برنامج خبيث جديد يُدعى PEERSTITCH هو تذكير بأن الأجهزة التي تحمي الشبكة يمكن أن تصبح هي نفسها أماكن اختباء للمهاجمين. وفقًا للتقارير حول هذا الاكتشاف، فإن PEERSTITCH هو برنامج مزروع مقيم في الذاكرة من نوع ARM64 تم نشره ضد جدران حماية FortiGate خلال اختراق مطوّل لمزوّد خدمات مُدارة (MSP) في قطاع الاتصالات. تُظهر هذه الحالة لماذا تُعدّ برمجية PEERSTITCH الخبيثة المقيمة في الذاكرة على FortiGate مصدر قلق لأي شخص يشغّل جدار حماية أو موجّه، من المزوّدين الكبار إلى المكاتب الصغيرة.
التفاصيل المتاحة للعموم محدودة، لذا يلتزم هذا المقال بما تم الإبلاغ عنه ويتجنّب التخمين في البقية.
ما الذي فعله PEERSTITCH داخل شبكة مزوّد الاتصالات
الحقائق الأساسية موجزة. تم استخدام PEERSTITCH ضد جدران حماية FortiGate، وعمل كبرنامج مزروع مقيم في الذاكرة مُصمَّم لمعالجات ARM64. كانت النشاطات جزءًا من اختراق مطوّل لمزوّد خدمات مُدارة في قطاع الاتصالات.
هناك تفصيلان مهمان هنا. أولًا، كان الهدف مزوّد خدمات مُدارة. يشغّل مزوّدو الخدمات المُدارة بنية تحتية نيابةً عن مؤسسات أخرى، لذا فإن السيطرة على واحد منهم يمكن أن تكون ذات قيمة تتجاوز حدوده بكثير. ثانيًا، وُصف الاختراق بأنه مطوّل، مما يشير إلى مهاجم أراد البقاء بهدوء في مكانه بدلًا من الضرب والهروب السريع.
لا توضّح المصادر كيف دخل المهاجمون أول مرة أو ما فعلوه بهذا الوصول، ولن نُخمّن في أيٍّ منهما.
لماذا يصعب اكتشاف البرمجيات الخبيثة المقيمة في الذاكرة على جدران الحماية
يتصوّر معظم الناس البرمجيات الخبيثة كملف موجود على القرص. تعمل البرمجيات الخبيثة المقيمة في الذاكرة بشكل مختلف: فهي تعيش في الذاكرة التشغيلية للجهاز (RAM)، لذا قد يكون هناك القليل أو لا شيء مخزَّن بشكل دائم ليجده الماسح الضوئي. ولأن الذاكرة تُمسح عند إيقاف تشغيل الجهاز، يمكن لهذا النوع من البرامج المزروعة أيضًا أن يترك آثارًا قليلة بعد إعادة التشغيل.
تجعل جدران الحماية وغيرها من أجهزة حافة الشبكة هذا الأمر أكثر صعوبة لعدة أسباب:
- إنها أجهزة مغلقة. على عكس الحاسوب المحمول، لا يمكنك عادةً تثبيت أدوات الحماية الخاصة بنقاط النهاية على جدار حماية.
- عتاد ARM64 أقل ألفة لكثير من المحللين. الأدوات والعادات المبنية حول أنظمة سطح المكتب والخوادم لا تنتقل دائمًا.
- إنها تقع عند الحدود. أجهزة الحافة موثوقة بحكم التصميم، وغالبًا ما تحظى حركتها بتدقيق أقل من حركة محطات العمل.
- قد تكون السجلات شحيحة. إذا لم يكتب البرنامج المزروع الكثير على القرص، يصبح لدى المدافعين عدد أقل من الآثار لفحصها لاحقًا.
هذه الفجوة في الاكتشاف ليست حصرية لجدران الحماية. تُظهر التغطية الحديثة لكيفية فقدان 49% من ضحايا برامج الفدية لبياناتهم قبل اكتشاف الهجوم كم من المرات يكتشف المدافعون الاختراق متأخرًا. الأدوات الخفية على أجهزة لا يراقبها أحد عن كثب لا تفعل سوى توسيع تلك النافذة. يظهر موضوع مشابه في كيفية اختباء msaRAT التابع لمجموعة Chaos لبرامج الفدية في Chrome وEdge: يواصل المهاجمون اختيار أماكن تندمج مع النشاط الطبيعي.
