قراصنة مرتبطون بباكستان أمضوا سنوات في خداع جيش الهند بالتصيّد. والآن يستهدفون جامعاتها.

في 22 سبتمبر 2026 وصفت شركة الأمن Trellix ملفا أُرسل إلى أشخاص في مؤسسات أكاديمية هندية. يصل الملف داخل أرشيف ZIP ويحمل اسم commskll.docx.lnk. أيقونته أيقونة PDF واسمه ينتهي بامتداد وورد .docx، لكنه في الحقيقة اختصار ويندوز، وفتحه يطلق سلسلة من السكربتات تنتهي ببرنامج تحكم عن بعد يعمل على جهاز الضحية. وفي أثناء ذلك يُفتح على الشاشة ملف تمويهي لا ضرر فيه اسمه commskl.docx.

ربطت Trellix الحملة بـSideCopy، وهي مجموعة قرصنة تنسبها شركات الأمن إلى باكستان ونشطة منذ عام 2019 على الأقل، بحسب ما أوردته The Hacker News عن التقرير. وكانت حتى الآن تستهدف في الغالب القوات الدفاعية الهندية والمسؤولين الحكوميين. ولم تنسب الحكومة الهندية هذه الحملات رسميا إلى أحد، ولم نعثر على نسبة من هذا النوع، ولذلك فكل ربط بباكستان في هذا المقال هو تقدير لشركة مسماة.

اختصار متنكر في هيئة PDF

تتبع باحثا Trellix، بوغافاربو آر إس إس سرينيفاس غوبتا ورافيشانكار إن سي، السلسلة خطوة خطوة. يتصل الاختصار بخادم على docsportal[.]in ويستخدم mshta.exe، وهو برنامج يأتي مع ويندوز ويشغّل نوعا من ملفات السكربت اسمه HTA. وكلاهما جزء من نظام التشغيل، فلا حاجة إلى تنزيل شيء لاستخدامهما.

تضم السكربتات ملفا دفعيا اسمه appT.bat ومرحلة ثانية اسمها startT.hta. وهي تفك تشفير حمولتها على مراحل وتحمّل ملف مكتبة، ioluegnt.dll، مباشرة في ذاكرة الحاسوب. وتثبّت الخطوة الأخيرة برنامج ReverseRAT.

الشيفرة مبنية على طبقات لتقاوم الفحص. وجدت Trellix أن ملفات HTA مشوّشة بعدة جولات من الخلط يجب فكها بالترتيب، وأن الحمولات مشفرة بنظام Base64 (طريقة لكتابة البيانات الثنائية في صورة نص عادي)، وأن المكتبة الأخيرة تُحمّل عبر ميزة في إطار .NET تسمى إلغاء التسلسل. كما يحمل البرنامج الخبيث مفتاح تشفير مضمنا في شيفرته. ولن نعرضه هنا لأنه لا يضيف شيئا للقارئ.

RAT في اختصار أهل المهنة هو حصان طروادة للوصول عن بعد. يجمع ReverseRAT تفاصيل النظام وقائمة البرامج المثبتة، ويلتقط صور الشاشة، ويسرق كلمات المرور ومحتويات الحافظة، وينفذ الملفات والأوامر، ويفتح واجهة أوامر للمشغّل، ويهيئ نفسه للبقاء بعد إعادة التشغيل عبر سجل ويندوز. وهو يتصل بـdns.educationportals[.]biz، الذي يشير إلى 45.61.157[.]22، ويرسل البيانات المسروقة عبر المنفذ 5863. وقد عطّلنا هذه العناوين بالأقواس حتى لا ينقر عليها أحد بالخطأ.

لخصت Trellix التحول في جملة نقلتها The Hacker News: «ورغم أن تركيزها التاريخي كان على الجهات الحكومية الهندية، فإن تحولها الأخير نحو المؤسسات الأكاديمية يبرز مجموعة آخذة في الاتساع من الأولويات الاستراتيجية.»

