تتطرق نايلة الصليبي في"النشرة الرقمية" إلى اختراقات سيبرانية عابرة للحدود تهدد خوادم الحكومات وأيضا المستخدمين العاديين.
هجمات سيبرانية صينية تستهدف خوادم حكومية باستغلال ثغرات PHP2Shell والذكاء الاصطناعي
كشفت شركة Dream المتخصصة في الأمن السيبراني عن هجمات إلكترونية نفذها قراصنة صينيون، استهدفت خوادم حكومية عبر استغلال ثغرتين أمنيتين حرجتين في شيفرة PHP ونواة لينوكس. تأتي هذه الهجمات عقب الكشف عن ثغرتين خطيرتين في شيفرة PHP، إحدى أكثر لغات البرمجة انتشارًا على الإنترنت، ما جعل مئات الملايين من المواقع عرضة للهجمات الإلكترونية.
استغلال ثغرات PHP وتطوير أداة PHP2Shell
فور الإعلان وسط أكتوبر ٢٠٢٦عن الثغرتين، بدأت مجموعات قرصنة مسح شبكة الإنترنت بحثًا عن خوادم معرّضة للاختراق، من بينها مجموعة Lazarus المرتبطة بكوريا الشمالية. وبعد أيام، رصد باحثو Dream نشاطًا لقراصنة صينيين طوّروا نسختهم الخاصة من PHP2Shell، عبر ربط ثغرة في PHP بثغرة أخرى في نواة لينوكس، بهدف توسيع نطاق الاختراق والتحكم بالأجهزة المستهدفة.
رصد ١٩ ألف جدار حماية واستهداف ٢٤٠جهة
استعان القراصنة بمحرك البحث الصيني FOFA، الذي يرسم خريطة للأجهزة المتصلة بالإنترنت، لرصد نحو ١٩ ألف جدار حماية firewall مكشوف. ثم ركّزوا عملياتهم على ٢٤٠ هدفًا في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية، وتمكنوا باستخدام الأسلوب نفسه من اختراق 24 خادمًا إضافيًا.وشملت الهجمات التسلل إلى الشبكة الداخلية لإحدى المؤسسات الحكومية الأمريكية وسرقة بيانات اعتماد، ما يشير إلى تركيز المهاجمين على أهداف حكومية محددة.ما يعني أن العمليات استندت إلى تحضير مسبق وتحديد واضح للأهداف.
توظيف الذكاء الاصطناعي في الهجمات
لعب الذكاء الاصطناعي دورًا واسعًا في تنفيذ الهجمات، إذ اكتشف خبراء Dreamوجود أداة "Claude Code" ضمن البنية التحتية للمهاجمين، إلى جانب منصة اختراق مهيأة للعمل مع نموذجَي الذكاء الاصطناعي الصينيين "DeepSeek" و"Kimi".كما رصد الباحثون مؤشرات تربط النشاط بالصين، من بينها ضبط الطابع الزمني وفق التوقيت الصيني، وكتابة التعليمات باللغة الصينية.
لم يكن الهجوم مفاجئًا لخبراء الأمن، إذ توقع معظم الباحثين أن يسارع قراصنة الإنترنت إلى استغلال ثغرات PHP. وقد أُطلق على هذه الموجة من الهجمات، التي يغذّيها الذكاء الاصطناعي اسم" Black October" ويوصي باحثو Dream المؤسسات بـنشر التصحيحات اللازمة بسرعة. للحد من مخاطر استغلال الثغرات وحماية أنظمتها من الاختراق.
