في كل مرة تُغلق فيها خوادم قيادة وسيطرة تقليدية لشبكة روبوتات، تظهر نسخة أكثر مرونة. هذا ما يوضحه تقرير مشترك بين مركز الاستجابة لطوارئ الحاسوب في الصين (CNCERT) ومختبر تهديدات تابع لشركة (Qi’anxin) يُعرف بـ XLab، حول شبكة روبوتات من نوع إنترنت الأشياء تُشار إليها باسم (Dysphoria). الفكرة المحورية ليست مجرد “تحديث في البرمجيات الخبيثة”، بل إعادة تصميم لمسار القيادة والسيطرة ليصبح أكثر مقاومة للتعطيل.

وفقًا للباحثين، بعد عملية إنفاذ قانون استهدفت بنية (JackSkid) في 19 مارس، بدأت (Dysphoria) بالاعتماد على خدمات تسمية مبنية على سلاسل الكتل (Blockchain) مثل “خدمات أسماء” مرتبطة بنطاقات (ENS) و( Solana Name Service / SNS) لتحديد عناوين البنية التحتية التي تتصل بها الأجهزة المصابة. والأهم من ذلك: تصميم “المرحلات” يجعل عناصر التحكم الفعلية أقل تعرضًا للعناوين التي يمكن تتبعها بسهولة.

لماذا يهمنا هذا التحول؟ من قطع الخوادم إلى تفكيك الشبكة

الهجمات عبر شبكات الروبوتات في إنترنت الأشياء تُستخدم غالبًا لتنفيذ هجمات حجب خدمة موزعة (DDoS) أو لشن أنشطة تالية. في النماذج التقليدية، كانت شبكات الروبوتات تعتمد على خوادم قيادة وسيطرة يمكن استهدافها عبر تتبع سجلات الشبكة أو تعطيل النطاقات أو مصادرة البنية. لكن عندما تُستبدل نقاط التوجيه الثابتة بخدمات تسمية ديناميكية وبعناصر وسيطة (Relay Mesh)، يصبح “قطع السلك” أصعب.

هذا النوع من المرونة ليس جديدًا تمامًا؛ فقد شهدت الصناعة سابقًا انتقالًا من خوادم ثابتة إلى بنى تستخدم أسماء نطاقات متغيرة، أو قنوات دفع (Domain Generation)، أو حتى الاعتماد على خدمات وسيطة. إلا أن إدخال خدمات أسماء مبنية على سلاسل الكتل يضيف طبقة إضافية من “المرونة التشغيلية”، لأن السجلات قد تُدار بطريقة يصعب فيها على الجهات المنفذة إيقافها عبر إجراء واحد مباشر.

الأرقام التي نُشرت: مفيدة كإشارة، لكنها ليست تعدادًا دقيقًا

يشير تقرير (CNCERT) و(XLab) إلى أن حجم الشبكة تجاوز 200 ألف جهاز بوت. وتستند بياناتهم إلى تتبع برقيات/تلِيمتري خلال الفترة من 14 إلى 20 يوليو، مع تسجيل 4,401 جهازًا مؤكدًا داخل الصين، وذروة يومية تقارب 239 ألف خارج البلاد. ومع ذلك، يحذر الباحثون—بحسب ما ورد—من أن الأرقام لا يمكن اعتبارها إحصاءً دقيقًا، لأن منهجية العد/إزالة التكرار لم تُنشر بشكل كامل، ولم تُعد من جهات مستقلة.

هذا التفصيل مهم للمدافعين وصناع القرار: في مواجهة أرقام “كبيرة” قد تُستخدم إعلاميًا، يجب تقييم ما إذا كانت القياسات تقيس “سكانًا فعلين” أم “سكانًا محتملين” أو “سكانًا تم رصدهم في فترة محددة”.