نسخ واجب منافس

أطلقت Cisco Talos على SideCopy اسمها. ففي تقرير نُشر في 7 يوليو 2021 كتب الباحثان أشير مالهوترا وجستن ثاتيل: «SideCopy مجموعة تهديد متقدم مستمر تحاكي سلاسل الإصابة التي تستخدمها مجموعة Sidewinder لتسليم مجموعتها الخاصة من البرمجيات الخبيثة.» وAPT اختصار لعبارة التهديد المتقدم المستمر، وهو وصف الصناعة لمجموعة جيدة التمويل تعود مرة بعد أخرى. أما SideWinder فهي مجموعة قرصنة أخرى، ومن نسخ SideCopy لأساليبها جاء الاسم.

عدّدت Talos مجموعة أدوات كانت كبيرة أصلا عام 2021: CetaRAT وAllakore وnjRAT، إضافة إلى أربعة برامج مصممة خصيصا سمّتها DetaRAT وReverseRAT وMargulasRAT وActionRAT. وكانت الطُّعوم مصنوعة ليتعرف عليها قراؤها. وصفت Talos «طُعوم تتنكر في هيئة وثائق عملياتية تخص الجيش ومراكز الأبحاث» و«إصابات قائمة على فخ الإغراء»، وتعني العبارة الثانية طُعما يلعب على اهتمامات الهدف الشخصية. وكلا النوعين من الطُّعوم وُجّه إلى العاملين في الحكومة الهندية.

يقول تقرير The Hacker News عن حملة سبتمبر 2026 إن SideCopy تُعرف أيضا باسم TAG-140 وتتداخل مع Transparent Tribe، المعروفة أيضا باسم APT36، وهي مجموعة تصفها Check Point بأنها «جهة تهديد مقرها باكستان، اشتهرت بالاستهداف المتواصل للمؤسسات الحكومية الهندية والعاملين الدبلوماسيين والمنشآت العسكرية.» والمجموعتان متداخلتان، ولهذا تكتب شركات الأمن عنهما معا.

برنامج خبيث يفحص الساعة أولا

في تقريرها المؤرخ 4 نوفمبر 2024 تتبعت Check Point Research برنامجا اسمه ElizaRAT، قالت إنه كُشف عنه علنا لأول مرة في سبتمبر 2023. ووصفته Check Point بأنه أداة لـTransparent Tribe، وأفادت بوجود «عدة حملات يُرجّح أنها ناجحة» ضد أهداف هندية رفيعة في عام 2024.

كل عينة حللتها Check Point تفعل شيئا واحدا قبل أن تعمل: تتحقق من أن المنطقة الزمنية للحاسوب مضبوطة على «توقيت الهند القياسي». أما الجهاز المضبوط على أي منطقة أخرى فيُترك وشأنه، فالباحث الذي يجرب الملف على حاسوب مضبوط على توقيت لندن يرى أن الملف لا يفعل شيئا. وهذا الاختبار وحده يحصر دائرة الضحايا في الحواسيب المهيأة للهند.

وغيّر المشغّلون أيضا طريقة تواصل البرنامج معهم. وصفت Check Point «الاستغلال المنهجي للخدمات السحابية» لحركة التحكم: تلغرام في النسخ الأولى، ثم سلاك، ثم التخزين السحابي من غوغل. أما نسخة سمتها Check Point باسم Circle، جُمّعت في يناير 2024، فقد تخلت عن الخدمات السحابية لصالح خوادم مستأجرة، وجاءت مع أداة إسقاط تخفض معدل اكتشافها.

وثمة شيء في الشيفرة يربط النسخ ببعضها. فالاسم «Apolo Jones» يظهر في عينات Check Point كلها، في البيانات الوصفية لملفات PDF وفي أسماء الدوال وفي كلمات سر ملفات zip مثل «ApoloJones2024». واستخدمته Check Point لربط جميع النسخ بـTransparent Tribe.

