نظرة عامة
DragonForce عملية برمجيات فدية كخدمة كبرى رُصدت لأول مرة في أغسطس 2023، أطلقت برنامج شركاء رسميًا بحصة إيرادات 80%، ثم أعادت تقديم نفسها في 2025 «كارتل فدية»، واشتهرت بهجمات بارزة على متاجر بريطانية مثل Marks & Spencer وCo-op وHarrods.
- تاريخ أول رصد: 2023-12-13
- ورد ذكرها في تقاريرنا: البحرين · فرنسا · ملخص منطقة الخليج · السعودية · تركيا · الإمارات
ما أوردته التقارير المنشورة
أسماء أخرى: DragonForce Malaysia (hacktivist predecessor, link unconfirmed)
- بدأت المجموعة كتجمّع من الناشطين في الاختراق المؤيدين لفلسطين، ويُقال إن مقرها كان في ماليزيا، قبل أن تنتقل إلى نشاط برمجيات الفدية. لكن الأدلة التي تثبت وجود صلة بين النشاطين محدودة؛ لذلك لا نحدد بلد منشأ لها على الخريطة.
- تدير المجموعة شبكة من الشركاء وفق نموذج تحصل فيه على 80% من الإيرادات. واستندت برامج التشفير لديها في البداية إلى أداة بناء LockBit 3.0 المسرّبة، قبل الانتقال إلى نسخة مخصصة من الشيفرة المصدرية لـConti v3. وفي عام 2025، رُبطت بهجمات استهدفت متاجر تجزئة في المملكة المتحدة، بالتزامن مع نشاط مجموعة Scattered Spider.
Infosecurity Magazine · Acronis
النطاق الجغرافي: المنشأ والأهداف
لا تتوفر نسبة علنية مؤكدة للمنشأ. ولا تُرسم خطوط على الخريطة إلا عندما تشير التقارير المنشورة إلى مواقع وجود المشغّلين. أما الأعلام فتشير إلى الدول التي أعلنت المجموعة استهداف ضحايا فيها، ويعكس حجم كل علم عدد الادعاءات المسجلة.
الولايات المتحدة308
المملكة المتحدة47
ألمانيا32
كندا21
إيطاليا19
أستراليا18
فرنسا13
هونغ كونغ11
البرازيل10
الهند9
الثغرات التي ثبت استغلالها
| الشركة المصنّعة | المنتج | المعرّف | الفئة | المصدر |
|---|---|---|---|---|
| Apache | Log4j | CVE-2021-44228 | تطبيقات | cisa.gov, secureworks.com, blog.talosintelligence.com, trendmicro.com |
| Windows | SmartScreen | CVE-2024-21412 | مايكروسوفت | ransom-isac.com, trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2024-21893 | أجهزة ومكونات الحافة الشبكية | trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2024-21887 | أجهزة ومكونات الحافة الشبكية | cisa.gov, trendmicro.com |
| Pulse Secure / Ivanti | Ivanti Connect Secure | CVE-2023-46805 | أجهزة ومكونات الحافة الشبكية | trendmicro.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-21762 | أجهزة ومكونات الحافة الشبكية | ccb.belgium.be, checkpoint.com |
| Fortinet | FortiOS & FortiProxy | CVE-2024-55591 | أجهزة ومكونات الحافة الشبكية | esentire.com, forescout.com, s-rminform.com, checkpoint.com, ccb.belgium.be, checkpoint.com |
| SonicWall | SonicOS SSL-VPN | CVE-2024-40766 | أجهزة ومكونات الحافة الشبكية | arcticwolf.com, arcticwolf.com, ccb.belgium.be |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57727 | أدوات الإدارة عن بُعد | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57728 | أدوات الإدارة عن بُعد | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| Citrix | NetScaler ADC & Gateway | CVE-2025-5777 | المحاكاة الافتراضية | huntress.com |
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
| التنفيذ | تفادي الاكتشاف | الاستكشاف | التأثير |
|---|---|---|---|
| User Execution | Indicator Removal: File Deletion | File and Directory Discovery | Data Encrypted for Impact |
| Impair Defenses: Disable or Modify Tools |
تفاصيل التقنيات
التنفيذ (TA0002)
- T1204.002 · User Execution: ينفّذ ملفًا خبيثًا على نظام الضحية.
تفادي الاكتشاف (TA0005)
- T1070.004 · Indicator Removal: File Deletion: تحذف برمجية الفدية نفسها بعد التنفيذ.
- T1562.001 · Impair Defenses: Disable or Modify Tools: يعطّل Windows Defender (إن كان يعمل).
الاستكشاف (TA0007)
- T1083 · File and Directory Discovery: تحصر برمجية الفدية المجلدات لتشفير الملفات.
التأثير (TA0040)
- T1486 · Data Encrypted for Impact: تستخدم برمجية الفدية تشفير البيانات لابتزاز الضحية.
الأدوات
- Mimikatz
- Advanced IP Scanner
- PingCastle
- SoftPerfect NetScan
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| DragonForce | Blog | DLS | xjhmtitnrdrgzw4vmsghirdoo2fk35a3tzj4enlmah4pvehdspydsiyd[.]onion | نعم |
| — | DLS | dragongoztkdfmnd7jkchznd3fvkpdmeh4vhbt6p3usrlsoy5dw2bhyd[.]onion | لا |
| DragonForce | Leaks | Files | dragonforxxbp3awc7mzs5dkswrua3znqyx5roefmi4smjrsdi22xwqd[.]onion | لا |
| DragonForce | Migration completed | Chat | 3pktcrcbmssvrnwe5skburdwe2h3v6ibdnn5kbjqihsg6eu6s6b7ryqd[.]onion | نعم |
| DragonForce | Migration completed | DLS | z3wqggtxft7id3ibr7srivv5gjof5fwg76slewnzwwakjuf3nlhukdid[.]onion | نعم |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11