الصادر في يونيو 2023 حالات انتحلت فيها المجموعة صفة صحفيين وباحثين ومسؤولين حكوميين لاستهداف مراكز الأبحاث والأوساط الأكاديمية ووسائل الإعلام.

الوصول الأولي

يتكرر في الحالات المنشورة أسلوب يبدأ برسالة تطلب مقابلة أو استشارة، دون أي ملف خبيث. وحين يصل الرد، تحمل الرسالة التالية مستند HWP أو Office، أو ملف LNK مضغوطًا، أو رابطًا إلى خدمة تخزين سحابي. وتكثر كذلك روابط سرقة الحسابات التي تقلّد تنبيهات أمان تسجيل الدخول. ويتناول تنبيه صادر عام 2024 عن FBI وجهات أخرى حالات أُرسلت فيها رسائل بانتحال نطاقات سياسة DMARC فيها متساهلة.

معرّف التقنيةالتقنيةالتكتيك
T1566.001Spearphishing Attachment (مرفقات HWP وOffice وملفات LNK مضغوطة)الوصول الأولي
T1566.002Spearphishing Link (رابط تصيّد موجّه)الوصول الأولي
T1204.002Malicious File (تشغيل المستخدم لملف خبيث)التنفيذ
T1059.001PowerShellالتنفيذ
T1218.005Mshta (التنفيذ بالوكالة عبر mshta)التهرب من الدفاعات
T1547.001Registry Run Keys / Startup Folder (مفاتيح التشغيل في السجل ومجلد بدء التشغيل)الثبات
T1053.005Scheduled Task (مهمة مجدولة)الثبات
T1003.001LSASS Memory (تفريغ ذاكرة LSASS)الوصول إلى بيانات الاعتماد
T1555.003Credentials from Web Browsers (بيانات اعتماد محفوظة في المتصفح)الوصول إلى بيانات الاعتماد
T1102.002Bidirectional Communication (اتصال ثنائي الاتجاه عبر خدمة ويب)القيادة والتحكم

ما يجب فحصه عند الرصد

  • اتصال mshta.exe بعنوان URL خارجي، أو تشغيله تحت explorer.exe عبر ملف LNK. نادرًا ما يُستخدم mshta على أجهزة المستخدمين العاديين، فيكفي وضع خط أساس لاستبعاد معظم الحالات.
  • هل يشغّل برنامج هانغل (Hwp.exe) أو إحدى عمليات Office عمليات فرعية مثل cmd أو PowerShell أو wscript.
  • المهام المجدولة التي أُنشئت بصلاحيات مستخدم عادي. راجع اسم المهمة والأمر الذي تشغّله معًا في سجل الأمان (الحدث 4698) أو في سجل التشغيل Microsoft-Windows-TaskScheduler.
  • عمليات ليست متصفحات تقرأ ملفي Login Data وCookies الخاصين بكروم وإيدج، وإضافات المتصفح المثبتة حديثًا.
  • رسائل تصل إلى بوابة البريد من مرسل خارجي لكن اسمه الظاهر لمسؤول في جهة رسمية أو لصحفي. وتحقق كذلك من أن سياسة DMARC لنطاقك لم تبقَ على p=none.
  • إنشاء حساب مسؤول محلي جديد (4720 و4732) يتبعه تفعيل سطح المكتب البعيد. ويمكن رصد ذلك أيضًا من تغيّر قيمة fDenyTSConnections في السجل.
تحقّق بنفسك هل تتوقف هذه التقنيات في بيئتكاطلب استشارة تحقق
G0067

APT37

مجموعة لجمع المعلومات تنشط منذ عام 2012 على الأقل، وتذكر MITRE أن هدفها الرئيسي كوريا الجنوبية. وقد رُصد نشاطها أيضًا في اليابان وفيتنام وروسيا والشرق الأوسط وغيرها. ويتكرر في تقارير عدة أسلوبها في إصابة مواقع ويب كورية لاستهداف زوارها.

أسماء أخرى

InkySquidScarCruftReaperGroup123TEMP.ReaperRicochet Chollima

الجهات المستهدفة

بحسب وصف MITRE، الدولة المستهدفة أساسًا هي كوريا الجنوبية. وفي حالة Volexity المذكورة أدناه استُهدف قرّاء موقع إعلامي متخصص في شؤون كوريا الشمالية. وتُربط بهذه المجموعة عمليات جرت بين عامي 2016 و2018 مثل Operation Daybreak وErebus وGolden Time وFreeMilk.