وقدم التقرير نفسه برنامج ApoloStealer، وهو برنامج مرافق يبحث عن مستندات أوفيس وملفات PDF والصور والأرشيفات ويسجل ما يجده في قاعدة بيانات صغيرة قبل إرسال الملفات إلى الخارج.

استهداف نظام التشغيل الهندي نفسه

في 25 أغسطس 2025 أوردت The Hacker News، نقلا عن بحث لشركة CYFIRMA، أن Transparent Tribe بدأت تستهدف حواسيب لينكس. كان الطُّعم ملفا اسمه Meeting_Ltr_ID1543ops.pdf.desktop. وملف .desktop هو مشغّل في لينكس، وهذا الملف ارتدى اسم PDF. وحين يُفتح على الجهاز المستهدف كان يجلب حمولات مرمزة بالنظام السداسي عشري من خادم، ويضبط مهمة مجدولة ليبقى مثبتا، ويتصل بـmodgovindia[.]space:4000.

كانت المكاتب الحكومية الهندية التي تستخدم BOSS Linux، وهي توزيعة تعتمدها، هي الضحايا المقصودين. وشملت الحمولات الباب الخلفي Poseidon وMeshAgent، وهو أداة إدارة عن بعد. وسلّمها برنامج يسمى Sindoor Dropper، وهو ملف ثنائي مضغوط مكتوب بلغة Go، مع عرض ملف PDF تمويهي. وجاء التقرير بعد نحو ثلاثة أشهر من عملية سيندور، وتحمل أداة الإسقاط اسم العملية. وينقل التقرير عن CYFIRMA غاية هذا الأسلوب: قدرة المجموعة على «تكييف آليات التسليم وفق بيئة تشغيل الضحية» ترفع فرص نجاحها.

وكانت كافاتش، أداة المصادقة الثنائية التي تستخدمها الوكالات الحكومية، هدفا من قبل. وذكّرت التغطية نفسها بحملة أقدم بُنيت حولها، وتؤرخ The Hacker News هذا الأسلوب بأوائل عام 2022، حين استهدفت المجموعتان بيانات تسجيل دخول موظفي الحكومة عبر تنزيلات كافاتش المزيفة.

نادٍ للطيران وموقع ThePrint مزيف

في 2 يناير 2026 أوردت The Hacker News حملة أخرى لـTransparent Tribe ضد جهات هندية حكومية وأكاديمية واستراتيجية. كان الطُّعم اختصارا اسمه NCERT-Whatsapp-Advisory.pdf.lnk، يتنكر في هيئة إشعار حكومي، وفي اسمه NCERT، أي المجلس الوطني للبحوث والتدريب التربوي. وفتحه كان يشغّل أمرا خفيا يجلب مثبّتا من aeroclubofindia.co[.]in، وهو الموقع الحقيقي لنادي الطيران الهندي، الذي كان المهاجمون قد اخترقوه.

وبعد التثبيت، ضبط البرنامج الخبيث نفسه ليبدأ من جديد عبر تغييرات في السجل ومهام مجدولة وملفات اختصار في مجلد بدء التشغيل في ويندوز. أما خادم التحكم، dns.wmiprovider[.]com، فقد سُجّل في منتصف أبريل 2025. وكُتبت نقاط الوصول الإلكترونية فيه بالمقلوب لتتجاوز الماسحات التي تبحث عن كلمات مثل register وheartbeat: /retsiger و/taebtraeh و/dnammoc_teg.

وكان أول عنوان يتصل به حاسوب الضحية نطاقا لمؤسسة هندية حقيقية. أما حملة سبتمبر 2026 فاستعارت بدلا من ذلك أسماء غرف الأخبار.