ما الذي تغيّر تحديدًا في (Dysphoria)؟ خريطة قيادة وسيطرة أكثر انعزالًا

يرسم تحليل XLab تسلسلًا زمنيًا يوضح كيف انتقلت (Dysphoria) بعد ضرب (JackSkid). بعد أن وثّقت جهات مثل (Nokia Deepfield) و(Comcast) تغيّرًا في البنية إلى استخدام سجل نطاق مرتبط بـ (Ethereum Name Service / ENS) باسم (m3rnbvs5d[.]eth) لأغراض قيادة وسيطرة (C2)، ظهر أيضًا استخدام سجلات أخرى مثل (burrberry[.]eth) و(24carnforth2merseyside[.]sol) في سياق ترميز عناوين البنية التحتية.

الفكرة التقنية الأساسية كما يشرح الباحثون: بدل أن يحصل كل جهاز بوت على قائمة عناوين التحكم مباشرة، يقوم البوت بالاتصال عبر HTTP بطرف “عُقد توزيع” (Distribution Node) يحصل على قائمة “الخوادم الحالية”. ثم تُستخدم هذه القائمة لتحديد عناوين مرحلات أو أجهزة مصابة تعمل كـ “جسر” نحو عناصر التحكم الفعلية. بذلك، لا تكون عناوين وحدات التحكم مكشوفة مباشرة لأجهزة البوت، ما يصعّب عملية تعطيلها.

لماذا تُعد “المرحلات” نقطة ضعف أقل من الخوادم المركزية؟

في الهجمات التي تعتمد على خوادم مركزية، يمكن عادةً تضييق نطاق الاستهداف إلى نقاط محددة. أما في شبكات الروبوتات التي تتضمن مرحلات داخلية، فإن تعطيل نقطة واحدة قد لا يوقف الخدمة لأن هناك نقاطًا أخرى تقوم بإعادة توجيه الطلبات. كما أن هذه المرحلات قد تكون هي نفسها أجهزة مصابة لا يمكن مصادرتها قانونيًا بسهولة.

بالنتيجة، تصبح الاستراتيجية الدفاعية أكثر شمولًا: ليس فقط إغلاق نطاقات أو عناوين، بل تقليص سطح الأجهزة المصابة وقطع مسارات الاتصال بين المرحلات والبنية التحتية.

كيف انتقلت الشبكة عبر الزمن؟ (ENS) ثم (SNS) ثم نمط “مرحلات فقط”

يذكر تحليل XLab سلسلة تغييرات سريعة في إصدارات البرمجيات الخبيثة خلال أواخر أبريل وما بعده، ثم إضافة دعم (Solana Name Service / SNS) في أوائل مايو. ثم ظهر لاحقًا “متغير مرحلات فقط” (Relay-only) في 25 يونيو تقريبًا، حيث تم حذف وحدات هجوم حجب الخدمة (DDoS modules) لصالح آلية مختلفة للعبور عبر شبكات منزلية/مكتبية.

وفق التقرير، أُضيفت آلية تعتمد على (UPnP) لعمل “تعيين منافذ” على جهاز التوجيه (Gateway) عندما تكون هذه الميزة مفعلة. كذلك تم استخدام تقنيات على مستوى نظام التشغيل مثل (Linux epoll) لتسهيل نقل حركة المرور بين اتصال خارجي وخدمة قيادة وسيطرة عن بُعد. هذه التفاصيل تكشف نمطًا معروفًا في سلوك شبكات الروبوتات: استغلال إعدادات الشبكة الضعيفة بدل الاعتماد على بنية خارجية فقط.

وتشير XLab إلى تشابه بنيوي مع شبكات أخرى—مثل (Kimwolf)—التي استخدمت نمطًا مشابهًا يعتمد على (ENS) في قيادة وسيطرة في وقت سابق. هذا التشابه لا يعني بالضرورة نفس المشغل، لكنه يدعم فرضية اعتماد أدوات مشتركة أو “قوالب” تطوير تُعاد صياغتها عبر عائلات متعددة.

