تتكرر في 2026 رسالة واحدة بوضوح: التهديد لا يقف عند اختراق أولي. أحدث ما يلفت الانتباه في المشهد هو تصاعد عمليات مجموعة مرتبطة بفدية (INC Ransomware) التي يُنظر إليها على أنها الفاعل الأكثر حضورًا في استغلال ثغرات أُعلن عنها مؤخرًا ضمن أجهزة بوابات الوصول الآمن من فئة SonicWall Secure Mobile Access (SMA) 1000. الصورة العامة لا تتعلق فقط بوجود ثغرة، بل بكيفية تحويلها إلى سلسلة هجوم تُفضي إلى الاستحواذ على الجلسات، وسرقة بيانات عالية القيمة، ثم التوسع داخل الشبكة.

في هذا التقرير، نربط بين ما رصدته شركات التحليل الأمني وبين الاتجاهات الأوسع في عمليات الفدية: من استغلال الثغرات (Exploitation) إلى الاستمرارية عبر الاعتماد على بيانات الجلسة وتهيئة عامل التحقق متعدد العوامل (MFA)، وصولًا إلى الحركة الجانبية (Lateral Movement) التي تحسم “من يملك الشبكة”.

ما الذي حدث تحديدًا؟ سلسلة ثغرات تتحول إلى مسار سيطرة

وفق تقارير متعددة، تسارعت وتيرة نشاط (INC Ransomware) منذ بداية أغسطس 2026، مع ظهور ضحايا جدد على موقع تسريب البيانات. ويُذكر أن الاستغلال يُحتمل أن يكون مرتبطًا بثغرتين تم نشرهما ضمن أجهزة SMA 1000، وهما (CVE-2026-15409) و(CVE-2026-15410). والأهم هنا أن الإصلاحات صدرت من الشركة المصنّعة في منتصف يوليو 2026، ما يعني أن الفجوة بين الإصلاح والاستخدام الهجومي كانت قصيرة بما يكفي لتُصنَّف بعض السيناريوهات كـ ثغرات يوم-صفر (Zero-Day).

تُعد سلسلة الثغرات فكرة جوهرية في هجمات الفدية الحديثة: بدلاً من استغلال واحد يؤدي إلى اختراق محدود، يتم استخدام ثغرة كـ “بوابة دخول” ثم استغلال أخرى لتحسين القدرة على التنفيذ أو تجاوز ضوابط أمنية. في هذا السياق، تشير التحليلات إلى أن الثغرتين يمكن أن تُسلسلا بما يسمح بـ تنفيذ أوامر عشوائية (Arbitrary Command Execution) والسيطرة على الأجهزة المستهدفة.

لماذا بوابات الوصول الآمن هدف جذاب؟

بوابات الوصول الآمن ليست مجرد جهاز “للولوج من الخارج”. غالبًا ما تعمل كطبقة وسيطة بين المستخدمين والأنظمة الداخلية، وتحتوي على:

• بيانات تحقق وهوية (Authentication)
• جلسات نشطة (Active Sessions)
• إعدادات عامل التحقق متعدد العوامل (MFA Seeds)
• قنوات اتصال تُسهّل الحركة إلى الداخل

عندما يتم اختراق هذه البوابات، يصبح الوصول إلى الشبكة الداخلية أقل مقاومة، لأن الخصم لا يملك فقط “دخولًا” بل يملك مفاتيح تشغيل مثل الجلسات والبيانات السرية.