أوامر في أيام الأسبوع فقط

سمّى فريق ThreatLabz في Zscaler حملة سبتمبر Operation RapidRust، ونشرت The Hacker News التقرير في 18 سبتمبر 2026. وكانت قائمة الأهداف هيئات حكومية ودفاعية في الهند وأفغانستان. وعدّت Zscaler أربع أدوات لم تُوثق من قبل: RUSTYSHADE، وهو باب خلفي مكتوب بلغة Rust، وRUSTYMOVE، الذي ينتشر عبر محركات USB، وأداتان لسرقة الملفات، PSNATCH لويندوز وBASHNATCH للينكس، تستوليان على المستندات والصور والأرشيفات التي عُدّلت خلال الأشهر الثلاثة الأخيرة.

يستطيع RUSTYSHADE التقاط صور الشاشة وتصوير الكاميرا والعمل مع الملفات على الجهاز. ويتلقى أوامره عبر مستودعات خاصة على GitHub، موقع مشاركة الشيفرة الذي يستخدمه المبرمجون كل يوم. كما سجل المشغّلون نطاقات مقلدة لمنفذين إخباريين هنديين، هما theprints[.]org وindiatodays[.]org، واستخدموها لاستضافة سكربتات PowerShell.

ظهر تقرير Zscaler قبل تقرير Trellix بأربعة أيام. ووصف كذلك جدول عمل. فقد وقعت حصة كبيرة من النشاط بين 20 أغسطس و1 سبتمبر 2026، مع إصدار أوامر «فقط بين الرابعة صباحا والحادية عشرة صباحا بالتوقيت العالمي المنسق وفي أيام الأسبوع فقط». وهذه النافذة في الهند تمتد من 9:30 صباحا إلى 4:30 مساء.

باهالغام وسيندور وتقويم الطُّعوم

في 22 أبريل 2025 قتل مسلحون 26 شخصا في باهالغام، وفي 7 مايو شنت الهند عملية سيندور على أهداف في باكستان. وتبعتها الطُّعوم. فقد وجدت شركة الأمن الهندية Seqrite، في تقرير مؤرخ 23 مايو 2025، أن APT36 وSideCopy ترسلان ملفات بموضوع باهالغام وتسجلان نطاقات مثل pahalgamattack[.]com وoperationsindoor2025[.]in وsindoor[.]live.

قالت Seqrite إن النطاقات المنتحلة بُنيت لتقليد هيئات حكومية ودفاعية هندية. وقالت إن APT36 انتقلت من محمّلات Poseidon الأقدم إلى Ares RAT، وهي أداة معيارية تسجل ضغطات المفاتيح وتلتقط الشاشات وتتعامل مع الملفات وتسرق بيانات الاعتماد وتنفذ أوامر عن بعد، وإنها استخدمت أيضا Crimson RAT، وهو برنامج وصول عن بعد ثان كان يتصل بخادم على 167.86.97[.]58 عبر المنفذ 17854. وعدّدت الشركة الدفاع وتقنية المعلومات الحكومية والرعاية الصحية والاتصالات والتعليم بين القطاعات التي واجهت محاولات اختراق.

وأفادت شركة الأمن CloudSEK بالنمط نفسه. فبعد باهالغام، بحسب قولها، أرسلت APT36 رسائل تصيّد متنكرة في هيئة مستندات حكومية إلى شبكات حكومية ودفاعية هندية، تحمل Crimson RAT. وفي التقريرين كليهما الطُّعم حدث إخباري يعقبه ملف سُمّي باسمه.

وإذا رُتبت أسماء الملفات في هذا المقال بالتسلسل بدت كأنها تقويم. فقد وجدت Talos طُعوما مبنية من مستندات عسكرية ومراكز أبحاث في يوليو 2021، وكان طُعم مطلع عام 2022 تنزيلا مزيفا لكافاتش. وجاء أبريل ومايو 2025 بمرفقات باهالغام وسيندور، وأغسطس باختصار لينكس اسمه Meeting_Ltr_ID1543ops.pdf.desktop. وتلاه إشعار NCERT في يناير 2026، ثم نسخة مقلدة من موقع إخباري في سبتمبر، ثم الملف المسمى commskll.docx.lnk الذي وصفته Trellix في 22 سبتمبر.