هل هذا يعني أن سلاسل الكتل “تجعل الهجوم غير قابل للإيقاف”؟

لا. أحد أهم الدروس في هذا النوع من التقارير هو أن إدخال سجلات أسماء مبنية على سلاسل الكتل لا يلغي إمكانية التعطيل؛ لكنه يغيّر طبيعة التعطيل. ما يزال هناك اعتماد على: سجلات أسماء قابلة للتحديث، وعقد توزيع يمكن الوصول إليها، ومرحلات داخلية قد تُرصد من خلال أنماط الاتصال.

لكن بدلًا من انتظار “نقطة واحدة” لإسقاط الشبكة، تصبح المهمة أقرب إلى تفكيك سلسلة كاملة: أجهزة مصابة، إعدادات شبكة منزلية/مكتبية ضعيفة، مسارات توجيه، وآليات استرجاع ديناميكية لعناوين البنية التحتية.

ما الذي نعرفه عن الانتشار؟ كلمات مرور ضعيفة وثغرات في أجهزة منزلية

تذكر (CNCERT) و(XLab) أن انتشار (Dysphoria) يعتمد على:

• التخمين بكلمات مرور ضعيفة عبر (Telnet) و(SSH) على أجهزة إنترنت الأشياء.
• استغلال ثغرات تنفيذ أوامر عن بُعد في راوترات وبوابات وكاميرات—وهي فئة “أجهزة طرفية” كثيرًا ما تُدار دون تحديثات أمنية منتظمة.

ومن الأمثلة التي وردت في القوائم المنشورة ثغرة (CVE-2025-9528) في جهاز (Linksys E1700) تتعلق بـ (command injection). ورغم أن الباحثين يذكرون وجود مثال مشترك في قوائم الضعف، إلا أنهم لا يشرحون بشكل تفصيلي كيف تنسجم الثغرة تحديدًا داخل سلسلة الانتشار لتلك العائلة. كما أن تقييم (NVD) للثغرة يشير إلى متطلبات صلاحيات أعلى، ما يجعل الربط المباشر يحتاج إلى المزيد من التدقيق.

هذه النقطة تحديدًا تذكّر المدافعين بقاعدة ذهبية: الوجود في قائمة ثغرات لا يثبت “الاعتماد الفعلي” ضمن سلسلة الهجوم. لذلك يجب التعامل مع القوائم كأولوية تحقق، لا كدليل قاطع على كل خطوة.

كيف تقارن هذه الحالة بسابقاتها؟ من (JackSkid) إلى عائلات متعددة

تربط XLab خط النسب بين (Dysphoria) و(JackSkid)، الذي كان أحد أربع شبكات إنترنت أشياء استهدفتها إجراءات إنفاذ قانون منسقة في 19 مارس في الولايات المتحدة وألمانيا وكندا. وتذكر وثائق قضائية أن (JackSkid) وحده نُسبت إليه أكثر من 90 ألف أمر هجمات حجب خدمة موزعة.

بعد تعطيل تلك البنية، تظهر عائلات جديدة أو تتحول عائلة قائمة إلى آليات مختلفة. هذا النمط يتكرر تاريخيًا: عندما تُستهدف البنية التحتية المركزية، تتحول الهجمات إلى أنماط أقل مركزية وأكثر اعتمادًا على “الطبقات” و”الوساطة”.

أين تقف الصناعة اليوم؟ اتجاهات الدفاع: من الاستجابة إلى المنع

توصيات الباحثين تظل عملية ومباشرة، لكنها تحتاج إلى تحويلها إلى برنامج دفاعي متكامل. من بين الإجراءات المذكورة:

• تحديث الأجهزة التي تتعرض للإنترنت وإصلاح التعرضات المكشوفة.
• استبدال الأجهزة التي لم تعد تتلقى تحديثات أمنية.
• إزالة كلمات المرور الافتراضية أو الضعيفة، وتطبيق سياسات كلمات مرور قوية أو الاعتماد على آليات مصادقة أقوى.
• تعطيل إدارة عن بُعد إذا لم تكن ضرورية، وتقليل الاعتماد على (UPnP) خصوصًا في البيئات التي لا تحتاج هذه الميزة.