قراصنة روس يستغلون توقيعات الذكاء الاصطناعي لنشر برمجيات خبيثة عبر GitHub
كشف باحثون في الأمن السيبراني من شركة Check Point Research عن حملة قرصنة تُعرف ببرمجية Yoba، تعتمد على نشر مشاريع مزيفة لتطبيقات سطح المكتب الخاصة بأحدث نماذج الذكاء الاصطناعي من "أوبن إي آي" و"أنثروبيك" عبر منصة GitHub، لاستهداف أجهزة الكمبيوتر العاملة بنظام التشغيل "ويندوز" ببرمجيات خبيثة تستغل مواردها في تعدين العملات المشفرة.ووفقاً لتقرير شركة Check Point ، التي تتابع نشاط الحملة منذ شهرين، ظهرت بعض هذه المشاريع ضمن النتائج الأولى لمحرك بحث غوغل، في ما يُرجح أنه نتيجة استخدام تقنيات التلاعب بترتيب نتائج البحث، المعروفة باسم SEO Poisoning.تعتمد الحملة على أسلوب خداع يقوم على وضع ملفات خبيثة بجوار برامج تثبيت أصلية تحمل توقيعات رقمية معتمدة من "أوبن إي آي" و"أنثروبيك"، ما يمنح الملفات مظهراً موثوقاً ويساعد على تجاوز بعض آليات الحماية.
مستودعات GitHub مزيفة لاستدراج مستخدمي الذكاء الاصطناعي
استهدف القراصنة المستخدمين الباحثين عن تطبيقات سطح المكتب المرتبطة بنماذج الذكاء الاصطناعي.فعند البحث عن GPT-5.6 Sol، يصل المستخدمون إلى مستودع مزيف على GitHub يحمل اسم `gpt-5-6/sol-free-desktop`، قبل توجيههم إلى موقع `gpt-5-6.github.io` الذي يوفر رابطاً لتنزيل ملف مضغوط بصيغة ZIP. لم يعتمد القراصنة على أساليب تضخيم شعبية المستودعات، مثل إضافة نجوم تقييم مزيفة أو إنشاء نسخ وهمية منها، بل استفادوا من ظهور هذه المشاريع في نتائج البحث لجذب المستخدمين.
استغلال القراصنة لملفات DLL وبرامج التثبيت الموقعة رقمياً
تعتمد آلية الإصابة على تقنية تُعرف باسم DLL Sideloading، التي تستغل طريقة تحميل نظام التشغيل ويندوز لمكتبات الارتباط الديناميكي DLL عند تشغيل البرامج.إذ يبحث نظام التشغيل ويندوز في بعض الحالات عن المكتبات المطلوبة داخل المجلد الذي يحتوي على البرنامج، ما يتيح للمهاجمين وضع مكتبة خبيثة تحمل اسم مكتبة أصلية لتُحمّل بدلاً منها.وفي حملة Yoba، وضع القراصنة ملفاً مزيفاً باسم "winmm.dll" بجوار برنامج تثبيت أصلي يحمل اسم "Setup.exe"، وموقّع رقمياً من جهة موثوقة. وعند تشغيل برنامج التثبيت، تُحمّل المكتبة الخبيثة بدلاً من مكتبة الوسائط المتعددة التابعة لنظام «ويندوز"، ما يسمح بتنفيذ تعليمات المهاجمين من خلال برنامج شرعي.تستفيد هذه الطريقة من الثقة التي تمنحها أنظمة التشغيل والعديد من برامج مكافحة الفيروسات للتوقيعات الرقمية الصادرة عن شركات معروفة.كما أشار باحثو Check Point إلى أن هذه التقنية تعيد استخدام أساليب ظهرت سابقاً في برمجيات خبيثة، من بينها BazarLoader.
إجراءات لتجنب الكشف واستثناء أجهزة بترتيبات لوحة مفاتيح محددة
تتضمن الحملة آليات لتقليل احتمالات اكتشافها بواسطة أدوات التحليل الأمني. فقد أضاف المهاجمون فترات انتظار طويلة داخل البرمجيات الخبيثة بهدف تجاوز أنظمة التحليل الآلي، كما صمموا آلية تستثني الأجهزة التي تستخدم تخطيط لوحة مفاتيح روسياً أو تخطيطاً تابعاً لدول مرتبطة بدول رابطة الدول المستقلة، التي تضم عددا من الجمهوريات السابقة التابعة للاتحاد السوفيتي باستثناء أوكرانيا، ما يعزز مؤشرات الارتباط بجهات روسية.
