نظرة عامة
Lynx عملية برمجيات فدية كخدمة ظهرت في منتصف 2024 كإعادة تسمية لبرمجية INC (التي بيعت شيفرتها المصدرية بمبلغ 300 ألف دولار في منتدى RAMP)، وادّعت نحو 300 ضحية في التصنيع والخدمات التجارية والتقنية والنقل، بتقاسم أرباح 80/20 مع الشركاء.
ما أوردته التقارير المنشورة
- ظهرت Lynx في عام 2024، وتتشارك مع INC Ransom نحو 70% من الوظائف و50% من الشيفرة البرمجية. وتشير أوجه التشابه هذه إلى احتمال كونها إعادة تسمية للعملية نفسها أو فرعًا مشتقًا منها.
النطاق الجغرافي: المنشأ والأهداف
لا تتوفر نسبة علنية مؤكدة للمنشأ. ولا تُرسم خطوط على الخريطة إلا عندما تشير التقارير المنشورة إلى مواقع وجود المشغّلين. أما الأعلام فتشير إلى الدول التي أعلنت المجموعة استهداف ضحايا فيها، ويعكس حجم كل علم عدد الادعاءات المسجلة.
الولايات المتحدة219
المملكة المتحدة29
كندا22
ألمانيا17
أستراليا16
فرنسا9
إيطاليا9
سنغافورة8
إسبانيا7
اليابان7
الثغرات التي ثبت استغلالها
لم تُسجَّل أي معلومات في المصادر التي راجعناها.
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
| الوصول الأولي | التنفيذ | تفادي الاكتشاف | الوصول إلى بيانات الاعتماد | الاستكشاف | الحركة الجانبية | استخراج البيانات | القيادة والتحكم | التأثير |
|---|---|---|---|---|---|---|---|---|
| Valid Accounts | Command and Scripting Interpreter: PowerShell | Masquerading | OS Credential Dumping: LSASS Memory | Query Registry | Remote Services: Remote Desktop Protocol | Exfiltration Over Web Service: Exfiltration to Cloud Storage | Application Layer Protocol: Web Protocols | Data Encrypted for Impact |
| Phishing: Spearphishing Attachment | Disable or Modify Tools | System Information Discovery | Inhibit System Recovery |
تفاصيل التقنيات
الوصول الأولي (TA0001)
- T1078 · Valid Accounts: بيانات اعتماد مخترَقة اشتُريت من وسطاء الوصول الأولي تُستخدم للمصادقة عبر RDP وVPN.
- T1566.001 · Phishing: Spearphishing Attachment: تستخدم Lynx رسائل تصيد بمرفقات خبيثة لتسليم المحمّلات الأولية للوصول.
التنفيذ (TA0002)
- T1059.001 · Command and Scripting Interpreter: PowerShell: يُستخدم PowerShell لتنفيذ الحمولة وأنشطة ما بعد الاستغلال.
تفادي الاكتشاف (TA0005)
- T1036 · Masquerading: يُعاد تسمية الملف التنفيذي لبرمجية Lynx ليندمج مع نشاط نظام الملفات الاعتيادي، وتتنكر في هيئة أدوات مشروعة.
- T1562.001 · Disable or Modify Tools: تُعطَّل أدوات الأمان قبل نشر برمجية الفدية.
الوصول إلى بيانات الاعتماد (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: يُستخرج LSASS لجمع بيانات الاعتماد وتسهيل الحركة الجانبية.
الاستكشاف (TA0007)
- T1012 · Query Registry: يُستعلم عن السجل لتحديد برمجيات الأمان المثبّتة وإعدادات النظام قبل التشفير.
- T1082 · System Information Discovery: تستعلم Lynx عن معلومات المعالج وتفاصيل النظام لتقييم بيئة الهدف والتحقق من ظروف العزل أو التحليل.
الحركة الجانبية (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: يُستخدم RDP للحركة الجانبية ببيانات اعتماد مجمّعة.
استخراج البيانات (TA0010)
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: تُسرَّب البيانات للابتزاز المزدوج عبر موقع تسريب Lynx قبل التشفير.
القيادة والتحكم (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: اتصال القيادة والتحكم عبر HTTPS؛ ويُستخدم Tor لبوابات التفاوض مع الضحايا.
التأثير (TA0040)
- T1486 · Data Encrypted for Impact: تستخدم Lynx تشفير AES-128 بوضع CTR للملفات مع RSA-2048 لحماية المفاتيح. وتشير أوجه التشابه في الشيفرة إلى أنها قد تكون إعادة تسمية أو تفرّعًا من INC. ظهرت في منتصف 2024، وتستهدف بشراسة المنشآت الصغيرة والمتوسطة ومنشآت السوق المتوسط في قطاعات متعددة. وتُلحق الامتداد «.lynx».
- T1490 · Inhibit System Recovery: تُحذف النسخ الظلية وتُعطَّل خيارات الاسترداد لمنع الضحية من الاستعادة.
الأدوات
- SoftPerfect NetScan
- Restic
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| Lynx | Chat | lynxchatly4zludmhmi75jrwhycnoqvkxb4prohxmyzf4euf5gjxroad[.]onion | نعم |
| Lynx | DLS | lynxblog[.]net | لا |
| Lynx | DLS | lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd[.]onion | لا |
| Lynx | DLS | lynxblogmx3rbiwg3rpj4nds25hjsnrwkpxt5gaznetfikz4gz2csyad[.]onion | نعم |
| Lynx | DLS | lynxblogijy4jfoblgix2klxmkbgee4leoeuge7qt4fpfkj4zbi2sjyd[.]onion | نعم |
| Lynx | DLS | lynxblogtwatfsrwj3oatpejwxk5bngqcd5f7s26iskagfu7ouaomjad[.]onion | نعم |
| Lynx | DLS | lynxblogxstgzsarfyk2pvhdv45igghb4zmthnzmsipzeoduruz3xwqd[.]onion | نعم |
| Lynx | DLS | lynxblogxutufossaeawlij3j3uikaloll5ko6grzhkwdclrjngrfoid[.]onion | لا |
| Lynx | DLS | lynxblogco7r37jt7p5wrmfxzqze7ghxw6rihzkqc455qluacwotciyd[.]onion | نعم |
| Lynx | DLS | lynxblogoxllth4b46cfwlop5pfj4s7dyv37yuy7qn2ftan6gd72hsad[.]onion | نعم |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11