15 لاكه هجوم و150 نجاحا

أصدرت Maharashtra Cyber، وكالة الأمن السيبراني في ولاية ماهاراشترا، تقريرا بعنوان «طريق سيندور». وكان رقمه الرئيسي، كما نقلته Tribune في 12 مايو 2025، نحو 15 لاكه (1.5 مليون) هجوم إلكتروني على مواقع هندية، نجح منها 150. وهناك رقمان يجب إبقاؤهما منفصلين هنا. فالـ15 لاكه يعد المحاولات وعمليات المسح التي وصلت إلى الأنظمة الهندية. أما الـ150 فهو عدد ما نجح في الدخول.

سُميت في التقرير سبع مجموعات: APT36 وPakistan Cyber Force وTeam Insane PK وMysterious Bangladesh وIndo Hacks Sec وCyber Group HOAX 1337 وNational Cyber Crew. وأورد حملات برمجيات خبيثة وهجمات حجب الخدمة الموزعة (التي تُسقط موقعا بإغراقه بالزيارات)، وانتحال مواقع GPS وتشويه المواقع. وقال مسؤولون إنه رغم توقف الأعمال العدائية بين الهند وباكستان فإن الهجمات استمرت في الورود من باكستان وبنغلاديش وإندونيسيا والمغرب ودول في الشرق الأوسط.

وكانت النجاحات المؤكدة التي أوردتها Tribune صغيرة. فقد شُوّه موقع مجلس بلدية كولغاون بادلابور، وكذلك موقع كلية التمريض الدفاعية في جالاندهار. وظهرت على القائمة نفسها مزاعم عن سرقة بيانات من مطار ومن شركات اتصالات، ووسمتها Tribune بأنها مزعومة.

ونفى ياشاسفي ياداف، المدير العام الإضافي للشرطة في Maharashtra Cyber، مزاعم متداولة على الإنترنت بأن قراصنة اخترقوا مطار مومباي أو موقع لجنة الانتخابات. وقال التقرير أيضا إن المسؤولين رصدوا وأزالوا أكثر من 5,000 مادة مضللة، منها قصص مختلقة عن هجمات على شبكة الكهرباء وعلى منشأة صواريخ BrahMos. ومن 80 حالة تم الإبلاغ عنها، أُزيلت 35.

الضجيج، وما أخفاه

أحصت Seqrite «أكثر من 35 مجموعة هاكتفيست متورطة، منها 7 ظهرت حديثا» و«أكثر من 650 حدثا مؤكدا من حجب الخدمة والتشويه» بين 7 و10 مايو 2025. والهاكتفيست قرصان يعمل لقضية سياسية، دون أن يكون على رواتب أي حكومة. ورقم 650 لدى Seqrite ورقم 15 لاكه لدى Maharashtra Cyber يقيسان أمرين مختلفين، أحدهما عدّ لأحداث حجب خدمة وتشويه مؤكدة على مدى أربعة أيام، والآخر مجموع للهجمات المحاولة، ولا ينبغي جمع الرقمين.

راجعت CloudSEK الادعاءات. فقد زعمت مجموعات هاكتفيست، منها Nation Of Saviors وKAL EGY 319، أنها نفذت اختراقات كبرى، منها 247 غيغابايت من البيانات أُخذت من المركز الوطني للمعلوماتية. وبلغ الدليل الذي نشرته 1.5 غيغابايت من ملفات الوسائط المتاحة للعموم. أما بيانات قيل إنها من المحكمة العليا في أندرا براديش فكانت في معظمها بيانات وصفية عامة للقضايا. ولخصت Infosecurity Magazine نتائج CloudSEK في 12 مايو 2025: «كانت المواقع المشوهة تُستعاد غالبا خلال دقائق، وتبين أن البيانات المسربة عامة أو معاد تدويرها، وأن هجمات حجب الخدمة الموزعة (DDoS) تسببت في توقف ضئيل جدا عن العمل.»