مهام ويندوز المجدولة تضمن استمرار البرمجيات الخبيثة
بعد إصابة الجهاز، يسعى القراصنة إلى الحفاظ على إمكانية التحكم فيه من خلال إنشاء مهمة مجدولة داخل "ويندوز"، مخفية في صورة مهمة تابعة لشركة مايكروسوفت وتعمل بأعلى مستوى من الصلاحيات.ولا تعتمد الحملة على خادم تحكم مخصص لإرسال التعليمات، بل تخفي أوامرها داخل صورة منشورة على قناة منصة "تيليغرام" Telegram، إلى جانب استخدام عناوين ويب تُنشأ تلقائياً ويجري الوصول إليها عبر خدمة DNS المشفرة التابعة لشركة غوغل. تتيح هذه الآليات للقراصنة بالحفاظ على الاتصال بالأجهزة الملوثة وإرسال تعليمات جديدة إليها.
معالجات الأجهزة لتعدين العملات المشفرة
يقوم القراصنة بتشغيل برنامج تعدين العملات المشفرة XMRig على أجهزة الضحايا، مع ربط نشاطه بشبكة Tor.ويستغل البرنامج قدرة المعالج لتنفيذ عمليات التعدين دون علم المستخدم، ما يؤدي إلى استهلاك موارد الجهاز المخترق.وبحسب شركة الأمن السيبراني ESET، يمكن ملاحظة نشاط التعدين الخفي، المعروف باسم Cryptojacking، من خلال مجموعة من المؤشرات، أبرزها التباطؤ الملحوظ في أداء جهاز الكمبيوتر، وارتفاع درجة حرارته، وزيادة ضجيج مروحة التبريد.وفي أجهزة الكمبيوتر المحمولة، قد يتسبب ارتفاع الحرارة الناتج عن هذا النشاط في انتفاخ البطارية وإتلافها ما يؤدي إلحاق أضرار بالجهاز.
مخاطر تتجاوز التعدين إلى سرقة كلمات المرور
لا تقتصر خطورة حملة Yoba على تعدين العملات المشفرة، إذ تتيح آليات التحكم المستخدمة للمهاجمين استبدال برنامج التعدين في أي وقت ببرامج أخرى أو نصوص برمجية تعمل عبر PowerShell. . وقد يشمل ذلك تثبيت برمجيات مخصصة لسرقة كلمات المرور وغيرها من البيانات الحساسة.
حماية أجهزة ويندوز من تطبيقات الذكاء الاصطناعي المزيفة
يوصي خبراء أمن Check Point بتوخي الحذر عند تنزيل تطبيقات الذكاء الاصطناعي من مستودعات غير موثقة، خصوصاً تلك التي تعرض نفسها بوصفها مساعدين يعملون على أجهزة سطح المكتب.أيضا تحميل تطبيقات "شات جي بي تي "و "كلود" مباشرة من المواقع الرسمية لشركتي "أوبن إي آي" و"أنثروبيك"، بدلاً من الاعتماد على نتائج البحث التي تقود إلى مستودعات GitHub غير موثوقة.يمكن للمستخدمين أيضاً مراقبة استهلاك موارد أجهزتهم، خصوصاً عند ملاحظة ارتفاع صوت المروحة دون تشغيل برامج تتطلب قدرة معالجة مرتفعة، يوصي خبراء أمن Check Point بمرقبة استهلاك المعالج cpu عبر "إدارة المهام" "Task Manager.
أما المستخدمون الذين سبق لهم تثبيت تطبيقات مماثلة من GitHub خلال الأشهر الماضية، فيُنصحون بإجراء فحص شامل لأجهزتهم باستخدام برنامج مكافحة الفيروسات، للكشف عن أي برمجيات خبيثة محتملة.
يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل
للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@ وعلى ماستودون وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي
الرسالة الإخباريةأبرز الأحداث الدولية صباح كل يوم
اشترك