سلالة فدية جديدة مرتبطة بثغرة في أداة إدارة عن بُعد
حددت Microsoft Threat Intelligence حملة فدية جديدة مرتبطة بجهة تهديد تُعرف باسم Storm-1175، يُعتقد أنها تتمركز في الصين. وفقًا لنتائج Microsoft، يُرجح أن المجموعة تمكنت من الوصول الأولي إلى شبكات الضحايا عبر استغلال ثغرة تجاوز المصادقة CVE-2026-18577 في أداة المراقبة والإدارة عن بُعد (RMM) N-central من N-able. وبعد الدخول، نشر المهاجمون سلالة فدية لم تكن موثقة سابقًا، أُطلق عليها الآن اسم StormEncryptor.
لا تزال التفاصيل قيد الظهور، لكن الحقائق الأساسية المُبلّغ عنها حتى الآن واضحة: ثغرة في منصة إدارة تكنولوجيا معلومات واسعة الاستخدام سمحت بتجاوز المصادقة، ويبدو أن هذا التجاوز شكّل نقطة الدخول لنشر برمجية الفدية. بالنسبة للمؤسسات التي تعتمد على برمجيات RMM لإدارة نقاط النهاية عبر شبكاتها، يمثل هذا المزيج تحديدًا السيناريو الذي تعمل فرق الأمن على منعه.
لماذا تُعد أدوات RMM هدفًا عالي القيمة
توجد منصات المراقبة والإدارة عن بُعد مثل N-central لتزويد مدراء تكنولوجيا المعلومات بتحكم مركزي في عدد كبير من الأجهزة، وغالبًا عبر عدة مؤسسات عميلة إذا كانت البرمجية تُستخدم من قِبل مزود خدمات مُدارة. هذه المركزية هي ما يجعل هذه الأدوات مفيدة جدًا للمدراء الشرعيين، وهي أيضًا ما يجعلها جذابة للمهاجمين. يمكن لتجاوز مصادقة واحد في أداة RMM أن يفتح بابًا ليس فقط لشبكة واحدة، بل لكل جهاز وبيئة عميل تتعامل معها هذه الأداة.
هذا ليس نمطًا جديدًا في عمليات الفدية. لقد انجذب المهاجمون مرارًا نحو البنية التحتية وبرمجيات الإدارة تحديدًا لأن اختراقها يمكن أن يضاعف تأثير استغلال واحد ناجح. عندما تسمح ثغرة للمهاجم بتخطي المصادقة بالكامل، فإن الدفاعات المعتادة مثل مراقبة بيانات الاعتماد أو المصادقة متعددة العوامل قد لا تُفعّل أصلًا، لأن المهاجم لم يحتج أبدًا إلى بيانات اعتماد صالحة في المقام الأول.
ما نعرفه (وما لا نعرفه) عن StormEncryptor
استنادًا إلى تقرير Microsoft، تبدو StormEncryptor سلالة فدية مبنية حديثًا بدلًا من أن تكون تغييرًا لعلامة تجارية لعائلة موجودة. بخلاف اسمها وارتباطها الظاهري باستغلال N-central، تظل التفاصيل المنشورة محدودة في هذه المرحلة. الواضح هو أن Storm-1175 انتقلت من الوصول الأولي إلى نشر برمجية الفدية، وهي النتيجة التي تسعى المؤسسات لتجنبها بشدة عندما تصبح ثغرة كهذه معروفة.
تُعزز هذه الحالة أيضًا نقطة تكررت مرارًا في أبحاث الفدية: حتى عند احتواء حادثة معينة، نادرًا ما يختفي الحافز المالي الأساسي لهذه المجموعات. وكما أظهرت بيانات حديثة حول مدفوعات الفدية، فإن دفع الفدية لا يمنع بشكل موثوق استهداف المؤسسة مرة أخرى. تُعد نقطة البيانات هذه تذكيرًا مفيدًا بأن هدف المدافعين يجب أن يكون الوقاية والكشف السريع، وليس مجرد وجود خطة استجابة لما بعد الحدث.
ماذا يعني هذا بالنسبة لك
إذا كانت مؤسستك، أو مزود خدمات مُدارة تعتمد عليه، يستخدم منصة N-central من N-able، فإن هذا التطور يستحق اهتمامًا فوريًا. تُعتبر ثغرات تجاوز المصادقة عالية الخطورة تحديدًا لأنها تزيل الحواجز الطبيعية التي كان على المهاجمين تجاوزها. حقيقة أن مجموعة فدية تبدو قد استخدمت هذه الثغرة كسلاح تعني أن الفترة بين الكشف والاستغلال النشط كانت قصيرة.
بالنسبة للمستخدمين العاديين والشركات الصغيرة التي لا تدير برمجيات RMM مباشرة، فإن الخلاصة العملية أوسع: مجموعات الفدية تتحسس باستمرار الأدوات التي تثق بها فرق تكنولوجيا المعلومات أكثر من غيرها، ويمكن أن تكون للثغرات في هذه الطبقة من البنية التحتية عواقب مضخمة. هذه لحظة مناسبة لتسأل مزود تكنولوجيا المعلومات أو فريقك الداخلي ما إذا كانت البرمجية التي تدير أجهزتك مُحدّثة ومراقبة، وليس فقط ما إذا كانت نقاط النهاية الفردية لديك تمتلك حماية ضد الفيروسات.
خلاصات قابلة للتنفيذ
يجب على المؤسسات التي تستخدم N-central من N-able التأكد مما إذا كانت الثغرة CVE-2026-18577 قد تم تصحيحها في بيئتها ومراجعة إرشادات المُصنّع عن كثب. كما ينبغي لفرق تكنولوجيا المعلومات تدقيق سجلات وصول RMM بحثًا عن علامات نشاط مصادقة غير اعتيادي، إذ يمكن لثغرات التجاوز أن تترك آثارًا حتى عندما لا تُطلق تنبيهات تسجيل الدخول العادية. يظل الاحتفاظ بنُسخ احتياطية غير متصلة بالإنترنت ومُختبرة أحد أكثر الدفاعات موثوقية ضد الفدية بغض النظر عن كيفية دخول المهاجمين. أخيرًا، يجب على الشركات التي تعتمد على مزودي خدمات مُدارة خارجيين أن تطرح أسئلة مباشرة حول مدى سرعة تطبيق هؤلاء المزودين لتصحيحات الأمان على أدوات الإدارة التي تعمل عبر شبكات العملاء، لأن نسخة RMM واحدة غير مُصححة يمكن أن تعرض أكثر من مؤسسة واحدة في وقت واحد للخطر.