الوصول الأولي

هجمات حفرة الماء، والتوزيع عبر مواقع التورنت، والتصيّد الموجّه بمرفقات HWP، واستغلال ثغرات المتصفحات وبرامج المستندات. وقد أفادت Volexity بأن موقع Daily NK المتخصص في شؤون كوريا الشمالية زُرعت فيه عام 2021 شيفرة تستغل ثغرتين في إنترنت إكسبلورر (CVE-2020-1380 وCVE-2021-26411)، ثم استُخدمت بعد ذلك البرمجية الخبيثة BLUELIGHT التي تتواصل عبر Microsoft Graph API.

معرّف التقنيةالتقنيةالتكتيك
T1189Drive-by Compromise (هجوم حفرة الماء)الوصول الأولي
T1566.001Spearphishing Attachment (مرفق تصيّد موجّه)الوصول الأولي
T1203Exploitation for Client Execution (استغلال ثغرات برامج العميل)التنفيذ
T1059.005Visual Basicالتنفيذ
T1547.001Registry Run Keys / Startup Folder (مفاتيح التشغيل في السجل ومجلد بدء التشغيل)الثبات
T1548.002Bypass User Account Control (تجاوز UAC)تصعيد الصلاحيات
T1055Process Injection (حقن العمليات)التهرب من الدفاعات
T1027.003Steganography (إخفاء البيانات داخل الصور)التهرب من الدفاعات
T1123Audio Capture (تسجيل الصوت)الجمع
T1102.002Bidirectional Communication (اتصال ثنائي الاتجاه عبر السحابة والشبكات الاجتماعية)القيادة والتحكم

ما يجب فحصه عند الرصد

  • عملية متصفح تشغّل ملفًا تنفيذيًا أو محرك سكربتات كعملية فرعية. لا يكاد هذا يحدث في الاستخدام العادي، فالقاعدة قليلة الإنذارات الكاذبة.
  • ما تبقى من استخدام وضع إنترنت إكسبلورر وmshtml. استخراج قائمة الأجهزة التي تستخدم وضع IE من بيانات إدارة الأصول يسهّل ترتيب أولويات التحديث.
  • هل تتصل عمليات ليست متصفحات بواجهات سحابية مثل Dropbox وpCloud وBox وYandex وMicrosoft Graph API. لا تفيد هذه المعلومة إلا إذا ربطتها باسم العملية في سجلات الوكيل (proxy) أو سجلات DNS.
  • نمط تنزّل فيه عملية ملف صورة ثم تنشئ مباشرة منطقة ذاكرة قابلة للتنفيذ (حمولة مخفية بإخفاء البيانات داخل الصور).
  • اتصالات الشبكة التي تظهر بعد فتح مستند HWP، والملفات التنفيذية الجديدة في المجلد المؤقت.
تحقّق بنفسك هل تتوقف هذه التقنيات في بيئتكاطلب استشارة تحقق
G0138

Andariel

تعدّ MITRE مجموعة Andariel فرعًا من Lazarus Group، وتذكر أنها تستهدف منذ عام 2009 على الأقل الجهات الحكومية والجيش والشركات في كوريا الجنوبية بالدرجة الأولى. وإلى جانب الهجمات التخريبية، نفّذت نشاطًا بدافع مالي استهدف أجهزة الصراف الآلي والبنوك ومنصات تداول الأصول الافتراضية. والتنبيه CISA AA24-207A الصادر في يوليو 2024 أصدرته جهات أمريكية وبريطانية بالاشتراك مع جهاز الاستخبارات الوطني الكوري والشرطة الوطنية الكورية.

أسماء أخرى

Silent ChollimaPLUTONIUMOnyx Sleet

الجهات المستهدفة

بحسب AA24-207A، تأتي قطاعات الدفاع والطيران والفضاء والطاقة النووية والهندسة في المرتبة الأولى، تليها الرعاية الصحية والطاقة. ويذكر التنبيه نفسه أن عائدات هجمات الفدية على مؤسسات رعاية صحية أمريكية استُخدمت لتمويل أنشطة جمع المعلومات.

الوصول الأولي

يتركز أسلوبها على استغلال ثغرات معروفة في خوادم مكشوفة على الإنترنت وزرع أصداف ويب (web shell). ويذكر التنبيه ثغرات منها Log4j (CVE-2021-44228) وApache ActiveMQ (CVE-2023-46604) وTeamCity (CVE-2023-42793). ويذكر أيضًا تصيّدًا بملفات ZIP تحوي ملفات LNK أو HTA.

