كشفت شركة الاستجابة للحوادث Sygnia عن أسلوب جديد تستخدمه مجموعة التجسس Fire Ant، يتمثل في اختراق موجّهات Cisco IOS XR وتحويلها من أجهزة تمرير لحركة البيانات إلى نقاط مراقبة وجمع داخل الشبكة. وبدأ التحقيق بعد العثور على واجهة نفق GRE نشطة في موجّه Cisco، من دون أن يكون لها تفسير في إعدادات التشغيل أو سجل التغييرات المعتمد.
وبحسب Sygnia، وسّعت المجموعة نطاق استهدافها من بيئات VMware hypervisors إلى موجّهات Cisco، وخوادم المصادقة TACACS، وخوادم Linux المستخدمة للإدارة. وبعد الحصول على صلاحيات إدارية، زرع المهاجمون برمجيات خبيثة مخصصة تضمن الاستمرارية عبر خدمة نظام مزيفة، صُممت لتشغيل الزرع خلال ساعات متناوبة، بما يقلل فرص اكتشافه أثناء الفحص الروتيني.
موجّه الشبكة كمنصة جمع
أتاحت البرمجيات للمهاجمين إخفاء رسائل syslog المرتبطة بالأنفاق، وإنشاء اتصالات Telnet صادرة إلى البنية التحتية التابعة لهم، إضافة إلى جلسات تفاعلية للوصول إلى الصدفة من دون تسجيل. كما استُخدمت الصلاحيات الإدارية لالتقاط حركة البيانات من عدة موجّهات، ثم رفع ملفات PCAP إلى خوادم FTP خارجية.
وقد تكشف هذه الملفات عن بنية الشبكة الداخلية، واتصالات الإدارة، وتدفقات المصادقة، والعلاقات بين مسارات التوجيه، والبيانات المتبادلة مع الشبكات المتصلة. وبذلك لا يقتصر أثر الاختراق على جهاز واحد؛ فالموجّه المسيطر عليه يمنح المهاجمين موقعاً لمراقبة مسارات موثوقة تمر عبرها اتصالات متعددة.
جسر إلى بيئات عالية القيمة
ربط نفق GRE المخفي أحد الموجّهات المخترقة بخادم Linux قديم، استخدمته Fire Ant كنقطة تجهيز واستطلاع. ومن هذا الخادم، فحص المهاجمون أنظمة في بيئات متصلة ذات قيمة مرتفعة، بما في ذلك أنظمة مرتبطة بالبنية التحتية الحيوية، عبر منافذ شائعة لخدمات SSH والويب وSMB/RPC وRDP.
وتصف Sygnia هذا الأسلوب بأنه استهداف «الضحية خلف الضحية»: اختراق بنية موثوقة لدى الضحية الأولى ثم استخدامها جسراً لاستكشاف مسارات وصول إلى شبكات أخرى. كما رصد الباحثون باباً خلفياً لم يكن موثقاً سابقاً باسم BridgeAgent، جرى تمويهه على هيئة وكيل مراقبة Zabbix شرعي. ويعمل الباب الخلفي كخدمة systemd بصلاحيات root، ويدعم الصدف العكسية عبر TLS وتنفيذ حمولات إضافية.
ما الذي يهم فرق الدفاع؟
تقول Sygnia إن نشاط Fire Ant يتداخل بدرجة كبيرة مع مجموعة التجسس الصينية UNC3886 التي وثقتها Google سابقاً، لكنها تشير إلى اختلافات في أسماء الملفات والمسارات وتفاصيل التنفيذ. ولا يثبت هذا التداخل وحده أن الحملتين متطابقتان.
الأهم عملياً أن الاعتماد على إعدادات الموجّه أو سجلاته وحدها قد لا يكشف الاختراق؛ فقد عبث المهاجمون بالسجلات وبالطوابع الزمنية للملفات لإخفاء الأدلة. لذلك تحذر Sygnia من ضرورة التحقق من السجلات المستخرجة من البنية المخترقة بمقارنتها بمصادر أخرى. ويتضمن تقريرها قائمة موسعة من مؤشرات الاختراق، إلى جانب قواعد hunting وYARA لاكتشاف نشاط Fire Ant.
تُظهر الوقائع أن حماية أجهزة الشبكة لا تتعلق بمنع تغيير الإعدادات فقط، بل أيضاً باكتشاف الخدمات غير المتوقعة، والأنفاق المخفية، والاتصالات الصادرة، وآثار التقاط الحزم. ومع ذلك، لا تقدم المادة تفاصيل عن ضحية محددة أو حجم البيانات التي جُمعت، وهي أسئلة تظل مفتوحة أمام التحقيقات اللاحقة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.