وألحق بعض الهاكتفيست ضررا حقيقيا. فقد عرّفت Group-IB عام 2023 بمجموعة Mysterious Team Bangladesh، التي ترد في قائمة ماهاراشترا باسم Mysterious Bangladesh، بوصفها مجموعة هاكتفيست تحركها دوافع دينية وسياسية، وأهدافها الرئيسية مؤسسات في الهند وإسرائيل. ونسبت Group-IB إليها أكثر من 750 حملة حجب خدمة و78 عملية تشويه منذ يونيو 2022، واختراقا في ديسمبر 2022 في المجلس المركزي للتعليم العالي في الهند كشف معلومات شخصية.

وفصلت CloudSEK بين نوعي النشاط. ويعامل تقريرها رسائل التصيّد التابعة لـAPT36 بوصفها التهديد الاستخباراتي. ووصفت Infosecurity Magazine ما تفعله Crimson RAT بجهاز الضحية: «بعد أن يجمع البرنامج الخبيث بيانات حساسة، مثل لقطات الشاشة أو الملفات أو معلومات النظام، يرسلها مرة أخرى إلى خادم C2 ليحللها المهاجمون تحليلا أعمق.» وC2 تعني القيادة والتحكم، أي خادم المهاجمين.

من ينسب الهجمات إلى باكستان

كتب سامير باتيل، الذي يدير مركز الأمن والاستراتيجية والتكنولوجيا في مؤسسة أبحاث المراقب، في مايو 2026 أن تقرير ماهاراشترا كان من الحالات النادرة التي سمّت فيها وكالة حكومية هندية دولة بوصفها الفاعل. وأضاف أن الهجمات مُررت عبر دول ثالثة مثل بنغلاديش والمغرب وإندونيسيا لإخفاء مصدرها. أما حملات التجسس الموصوفة أعلاه فإن النسب التي وجدناها تأتي من شركات أمن، منها Trellix وCheck Point وZscaler وCYFIRMA وTalos وشركة Seqrite الهندية، التي تصف المجموعات بأنها مقرها باكستان أو متحالفة مع باكستان أو ذات أصل باكستاني. فـCheck Point تصف APT36 بأنها مقرها باكستان، وZscaler تصفها بأنها جهة فاعلة مرتبطة بباكستان، وCYFIRMA ترجّح أن Transparent Tribe ذات أصل باكستاني. وهذه خلاصات شركات خاصة، كل منها من بياناتها، ولا يحمل أي منها وزن بيان حكومي.

والتجسس يجري في أكثر من اتجاه. ففي تقرير غطته The Record في 5 يونيو 2025، قدّرت شركة Proofpoint أنه «مرجح بدرجة عالية» أن مجموعة تسميها TA397، المعروفة أيضا باسم Bitter، تتجسس لصالح حكومة الهند. وقالت Proofpoint إن Bitter استهدفت هيئات دبلوماسية وحكومية مرتبطة بالصين وباكستان، بين جيران آخرين، بين أكتوبر 2024 وأبريل 2025.

أما خلاصة باتيل نفسه، في مقاله لمؤسسة ORF في 7 مايو 2026، بعد عام على سيندور، فهي أن «يمكن لدفاعات الهند السيبرانية أن تصمد، لكن الردع يتطلب أكثر من ذلك.» وتمضي الجملة الكاملة لتسمي ما يراه ناقصا: «موقفا استباقيا، ونسبة موثوقة للهجمات، واستراتيجية وطنية طال انتظارها.» ونسب إلى فريق الاستجابة لطوارئ الحاسوب في الهند (CERT-In) نشرات إرشادية أثناء العملية ساعدت في منع تعطل واسع النطاق، وأورد الرقم نفسه، 150 نجاحا من بين 1.5 مليون هجوم، الذي ذكرته Maharashtra Cyber.

واستراتيجية الهند الوطنية للأمن السيبراني، التي يشير باتيل إلى أنها قيد الإعداد منذ عام 2020، كانت لا تزال غير صادرة حين ظهر مقاله في 7 مايو 2026.