نظرة عامة
Sarcoma مجموعة برمجيات فدية ظهرت في أكتوبر 2024، وتصدّرت فورًا المجموعات الثلاث الأكثر نشاطًا عالميًا، وتجاوزت 116 ضحية موثّقة بحلول منتصف 2025، وتستهدف شركات السوق المتوسط في التصنيع والتجزئة والصحة والقانون والخدمات التجارية، ونحو 50% من ضحاياها في الولايات المتحدة.
ما أوردته التقارير المنشورة
- ظهرت المجموعة في أكتوبر 2024، وأعلنت عن 36 ضحية خلال شهرها الأول. وتتجنب حمولتها البرمجية أنظمة دول رابطة الدول المستقلة، ما قد يشير إلى أن مشغّليها ناطقون بالروسية أو يتمركزون في المنطقة. ويرى بعض الباحثين أوجه تشابه في التصميم مع Maze وEgregor. ولم تثبت صلة بينها وبين أي دولة.
النطاق الجغرافي: المنشأ والأهداف
لا تتوفر نسبة علنية مؤكدة للمنشأ. ولا تُرسم خطوط على الخريطة إلا عندما تشير التقارير المنشورة إلى مواقع وجود المشغّلين. أما الأعلام فتشير إلى الدول التي أعلنت المجموعة استهداف ضحايا فيها، ويعكس حجم كل علم عدد الادعاءات المسجلة.
الولايات المتحدة32
إيطاليا15
كندا13
ألمانيا12
أستراليا8
البرازيل7
المملكة المتحدة6
إسبانيا4
سويسرا3
جنوب أفريقيا3
الثغرات التي ثبت استغلالها
لم تُسجَّل أي معلومات في المصادر التي راجعناها.
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
| الوصول الأولي | الاستمرارية | تفادي الاكتشاف | الوصول إلى بيانات الاعتماد | الاستكشاف | الحركة الجانبية | جمع البيانات | استخراج البيانات | القيادة والتحكم | التأثير |
|---|---|---|---|---|---|---|---|---|---|
| Valid Accounts | Scheduled Task/Job | Obfuscated Files or Information | OS Credential Dumping | Remote System Discovery | Remote Services | Archive Collected Data | Exfiltration Over Web Service | Remote Access Tools | Data Encrypted for Impact |
| Exploit Public-Facing Application | Scheduled Task/Job: Cron | Modify Registry | File and Directory Discovery | Service Stop | |||||
| Trusted Relationship | Impair Defenses | System Location Discovery | Inhibit System Recovery | ||||||
| Phishing | Impair Defenses: Disable or Modify Tools | System Location Discovery: System Language Discovery | |||||||
| Phishing: Spearphishing Attachment |
تفاصيل التقنيات
الأدوات
- Advanced IP Scanner
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| Sarcoma Group | DLS | sarcomawmawlhov7o5mdhz4eszxxlkyaoiyiy2b5iwxnds2dmb4jakad[.]onion | نعم |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11