تتطور عائلات برمجيات الروبوت (بوت نت) باستمرار من مجرد “تجميع أجهزة مصابة” إلى كائنات دفاعية تحاول البقاء حيّة حتى بعد تدخل المدافعين. أحدث ما يلفت الانتباه في هذا السياق هو منظومة جديدة مشتقة من ميراي (Mirai) أطلقت عليها تنجو (Tengu)، والتي لا تكتفي بآليات الاستمرارية التقليدية، بل تضيف مسارًا عتاديًا أكثر تعقيدًا: استغلال مراقب عتادي (Hardware Watchdog) لإجبار الجهاز على إعادة التشغيل عندما يتم إنهاء عملية البرمجية الرئيسية.
القصة ليست مجرد تفاصيل هندسية. فهي تضع المدافعين أمام سؤال عملي: ماذا يحدث عندما نقتل “العملية” لكننا نترك منظومة الاستمرارية تعمل؟ في حالة تنجو، يبدو أن الإجابة هي: يُتاح للباقي من آليات الإطلاق الذاتي فرصة جديدة للعودة—وأحيانًا عبر مسار يربك سلوك الأدوات التقليدية لإزالة التهديد.
ما الذي كشفته الأبحاث؟
وفقًا لتحليل نشرته مختبرات نو زومي (Nozomi Networks Labs) بتاريخ 27 يوليو 2026، فإن تنجو يستهدف غالبًا أجهزة لينكس مخترقة عبر أساليب مستوحاة من ميراي، مع تركيز على الوصول عبر خدمات إدارية مكشوفة. كما رصد الباحثون أن الدرابر (dropper) وصل إلى مصائد العسل (honeypots) الخاصة بهم عبر هجمات تخمين كلمات المرور عبر تلنت (Telnet credential brute force).
الأكثر حساسية هنا هو ما يحدث بعد التعطيل: تنجو يستخدم مزيجًا من الاستمرارية والمناعة الذاتية (Self-defense) ليضمن أن “إيقاف” العملية لا يعني “إزالة” العدوى. الباحثون يصفون ذلك كتميّز مقارنةً بالعديد من متغيرات ميراي الأخرى التي—بحسب تقديرهم—تفتقر إلى قدر معتبر من آليات الدفاع عن النفس.
لماذا هذا مهم لأمن المؤسسات؟
هذا النوع من التهديدات يهم المؤسسات لأسباب تتجاوز مجرد “عدوى جهاز واحد”. فغالبًا ما تكون العدوى في بيئات الأعمال مرتبطة بسلسلة من عوامل الخطر:
- تعريض خدمات الإدارة للإنترنت مثل تلنت وواجهات إدارة غير محدثة.
- ضعف إدارة الهوية (كلمات مرور افتراضية أو إعادة استخدام كلمات المرور).
- شبكات إنترنت الأشياء (IoT) داخلية أو شبه داخلية لا تخضع للتقسيم (Segmentation).
- غياب مراقبة سلوكية تلتقط محاولات الاستمرارية المتقدمة.
في كثير من الحالات، الأجهزة المصابة قد لا تكون “حاسوبية” بحتة؛ قد تكون بوكسات تلفزيون ذكية، راوترات، كاميرات، أو أنظمة طرفية تعمل بنظم مضمنة. ومع تنجو، يظهر أن التهديد مصمم ليقاوم إجراءات الإزالة عبر مسارات تتضمن خدمات النظام وملفات الإقلاع والجدولة.
استمرارية على مستوى النظام: من guardian إلى خداع خدمات الإقلاع
بحسب التقرير، عند تشغيله، ينشئ تنجو عملية “حارسة” (Guardian) منفصلة ومفصولة (Detached) تراقب عملية البرمجية الرئيسية كل 60 ثانية. إذا توقفت، يعيد تشغيل الثنائي المُثبت. هذه الفكرة—في جوهرها—تُحوّل العدوى من “عملية واحدة” إلى منظومة مراقبة وإعادة إطلاق.
لكن تنجو لا يكتفي بذلك. فهو يضيف آليات متعددة للاستمرارية، مثل:
- إنشاء خدمة مزيفة (Fake systemd service) ضمن نظام التشغيل systemd (اطّلع على [systemd](https://ar.wikipedia.org/wiki/Systemd)).
- إضافة سكربتات init و RC لتكرار الإطلاق عند الإقلاع (راجع [Init (Unix)](https://ar.wikipedia.org/wiki/Init_(Unix))).
- تعديل ملفات بدء التشغيل في الصدفة (Shell startup files) مثل ملفات profile أو ما شابه.
- محاولة استخدام آلية cron (راجع [Cron](https://ar.wikipedia.org/wiki/Cron))—مع ملاحظة أن جزءًا متعلقًا بـ /proc/self/exe بدا غير مكتمل أو متعطل.
- وضع الثنائي المُثبت على حالة يصعب تغييرها عبر الأمر immutable (مفهوم شائع في أنظمة لينكس عبر سمات مثل chattr +i).