معرّف التقنيةالتقنيةالتكتيك
T1592.002Software (جمع معلومات البرمجيات على أجهزة الضحية)الاستطلاع
T1190Exploit Public-Facing Application (استغلال تطبيق مكشوف للعامة) (AA24-207A)الوصول الأولي
T1189Drive-by Compromise (الاختراق عبر زيارة موقع)الوصول الأولي
T1566.001Spearphishing Attachment (مرفق تصيّد موجّه)الوصول الأولي
T1203Exploitation for Client Execution (استغلال ثغرات برامج العميل)التنفيذ
T1505.003Web Shell (صدفة ويب) (AA24-207A)الثبات
T1027.003Steganography (إخفاء البيانات داخل الصور)التهرب من الدفاعات
T1049System Network Connections Discovery (اكتشاف اتصالات الشبكة)الاكتشاف
T1057Process Discovery (اكتشاف العمليات)الاكتشاف
T1105Ingress Tool Transfer (تنزيل أدوات من الخارج)القيادة والتحكم

التقنيات غير المعلَّمة مأخوذة من صفحة المجموعة على MITRE، والمعلَّمة بين قوسين مأخوذة من تنبيه CISA.

ما يجب فحصه عند الرصد

  • هل تشغّل عمليات خوادم جافا مثل Tomcat وActiveMQ وTeamCity واجهات أوامر مثل cmd أو PowerShell أو sh. في حالات كثيرة تكون اللحظة التي يشغّل فيها حساب خادم الويب واجهة أوامر أبكر إشارة متاحة.
  • ملفات jsp أو aspx أو php جديدة أو معدّلة في جذر خادم الويب. إن لم تكن لديك مراقبة لسلامة الملفات فابدأ بمقارنة سجل النشر بأوقات تعديل الملفات.
  • أنماط الأوامر الواردة في التنبيه، مثل عرض قائمة الاتصالات بـnetstat، وتنزيل ملفات إلى المجلد المؤقت بـcurl، وإنشاء نسخة ظل للمجلد بـvssadmin ثم نسخ NTDS.dit.
  • تشغيل أدوات مزدوجة الاستخدام مثل Mimikatz وProcDump وAdFind وImpacket وPLINK. مقارنتها بقائمة الأدوات التي يستخدمها المسؤولون فعلًا تقلل الإنذارات الكاذبة.
  • ملفات تنفيذية محزومة بـVMProtect أو Themida، وتنقّل عبر RDP بين الخوادم الداخلية، يتبعه نقل كميات كبيرة من البيانات إلى تخزين سحابي أو عبر FTP.
تحقّق بنفسك هل تتوقف هذه التقنيات في بيئتكاطلب استشارة تحقق
G0082

APT38

مجموعة بدافع مالي مرتبطة بالمكتب العام للاستطلاع، استهدفت منذ عام 2014 على الأقل البنوك والمؤسسات المالية والكازينوهات ومنصات تداول الأصول الافتراضية ومحطات SWIFT وأجهزة الصراف الآلي في 38 دولة على الأقل. وتُعد حادثة البنك المركزي في بنغلاديش عام 2016 أبرز أمثلتها. لا تخص المصادر المنشورة كوريا بالذكر، لكننا أدرجناها لأن المؤسسات المالية الكورية ومزودي خدمات الأصول الافتراضية يقعون ضمن الفئة المستهدفة نفسها.

أسماء أخرى

NICKEL GLADSTONEBeagleBoyzBluenoroffStardust ChollimaSapphire SleetCOPERNICIUM

الجهات المستهدفة

خوادم محولات الدفع (payment switch) في البنوك، ومحطات SWIFT، وشركات معالجة المدفوعات بين البنوك، ومنصات تداول الأصول الافتراضية. وتذكر صفحة المجموعة على MITRE أيضًا اختراقًا لسلسلة توريد البرمجيات عبر حزم npm.

الوصول الأولي

يعدّد التنبيه CISA AA20-239A التصيّد الموجّه بمرفقات متنكرة في هيئة طلبات توظيف، وهجمات حفرة الماء، وثغرات التطبيقات المكشوفة على الإنترنت، والحسابات السليمة المسروقة، والجهات الخارجية ذات العلاقة التجارية، وخدمات الوصول البعيد الخارجية. وبعد الاختراق استُخدمت البرمجية الخبيثة FASTCash التي تعترض رسائل التفويض بمعيار ISO 8583 في محول الدفع وتوافق على سحب النقد من أجهزة الصراف الآلي.