من السرقة إلى البقاء: كيف تُترجم الثغرة إلى نفوذ طويل المدى

وفق ما ذكرته شركات مثل Rapid7 وResecurity، فإن الهجمات لا تكتفي بالاختراق السريع. بل يُرجح أن المهاجمين استغلوا الثغرات لاستخراج:

• بيانات اعتماد عالية القيمة (High-Value Credentials)
• قاعدة بيانات الجلسات (Session Databases) لاستعادة أو الاستمرار في التواجد
• بذور التحقق لرموز MFA (TOTP Seeds) بما يتيح توليد رموز جديدة بدل الاعتماد على “الرسائل” فقط

هذه النقطة تحديدًا تعكس تطورًا مهمًا في تكتيكات الفدية: حتى وجود MFA لا يمنع دائمًا التلاعب إذا تمكن الخصم من الوصول إلى بيانات التهيئة أو الجلسات. للمزيد حول مفهوم المصادقة متعددة العوامل (Multi-factor authentication)، يمكن الرجوع إلى موسوعة ويكيبيديا.

بعد ذلك، يصبح الهدف المنطقي هو الحركة الجانبية (Lateral Movement) داخل الشبكة، بحثًا عن أنظمة جوهرية وموارد يمكن بها ترسيخ السيطرة قبل تنفيذ الابتزاز أو تسريب البيانات.

أين يدخل “التشابه التكتيكي” في تفسير من يقف خلف الهجوم؟

أحد أكثر جوانب التقارير إثارة هو الربط بين ما رُصد وبين حملات سابقة. فقد نسبت Volexity الاستغلال الذي بدأ قبل الإعلان الرسمي عن الثغرات إلى مجموعة تهديد يطلق عليها UTA0533، مع الإشارة إلى استخدام أدوات برمجية محددة.

تذكر التقارير توظيف نص برمجي بلغة Python يُستخدم لإطلاق خادم وكيل HTTP مفتوح المصدر Suo5، إضافة إلى Web Shell مخصص يشبه أساليب معروفة ضمن فئة Behinder-like. هذه الأدوات لا تُستخدم فقط “للتنفيذ”، بل لتسهيل:

• إخفاء المسار داخل حركة الشبكة
• تثبيت قنوات تحكم طويلة الأمد
• رفع القدرة على جمع المعلومات والتوسع

وعندما تشير Rapid7 إلى “تشابه تكتيكي” مع تحقيقاتها، فهذا يعزز فرضية أن هناك مجموعة واحدة أو تنسيقًا وثيقًا في اكتشاف الثغرة واستغلالها. في عالم الأمن، التشابه لا يعني دائمًا نفس الفاعل، لكنه غالبًا يشير إلى نمط عمليات قابل للتتبع.

الأثر على القطاعات: من القطاع الخاص إلى الحكومات

من الناحية العملية، لا تقتصر هذه الهجمات على قطاع واحد. تشير التقارير إلى وجود ضحايا من القطاع الخاص وجهات حكومية في دول مثل الولايات المتحدة والإمارات والسعودية وغيرها، إضافة إلى دول أخرى. والأسباب التي تجعل الحكومة والقطاع الخاص معًا عرضة تشمل:

• اعتماد واسع على بوابات الوصول الآمن لخدمة العمل عن بعد
• تعقيد بيئات الشبكات وتعدد المسارات الداخلية
• حساسية البيانات التي تجعل الابتزاز أكثر ربحًا

تجدر الإشارة إلى أن الإحصاءات المنشورة حول عدد الضحايا في مواقع تسريب الفدية تُستخدم عادة كـ مؤشر على النشاط وليس كحصر كامل لكل الهجمات، لأن بعض الضحايا لا يعلنون أو لا يُدرجون ضمن المواقع.

تكتيكات “الضغط” قبل وبعد الاختراق

جانب مقلق في التقارير هو ما يتعلق بأساليب الضغط النفسي والعمليات الاجتماعية المرافقة. إذ أفادت Resecurity بأن بعض الضحايا تلقوا رسائل بريدية واتصالات هاتفية من جهات تدّعي المساعدة في “أزمة الفدية”، وفي حالات ذكرت شركة التحليل وجود شخص استخدم اسمًا مثل Andrew مع رقم هاتف مرتبط بالولايات المتحدة، مع توجيه الضحية للتفاوض عبر بريد إلكتروني.

