تُظهر حملة أُبلغ عنها حديثًا كيف يجمع المهاجمون بين ثغرة يوم-صفر في VMware ESX وعيوب أخرى للسطو على الأجهزة التي تحمي الشبكات. ووفقًا لـ Help Net Security، استغل المهاجمون ثغرة يوم-صفر في VMware ESX لإخفاء آثارهم، ثم سلسلوا عيوب PHP2Shell مع خلل يُسمى Fragnesia للوصول إلى جذور جدران الحماية. ويُنسب عنوان المصدر هذا النشاط إلى قراصنة صينيين.
الملخص العلني قصير، لذا يلتزم هذا المقال بما تم الإبلاغ عنه ويشرح لماذا يهم ذلك خارج نطاق المؤسسات الكبيرة.
ما الذي أُبلغ عنه بشأن ثغرة يوم-صفر في VMware ESX
تبرز ثلاثة عناصر من التقرير:
- ثغرة يوم-صفر في VMware ESX. ثغرة يوم-صفر هي عيب يُستغل قبل توفر إصلاح. وESX هو برنامج مراقبة افتراضية (hypervisor)، أي البرنامج الذي يشغّل الأجهزة الافتراضية على خادم فعلي. ووفقًا للتقرير، استخدم المهاجمون هذه الثغرة لإخفاء آثارهم، أي أنها ساعدتهم على تجنب الكشف.
- عيوب PHP2Shell. سُلسلت هذه مع خلل آخر للسيطرة بشكل أعمق على جدران الحماية.
- Fragnesia. بالاشتراك مع PHP2Shell، أتاح هذا الخلل للمهاجمين "تأصيل" (root) جدران الحماية، أي الحصول على أعلى مستوى من التحكم في الجهاز.
لا يقدم ملخص المصدر تفاصيل تقنية إضافية، مثل الإصدارات المتأثرة أو حالة الترقيع، لذا ينبغي للقراء مراجعة تنبيهات البائع للحصول على التفاصيل بدلًا من الافتراض.
لماذا يستهدف المهاجمون جدران الحماية ومضيفات المحاكاة الافتراضية
تشغل جدران الحماية وبرامج المراقبة الافتراضية مواقع ذات امتيازات. فجدار الحماية يرى حركة المرور بين الشبكة والإنترنت ويتحكم فيها. وبرنامج المراقبة الافتراضية يستضيف أنظمة متعددة في آن واحد. واختراق أي منهما يمنح المهاجم نقطة مراقبة غالبًا لا تستطيع أدوات أمن نقاط النهاية العادية رؤيتها، وهو ما يتوافق مع طابع التخفي في هذه الحملة.
التسلسل أيضًا نمط متكرر. فبدلًا من الاعتماد على خلل واحد، يربط المهاجمون عدة عيوب للانتقال من الوصول الأولي إلى السيطرة الكاملة. وقد رأينا سلوكًا مشابهًا في تقارير أخرى، منها قراصنة UTA0565 الصينيون يسلسلون ثغرات يوم-صفر في Chrome وWindows وتقرير Proofpoint عن مجموعات مرتبطة بالصين تتسابق لاستغلال ثغرات يوم-صفر. والخيط المشترك هو السرعة والصبر: الاستغلال بسرعة، ثم البقاء هادئًا.
ما الذي يعنيه هذا لك
معظم المستخدمين المنزليين لا يشغّلون VMware ESX. لكن كثيرًا من الناس يعتمدون على راوتر أو جدار حماية، وكثيرًا ما تشغّل الشركات الصغيرة أجهزة جدار حماية تقع عند حافة الشبكة. وجهاز الحافة المخترق يمكن أن يكشف حركة المرور المارة عبره، بما في ذلك نشاط التصفح والبيانات غير المشفرة، ويمكن للمهاجمين استخدامه كموطئ قدم للوصول إلى أجهزة أخرى.
هذا ليس سببًا للذعر. فالتقرير يصف حملة مستهدفة، ولا شيء في الملخص يشير إلى أن الأسر العادية تُستهدف تحديدًا. لكنه تذكير مفيد بأن الجهاز الذي يحمي شبكتك يمكن أن يكون هو نفسه نقطة الضعف. كما أن نشاطًا أوسع مرتبطًا بالدول أثّر على أفراد أيضًا، كما في حملة تجسس مدعومة من الصين تستهدف الصحفيين والناشطين، لذا فإن النظافة الأساسية تهم ذوي ملفات المخاطر الأعلى.
يمكن لشبكة VPN أن تضيف طبقة عبر تشفير حركة المرور بين جهازك وخادم VPN، مما يحد من ما يمكن لراوتر محلي مخترق رؤيته. لكنها لا تصلح جدار حماية تم التأصيل فيه، ولا تحل محل الترقيع.
ما يمكنك التحقق منه على الراوتر أو جدار الحماية الخاص بك
- حدّث البرنامج الثابت (firmware). تحقق من صفحة الإدارة أو موقع الشركة المصنعة للحصول على أحدث إصدار، وثبّته.
- فعّل التحديثات التلقائية إذا كان جهازك يدعمها.
- عطّل الإدارة عن بُعد ما لم تكن بحاجة إليها حقًا، وتجنب كشف صفحات الإدارة على الإنترنت.
- غيّر بيانات الاعتماد الافتراضية واستخدم كلمة مرور إدارية قوية وفريدة.
- استبدل الأجهزة غير المدعومة. الأجهزة التي لم تعد تتلقى تحديثات أمنية لا يمكن إصلاحها عند ظهور عيوب جديدة.
- راجع السجلات والإعدادات بحثًا عن حسابات غير مألوفة، أو إعدادات DNS متغيرة، أو إعادة توجيه منافذ غير متوقعة.
- إذا كنت تشغّل VMware ESX أو بنية تحتية مشابهة، فاتبع تنبيهات الأمان من البائع وطبّق الترقيعات فورًا.
كما يستخدم المهاجمون الأتمتة بشكل متزايد لتوسيع نطاق عملهم، كما ظهر في نتائج Hunt.io حول وكلاء الذكاء الاصطناعي الذين يشغّلون اختراقات على مستوى آسيا، مما يجعل الترقيع في الوقت المناسب أكثر أهمية، لا أقل.
الخلاصات الرئيسية
حملة ثغرة يوم-صفر في VMware ESX تذكير بأن التخفي والتسلسل أصبحا معيارًا لدى المهاجمين القادرين، وأن أجهزة الحافة أهداف قيّمة. لا يمكنك التحكم في وجود ثغرة يوم-صفر، لكن يمكنك تقصير فترة تعرضك: أبقِ البرنامج الثابت محدثًا، وفعّل التحديثات التلقائية، وأحكم إغلاق الوصول عن بُعد، وأحِل الأجهزة غير المدعومة. تعامل مع VPN كطبقة واحدة بين عدة طبقات. ابدأ اليوم بالتحقق من إصدار البرنامج الثابت على راوترك أو جدار الحماية لديك.