هذه التفاصيل تعني أن “قتل العملية” وحده قد لا يكفي. بل قد يؤدي—بدون خطة استجابة مدروسة—إلى تفعيل آليات الحراسة أو الاستدعاء التالي.
المسار العتادي: مراقب يقرر إعادة التشغيل عند توقف العدوى
الجزء الأكثر إثارة للقلق في تنجو هو استغلال مراقب عتادي (Hardware Watchdog). الفكرة الأساسية: يوجد في بعض الأجهزة جهاز مراقبة يراقب “نبض حياة” النظام. إذا لم تُرسل إشارات تغذية (Keepalive) ضمن نافذة زمنية، يقوم المراقب بإعادة تشغيل الجهاز لتجنب تجمّد النظام.
تنجو يستخدم عاملًا في الخلفية يتنكر كخيط (Thread) باسم شائع مثل [kworker/0:0]، ثم يعيد فتح جهاز مراقب العتاد إذا كان متاحًا. بعد ذلك يضبط مهلة تقريبًا 30 ثانية، ويغذي المراقب فقط طالما أن العملية الرئيسية لا تزال تعمل. عند إنهاء العملية الرئيسية، تتوقف التغذية، فيُترك الجهاز ليُعاد تشغيله تلقائيًا.
النتيجة العملية: المدافع قد يحصل على “إشارة نجاح” مؤقتة (إيقاف العملية)، لكن العدوى تستفيد من إعادة التشغيل لإعادة تمهيد نفسها عبر آليات الاستمرارية الأخرى.
هذه التقنية تندرج ضمن اتجاه أوسع في التهديدات الحديثة: استهداف طبقة ما وراء البرامج (Beyond software) عبر الاستفادة من سلوكيات النظام والعتاد—وهو ما يجعل التحليل الجنائي والاستجابة للحوادث أكثر تعقيدًا.
خداع أدوات الصيانة: العبث برؤوس أوامر إعادة التشغيل
تقرير نو زومي يشير أيضًا إلى أن تنجو يحمل قائمة ثابتة من أدوات إعادة التشغيل والإيقاف. ويقوم بكتابة سلسلة ELFOOD داخل رؤوس ملفات ELF الخاصة بهذه الأدوات. على مستوى التنفيذ، هذا قد يؤدي إلى تعطيل سلوك الأوامر الاعتيادية التي يعتمد عليها المدافع لإعادة تشغيل الجهاز أو التعامل معه بأمان.
وللتوضيح: ملفات ELF هي تنسيق شائع للملفات التنفيذية في لينكس (راجع [ELF](https://ar.wikipedia.org/wiki/Executable_and_Linkable_Format)). العبث بالرأس قد يسبب فشلًا عند تشغيل الأداة أو يجعلها غير قابلة للتنفيذ بالطريقة المعتادة.
قدرات هجومية متعددة: DDoS، بروكسي SOCKS5، وتنفيذ أوامر
تنجو يدعم ما يقارب 25 طريقة للهجوم الحرمان من الخدمة الموزع (DDoS)، إضافة إلى تشغيل بروكسي SOCKS5، وتنفيذ أوامر shell وجمع بيانات النظام والشبكة.
كما يتمتع بقدرة تحديث ذاتي (Self-update) عبر تنزيل حمولة إضافية بصيغ ELF لأجهزة لينكس أو APK لأندرويد. ويذكر التقرير وجود عينات مهيأة لمعالجات مختلفة مثل i386 وamd64 وMIPS وARM وPowerPC وm68k. عدم تحديد نموذج جهاز أو مورد بعينه يشير إلى أن التهديد قد يعتمد على خصائص عامة أو مسارات استغلال/استمرارية قابلة للتكيف.
قنوات القيادة والتحكم: تشفير مخصص ودمج مع IPFS
وفق التقرير، يتواصل تنجو مع خادم قيادة وتحكم (C2) على العنوان 64[.]89.163.8 عبر TCP في المنفذ 9931. وتتم عملية التسجيل والنبضات (heartbeats) وإرسال مخرجات الأوامر بنص صريح، بينما تُستخدم آلية تشفير/مصادقة مخصصة شبيهة بـ ChaCha20/Poly1305 لتبادل الأوامر والتحديثات.
إضافةً إلى ذلك، يمكن للبرمجية جلب “معرّف محتوى” من بوابة ضمن InterPlanetary File System (IPFS) (راجع [IPFS](https://ar.wikipedia.org/wiki/InterPlanetary_File_System)). ثم تتحقق من أن النتيجة تمثل ملف ELF أو APK قبل تنفيذها أو تثبيتها. هذا النمط—دمج C2 مع بنية توزيع محتوى—قد يرفع تكلفة التعطيل ويطيل عمر البنية التحتية.
ويُحتمل أن مسار APK يستهدف أجهزة مثل Android TV أو أجهزة أندرويد أخرى غير محمية جيدًا، لكن التقرير لم يقدم دليلًا مؤكدًا على ضحايا أندرويد.