ماذا يعني هذا بالنسبة لك
إذا كنت لا تدير شركة اتصالات، فمن المنطقي أن تسأل ما إذا كان هذا يؤثر عليك. كان الاستهداف المباشر في هذه الحالة مزوّد خدمات مُدارة، ولا يوجد في التقارير ما يشير إلى استهداف مستخدمي المنازل بشكل خاص. ومع ذلك، ينطبق الدرس على نطاق واسع.
يعتمد أصحاب الموجّهات وجدران الحماية في المنازل والشركات الصغيرة على نفس الافتراض الأساسي: أن الصندوق الموجود عند حافة الشبكة جدير بالثقة. تتحدى البرامج المزروعة المقيمة في الذاكرة هذا الافتراض، لأن الجهاز المخترق قد يبدو طبيعيًا تمامًا من الخارج. إذا كنت تستخدم جدار حماية FortiGate، أو أي جدار حماية أو موجّه بميزات إدارة عن بُعد، فإن جهازك جزء من سطح الهجوم الخاص بك، وليس مجرد طبقة حماية حوله.
يهمّ هذا أيضًا إذا كنت تعتمد على مزوّد خدمات مُدارة أو مزوّد خدمة إنترنت. تقع معدات الحافة الخاصة بهم بينك وبين الإنترنت، لذا تؤثر ممارساتهم الأمنية عليك بشكل غير مباشر. يُعدّ السؤال عن كيفية تحديث مزوّدك لأجهزة الشبكة ومراقبتها سؤالًا معقولًا.
خطوات عملية: التحديثات، وواجهات الإدارة المكشوفة، وإعادة التشغيل، والسجلات
لا تضمن أي من هذه الخطوات الحماية من برنامج مزروع مثل PEERSTITCH، لكن كل واحدة منها تقلّص المساحة المتاحة للمهاجم للعمل فيها.
- حافظ على تحديث البرامج الثابتة. ثبّت تحديثات البرامج الثابتة من المورّد لجدار الحماية أو الموجّه في أقرب وقت ممكن، واشترك في تنبيهات الأمان من مورّدك لتصلك معلومات الإصلاحات بسرعة.
- أغلق واجهات الإدارة المتصلة بالإنترنت. إذا كان يمكن الوصول إلى صفحة الإدارة من الإنترنت العام، فقيّدها بشبكتك الداخلية أو بمسار إدارة مخصص. استخدم كلمات مرور إدارية قوية وفريدة ومصادقة متعددة العوامل حيثما يدعمها الجهاز.
- أعد التشغيل، لكن لا تعتمد عليه. لأن الشيفرة المقيمة في الذاكرة عادةً لا تنجو من دورة انقطاع الطاقة، يمكن لإعادة التشغيل أن تُزيل برنامجًا مزروعًا بسيطًا. لكنها ليست علاجًا: فإذا بقي الضعف الأساسي، يمكن للمهاجم ببساطة أن يعود. تعامل مع إعادة التشغيل كمكمّل للتحديث، لا كبديل عنه.
- راجع السجلات وصدّرها. ابحث عن تسجيلات دخول إدارية غير مألوفة، وتغييرات إعدادات غير متوقعة، واتصالات صادرة غريبة. يساعد إرسال السجلات إلى نظام منفصل، لأن المهاجم الذي يسيطر على الجهاز قد يكون قادرًا على التلاعب بالسجلات المخزّنة عليه.
- استبدل العتاد غير المدعوم. الأجهزة التي لم تعد تتلقى تحديثات أمنية لا يمكن إصلاحها عند ظهور مشكلات جديدة.
الخلاصات الرئيسية
تُظهر برمجية PEERSTITCH الخبيثة المقيمة في الذاكرة على FortiGate أن المهاجمين مستعدون لاستثمار الوقت في أجهزة حافة الشبكة تحديدًا لأنها صعبة الفحص. حدّث البرامج الثابتة لجدار الحماية والموجّه لديك، وأغلق الوصول العام إلى واجهات الإدارة، واجعل مراجعة السجلات عادة منتظمة بدلًا من شيء تفعله بعد وقوع حادث.
جدران الحماية هدف متكرر للجهات الفاعلة المتقدمة. لاطلاع على حالة موازية، اقرأ كيف استهدف قراصنة مدعومون من دول جدران حماية Palo Alto عبر CVE-2026-0300، ثم تحقق متى تم تحديث أجهزة الحافة الخاصة بك آخر مرة.