هذه الرسائل غالبًا ما تُستخدم كـ تكتيك ضغط (Pressure Tactics): خلق استعجال، تقليل قدرة فرق الضحية على التصعيد الداخلي، وإغراء بعض الجهات بالتواصل خارج قنوات الاستجابة الرسمية.

ما الذي يجب فعله الآن؟ ترسانة دفاع تتجاوز مجرد التحديث

الخطوة الأولى واضحة: تحديث أجهزة SMA 1000 فورًا إلى أحدث إصدار إذا لم يتم ذلك. لكن خبراء الدفاع يوصون أيضًا بإجراءات أوسع لأن التحديث وحده لا يعيد الزمن إلى الوراء إذا كان الاستغلال قد وقع قبل الترقية.

خطة استجابة مختصرة وعملية

• التحقق من الترقية: التأكد من تطبيق الإصلاحات على جميع الأجهزة، بما في ذلك النسخ الاحتياطية والبيئات الموازية.
• البحث عن آثار الاستغلال: رصد العناوين الخارجية التي تفاعلت مع مسارات مثل /wsproxy أو استخدمت معاملات غير معتادة.
• مطابقة ذلك مع سجلات داخلية: ربط محاولات الوصول الخارجية بمحاولات تسجيل دخول، تغييرات صلاحيات، أو مؤشرات حركة جانبية.
• تدوير بيانات الاعتماد: تغيير كلمات المرور والاعتماديات التي قد تكون سُرقت أو أُعيد استخدامها.
• مراجعة إعدادات MFA: إذا كان هناك احتمال للوصول إلى بذور TOTP أو أي بيانات حساسة، يجب إعادة تهيئة MFA وليس الاكتفاء بإلغاء جلسات.
• فحص سلامة الأنظمة: التحقق من عدم وجود ثغرات لاحقة عبر Web Shell أو أدوات وكيل مخفية.

في إطار أوسع، تتماشى هذه الإجراءات مع مبادئ إدارة مخاطر الثغرات والاستجابة للحوادث كما تروج لها أطر مثل إطار عمل NIST للأمن السيبراني (Cybersecurity Framework) وقائمة OWASP (OWASP Top Ten) التي تركز على تقليل سطح الهجوم ومراقبة السلوك.

لماذا قد تستمر هذه النوعية من الهجمات في 2026 و2027؟

لأن نموذج الفدية الحديث أصبح “صناعيًا”: استغلال ثغرات، نشر أدوات قابلة لإعادة الاستخدام، ثم بيع الوصول أو توسيع التحكم. حتى عندما تُغلق الثغرة، تبقى آثارها المحتملة في:

• الأجهزة التي لم تُحدّث بسرعة
• الاعتماد على سجلات غير مكتملة أو غير مترابطة
• ضعف القدرة على اكتشاف النشاط بعد الاستغلال

كما أن انتشار الخدمات عن بعد وتزايد استخدام بوابات الدخول الخارجي يزيد من “قيمة الاختراق” لأن أي خلل في هذه الطبقة ينعكس على كامل منظومة الهوية والاتصال. وبذلك، يصبح الدفاع عن هذه البوابات جزءًا من استراتيجية أمنية أكبر تشمل المراقبة المستمرة (Continuous Monitoring) والتحقق من الهوية على مستوى متعدد الطبقات.

نقطة للنقاش

إذا كانت الثغرات قد استُغلت بسرعة قبل الترقية، فالسؤال ليس فقط: هل قمتم بتطبيق التحديث؟ بل هل تستطيعون اكتشاف أن أحدًا استخرج بذور MFA أو بيانات الجلسات أو زرع قنوات تحكم قبل أن يظهر أي أثر واضح؟

شاركنا: ما هي أكثر نقطة ضعف في منظومتكم حول بوابات الوصول الآمن—التحديثات السريعة، أم ترابط السجلات، أم جاهزية البحث عن التهديدات بعد الاختراق؟

مصادر مقترحة للتوسع: ثغرة يوم-صفر، الحركة الجانبية، Web Shell.

روابط التواصل:
Facebook،
X.