مؤشرات انتشـار: ما نعرفه وما لا نعرفه
من المهم التمييز بين “قدرة” التهديد و“مدى انتشاره”. تقرير نو زومي—بحسب ما ورد—لا يذكر عددًا ملموسًا للعدوى، ولا اسم المشغل، ولا الضحايا الفعليين للهجمات الحرمان. ما توفره الأبحاث هو دليل على ما يمكن للتنجو فعله تقنيًا، وليس صورة كاملة عن نطاقه العالمي.
على جانب آخر، قامت منصة URLhaus بتسجيل 17 رابطًا لملفات خبيثة مرتبطة بعنوان C2 نفسه بدءًا من 17 يونيو 2026، تضمنت سكربت شل وملفات ELF موسومة على أنها ميراي وملف APK. كانت أحدث إدخالات الحمولة في 7 يوليو، وأصبحت جميع الروابط غير متاحة (offline) بحلول 28 يوليو. مع ذلك، لا تربط URLhaus الملفات مباشرةً باسم تنجو، كما أن بصمات SHA-256 في سجلاتها لم تتطابق مع بصمة العينة التي نشرها نو زومي، وهو ما يعني أن بيانات URLhaus تؤكد فقط وجود استضافة خبيثة مرتبطة بمحتوى ميراي/مشابه، دون تأكيد 100% لارتباط كل ملف بعينة تنجو المحددة.
تجدر الإشارة كذلك إلى أن المصادر لم تؤكد قابلية الوصول الفعلية لخادم C2 على المنفذ 9931 أو بوابة IPFS على المنفذ 8080، وأن حالة الروابط لدى URLhaus تخص روابط التنزيل المسجلة لديها فقط.
إجراءات دفاعية: ما الذي يجب فعله قبل أن يتحول “التعطيل” إلى إعادة إطلاق؟
الأهم في هذا النوع من التهديدات هو تصميم الاستجابة للحادث بطريقة تمنع “العودة” عبر الاستمرارية. توصيات نو زومي تركز على تقليل سطح الهجوم ثم تدقيق مسارات الإقلاع والاستمرارية في النظام.
- إزالة التعرض للإنترنت لخدمات مثل تلنت وأي خدمات إدارية غير ضرورية.
- تغيير كلمات المرور الافتراضية وتطبيق سياسة كلمات مرور قوية مع تعطيل الدخول غير الضروري.
- تحديثات البرامج الثابتة (Firmware) لأن كثيرًا من أجهزة IoT والأنظمة المضمنة تتضمن ثغرات قديمة.
- تقسيم شبكة IoT (Network Segmentation) بحيث لا تنتقل العدوى بسهولة إلى بقية الشبكة.
- مراجعة خدمات systemd، وملفات init وRC، وملفات بدء التشغيل في الصدفة، وأي مسارات مرتبطة بـ cron.
- عند الاشتباه، فكر في التدقيق في سمات الملفات التنفيذية (مثل immutable) وتحقق من سلامة أدوات النظام الأساسية.
من زاوية أوسع، هذه الإجراءات تتماشى مع مبادئ أطر أمنية مثل معايير إدارة مخاطر الهوية والصلاحيات ومراقبة مستمرة. ولمن يريد مرجعية عملية، يمكن الرجوع إلى مبادئ إطار عمل NIST للأمن السيبراني، وخصوصًا محاور الرصد والاستجابة وتقليل السطح.
الدرس الأكبر: تهديدات “تقاوم الإزالة”
المفارقة المؤلمة في تنجو هي أن الدفاع التقليدي—مثل قتل العملية أو تعطيل خدمة واحدة—قد لا ينهي التهديد. وجود guardian، وخداع خدمات الإقلاع، ومراقب عتادي يقرر إعادة التشغيل، كلها إشارات إلى نمط أوسع: الهجمات التي تتضمن قدرات استمرارية متعددة الطبقات ومناعة ذاتية.
هذا يفرض على الفرق الأمنية أن تعيد النظر في خطط الاستجابة للحوادث: ليس فقط “كيف نمنع الهجوم”، بل “كيف نمنع العدوى من استغلال إجراءاتنا” كجزء من دورة حياة الحادث.
سؤال للنقاش
عندما تكتشفون عملية خبيثة على جهاز لينكس أو جهاز IoT، هل خطتكم العلاجية تفترض أن إيقاف العملية يعني إنهاء التهديد—أم أنها تتعامل مع احتمال أن يكون هناك حراسة واستمرارية عتادية قد تعيد العدوى فورًا بعد إعادة التشغيل؟
إذا أردتم، شاركونا: ما هي أكثر خطوة في إجراءات الاستجابة لديكم تقلقكم في الحالات التي تتضمن استمرارية متعددة المسارات—systemd أم cron أم ملفات بدء التشغيل أم أي آليات عتادية؟
Leave a Reply