معرّف التقنيةالتقنيةالتكتيك
T1195.001Compromise Software Dependencies and Development Tools (اختراق تبعيات البرمجيات وأدوات التطوير)الوصول الأولي
T1566.001Spearphishing Attachment (مرفق تصيّد موجّه)الوصول الأولي
T1189Drive-by Compromise (الاختراق عبر زيارة موقع)الوصول الأولي
T1059.001PowerShellالتنفيذ
T1543.003Windows Service (إنشاء خدمة ويندوز أو تعديلها)الثبات
T1553.005Mark-of-the-Web Bypass (تجاوز علامة الويب)التهرب من الدفاعات
T1070.006Timestomp (التلاعب بالطوابع الزمنية)التهرب من الدفاعات
T1565.002Transmitted Data Manipulation (التلاعب بالبيانات أثناء نقلها)التأثير
T1657Financial Theft (سرقة الأموال)التأثير
T1485Data Destruction (إتلاف البيانات)التأثير

ما يجب فحصه عند الرصد

  • العمليات والمكتبات المشتركة الجديدة على خوادم محولات الدفع (بما فيها خوادم AIX ولينكس). نادرًا ما تتغير هذه الخوادم، فأسلوب القائمة البيضاء يناسبها جيدًا.
  • تسجيلات الدخول خارج ساعات العمل إلى محطات SWIFT وخوادم الدفع، وجلسات المسؤول القادمة من مصدر غير معتاد.
  • هل ظهرت في سياسة الجدار الناري استثناءات جديدة للمنافذ 443 و6443 و8443 و9443. هذا النمط مذكور في AA20-239A، فيمكن مقارنته فورًا بسجلات إدارة التغيير.
  • سكربتات postinstall التي تتصل بالخارج أو تشغّل واجهة أوامر أثناء npm install على أجهزة المطورين وخوادم البناء.
  • تشغيل ملفات من داخل صور أقراص مثل ISO وIMG وVHD (تجاوز MotW)، ومسح سجلات الأحداث (سجل الأمان، الحدث 1102).
تحقّق بنفسك هل تتوقف هذه التقنيات في بيئتكاطلب استشارة تحقق
اقرأ بحذر

تنبيهات قبل القراءة

معلومات المجموعات نقطة انطلاق جيدة، لكن نقلها كما هي إلى قواعد رصد يترك ثغرات.

أسماء المجموعات وحدودها تختلف من شركة إلى أخرى

حتى MITRE تضع في صفحات المجموعات الخمس كلها ملاحظة معناها أن تعريفات المجموعات الكورية الشمالية تتداخل كثيرًا. فقد تُعامل Andariel فرعًا من Lazarus، وقد تُعامل APT38 والاسم BlueNoroff على أنهما المجموعة نفسها. الاستعداد على مستوى التقنيات أقل إرباكًا من الاستعداد على مستوى أسماء المجموعات.

لم نُدرج مؤشرات الاختراق (IoC) عن قصد

تتغير قيم التجزئة وعناوين IP والنطاقات خلال أسابيع قليلة. إن احتجتها فنزّل ملفات STIX وقواعد YARA المرفقة بالتنبيهات المذكورة أعلاه مباشرة. ركّزنا في هذه الصفحة على الأنماط السلوكية التي تبقى صالحة مدة أطول.

اخترنا جزءًا من قائمة التقنيات فقط

لكل مجموعة عشرات التقنيات المسجلة في ATT&CK. اخترنا هنا من 6 إلى 10 تقنيات فقط حتى يظهر التسلسل من الوصول الأولي إلى التأثير، ويمكنك تنزيل القائمة الكاملة من صفحة المجموعة على MITRE بصيغة طبقة ATT&CK Navigator.

بنود الرصد بلا قيمة إذا لم تتوفر السجلات

حين نراجع البيئات نجد كثيرًا أن Sysmon مثبت على بعض الخوادم فقط، أو أن تسجيل كتل سكربتات PowerShell (الحدث 4104) معطّل. قبل مراجعة البنود أعلاه، تأكد أولًا من أن السجلات المعنية تُجمع فعلًا.

هل تريد أن تعرف إن كانت هذه التقنيات تتوقف في بيئتك؟

في خدمة التحقق الاستباقي ننفّذ تقنيات هذه المجموعات ضمن النطاق الذي توافق عليه، ثم نعرض ما أُوقف وما رُصد وما فات على خريطة ATT&CK. تجد الاشتراك في معلومات التهديدات في صفحة استخبارات التهديدات.

اطلب استشارة تحققاعرض خريطة نطاق الحماية
المراجع

المراجع

راجعنا جميع الروابط بتاريخ 2026-11-07.

تحدّث إلى أحد خبراء
الأمن في Genox.

تواصل مع المبيعات البريد الإلكتروني admin@genox.one الإبلاغ عن حادث (على مدار الساعة)
تواصل معنا