ربطت Cisco Talos البرمجيات الخبيثة التي تسرق المفاتيح من أنظمة Cisco SD-WAN ببنية تحتية متداخلة مع شبكة "Silent Train" التابعة لـ Volt Typhoon، وهي شبكة سبق أن وثّقتها Lumen. هذا الاكتشاف يربط خيط نشاط ثغرة يوم صفر في Cisco SD-WAN بـ Volt Typhoon بنمط أوسع: فاعلون مرتبطون بالدول يستهدفون الموجهات وأجهزة الحافة التي تنقل حركة مرور المؤسسة.

الملخص العام للبحث موجز، لذا يلتزم هذا المقال بما تم الإبلاغ عنه ويشرح لماذا يهم ذلك للأشخاص الذين يديرون البنية التحتية للشبكات.

ما وجدته Talos في هجمات SD-WAN

وفقًا للتقرير، ربطت Cisco Talos البرمجيات الخبيثة التي تسرق المفاتيح والمستخدمة ضد Cisco SD-WAN ببنية تحتية متداخلة مع شبكة Silent Train. تستهدف البرمجيات الخبيثة المفاتيح على أنظمة SD-WAN، وتضمن النشاط استغلال ثغرة يوم صفر، مما يعني أن الثغرة استُخدمت قبل توفر إصلاح.

لا يقدم ملخص المصدر مزيدًا من التفاصيل حول الثغرات المحددة أو الإصدارات المتأثرة أو عدد الضحايا، لذا لن نض speculate في هذه النقاط. يجب على المسؤولين مراجعة نشرات Cisco الخاصة بهم للحصول على القائمة الموثوقة للمنتجات المتأثرة والإصدارات المُصلحة.

كيف تربط Silent Train النشاط بـ Volt Typhoon

الإسناد هنا يتعلق بتداخل البنية التحتية، وليس إعلانًا بأن مجموعة واحدة تقف definitively وراء كل اختراق. وجدت Talos أن الخوادم وموارد الشبكة المرتبطة بالبرمجيات الخبيثة تتداخل مع Silent Train، التي وصفتها Lumen في بحثها الخاص وربطتها بـ Volt Typhoon.

يُعد التداخل في البنية التحتية إشارة مفيدة للمدافعين. فهو يسمح لفرق الأمن بمقارنة المؤشرات عبر التحقيقات، ويشير إلى أن نفس المشغلين، أو مشغلين يتشاركون الموارد، قد يكونون متورطين. هذا ليس نفس الإسناد الكامل، ويجب على القراء التعامل معه مع مراعاة هذا التمييز.

لماذا تُعد أجهزة الحافة والمفاتيح المسروقة أهدافًا ثمينة إلى هذا الحد

تقع وحدات التحكم في SD-WAN وموجهات الحافة عند نقطة اختناق. فهي تربط الفروع ومراكز البيانات وخدمات السحابة، وغالبًا ما تحمل المواد التشفيرية التي تصادق الأجهزة مع بعضها البعض. يمكن أن يمنح سرقة المفاتيح من مثل هذا النظام المهاجم طريقة للاندماج مع حركة المرور الشرعية أو الوصول إلى أجزاء أخرى من الشبكة.

كما أن معدات الحافة أصعب في المراقبة من أجهزة الكمبيوتر المحمولة أو الخوادم. لا تستطيع العديد من المؤسسات تشغيل وكلاء أمن نقاط النهاية على هذه الأجهزة، لذا يمكن أن تمر الاختراقات دون ملاحظة لفترات طويلة. وهذا يجعلها جذابة للفاعلين الصبورين ذوي الموارد الجيدة.

هذا ليس اتجاهًا معزولًا لمنتجات Cisco. فقد تناولت التغطية الأخيرة كيف تعرضت ثغرة يوم صفر في Cisco FMC CVE-2026-20316 لهجوم نشط، وكيف استخدمت ثلاث مجموعات قراصنة عيوب FMC لنشر برامج Qilin الفدية. تستمر إدارة البنية التحتية والشبكات في جذب انتباه أنواع مختلفة جدًا من المهاجمين.

ما يجب على المسؤولين فعله الآن للترقيع وتحصين معدات الحافة

إذا كنت تدير Cisco SD-WAN أو بنية تحتية أخرى للحافة، فهناك بعض الخطوات التي تستحق الأولوية:

  • تطبيق إصلاحات Cisco فورًا. راجع نشرات المورد الخاصة بـ SD-WAN وثبّت الإصدارات المُرقّعة بمجرد توفرها لنشرك.
  • تدقيق واجهات الإدارة المكشوفة. لا ينبغي أن تكون وحدات التحكم وطائرات الإدارة قابلة للوصول من الإنترنت المفتوح. قيّد الوصول إلى الشبكات الموثوقة أو مسار إدارة مخصص.
  • مراجعة وتدوير بيانات الاعتماد والمفاتيح. نظرًا لأن البرمجيات الخبيثة تستهدف المفاتيح، فكر فيما إذا كانت الشهادات والأسرار على الأنظمة المتأثرة تحتاج إلى استبدال بعد الترقيع.
  • فحص السجلات بحثًا عن نشاط غير عادي. ابحث عن عمليات تسجيل دخول غير متوقعة أو تغييرات في التكوين أو اتصالات من عناوين غير مألوفة، وقارنها بأي مؤشرات تنشرها Cisco Talos وLumen.
  • التقسيم والمراقبة. حدد ما يمكن لجهاز حافة مخترق الوصول إليه، وأرسل سجلاته إلى نظام لا يستطيع المهاجمون تعديله بسهولة.

ماذا يعني هذا بالنسبة لك

إذا كنت تدير شركة صغيرة أو شبكة مُدارة، فقد تعتمد على SD-WAN أو معدات الحافة دون التفكير كثيرًا في ذلك. هذا التقرير تذكير بأن هذه الأجهزة ليست "اضبط وانسَ". فهي تستحق نفس انتظام الترقيع الذي تحصل عليه الخوادم، وغالبًا أكثر، لأن المهاجمين يعرفون أنها مراقبة بشكل خفيف.

إذا كنت مستخدمًا فرديًا، فلا يوجد إجراء واحد محدد يجب اتخاذه بناءً على هذا التقرير. ومع ذلك، فإنه يوضح لماذا يهم الحفاظ على تحديث البرنامج الثابت للموجه وجدار الحماية في المنزل أو في مكتب صغير. المؤسسات التي تتعامل مع بياناتك ليست أكثر أمانًا من الأجهزة التي تنقل حركة المرور الخاصة بها.

النقاط الرئيسية

يسلط ارتباط ثغرة يوم صفر في Cisco SD-WAN بـ Volt Typhoon الذي أبلغت عنه Talos الضوء على كيف يعامل الفاعلون المرتبطون بالدول البنية التحتية للحافة كهدف عالي القيمة. إذا كنت تدير أنظمة Cisco أو أنظمة حافة أخرى، فقم بالترقيع فورًا، ودقق في واجهات الإدارة المكشوفة، وبدّل المفاتيح حيث يكون الاختراق ممكنًا. للحصول على نظرة أوسع للنمط، اقرأ تغطيتنا لـ ثغرة Cisco FMC التي استغلتها Sandworm وQilin وثغرة يوم صفر في Secure Email Gateway المستغلة بنشاط. ثم تحقق من معدات الحافة الخاصة بك اليوم.