لكن إذا أردنا ربط هذه الحالة بالاتجاهات الأوسع، فهناك ثلاث نقاط رئيسية:

• سطح الهجوم في إنترنت الأشياء لا يتوقف عند الثغرات؛ بل يمتد إلى إعدادات الشبكة والهوية (Authentication).
• مراقبة سلوك الاتصالات تصبح أهم من مراقبة النطاقات فقط، لأن العناوين قد تتغير ديناميكيًا عبر خدمات تسمية.
• الاستجابة للحوادث تحتاج إلى مسارات “قطع العدوى” وليس فقط “إيقاف الأوامر”.

أطر ومعايير تساعد المدافعين على التنظيم

لتقوية الاستجابة، يمكن الاسترشاد بممارسات معروفة مثل:

• إطار عمل (NIST Cybersecurity Framework) لتنظيم جهود الوقاية والاكتشاف والاستجابة.
• مبدأ (Zero Trust) لتقليل الاعتماد على الشبكات “الموثوقة” داخليًا.
• ممارسات (OWASP) كمرجع عام للحد من المخاطر المرتبطة بالتعرض والخدمات.

هذه الأطر لا تذكر (Dysphoria) تحديدًا، لكنها تساعد على تحويل الدروس إلى سياسات قابلة للتطبيق: جرد الأصول، تقييم التعرض، الضبط، والتوثيق المستمر.

التحذير من الأرقام غير المؤكدة: لماذا يجب الحذر في قراءة “حجم” الشبكة؟

رغم أن التقارير تشير إلى نطاقات واسعة من الأجهزة، إلا أن عدم وجود منهجية عدّ منشورة بالكامل أو عدم إعادة الإنتاج المستقلة يجعل “حجم” الشبكة رقمًا إرشاديًا لا حكمًا نهائيًا. كذلك لم يذكر التقرير ذروة مؤكدة لهجمات (Dysphoria) أو أسماء ضحايا، بينما توجد ادعاءات من المشغل حول سعات تصل إلى تيرا بت في الثانية—وهي ادعاءات تشغيلية قد لا تتطابق مع قياسات مستقلة.

في المقابل، توجد سوابق تثبت أن شبكات مرتبطة بعائلات أخرى حققت هجمات كبيرة؛ إذ أشارت قياسات (Cloudflare) إلى هجوم بلغ 31.4 تيرا بت في الثانية من شبكة (AISURU/Kimwolf) قبل التعطيل في مارس. هذا يوضح أن “القدرة” موجودة في النظام الإيكولوجي، لكن تقدير “قدرة” عائلة بعينها يحتاج تحققًا مستقلًا.

ماذا يجب أن تفعل الجهات الآن؟ خطة عملية لخفض المخاطر خلال 30 إلى 90 يومًا

إذا كانت مؤسستك تشمل أجهزة إنترنت الأشياء أو تعتمد على بوابات منزلية/مكتبية، فهذه خطة مختصرة يمكن البدء بها فورًا:

• جرد سريع: حصر جميع أجهزة إنترنت الأشياء المتصلة بالشبكة، مع تحديد الإصدارات وتاريخ آخر تحديث.
• إزالة الوصول المكشوف: تعطيل (UPnP) وإغلاق المنافذ غير الضرورية، وتقليل الإدارة عن بُعد.
• حماية الهوية: فرض تغيير كلمات المرور الافتراضية، وحظر الوصول عبر (Telnet) إن أمكن، وتقييد (SSH) بمصادقة قوية وقوائم تحكم وصول.
• مراقبة سلوك غير طبيعي: البحث عن محاولات مصادقة فاشلة نمطية، واتصالات متكررة غير معتادة إلى نطاقات/خدمات تسمية.
• استبدال الأجهزة غير المدعومة: أي جهاز لا يتلقى تحديثات أمنية يجب معاملته كخطر دائم.

سؤال للنقاش

إذا كانت شبكات الروبوتات قادرة على الالتفاف على تعطيل خوادم القيادة والسيطرة عبر طبقات مثل خدمات تسمية مبنية على سلاسل الكتل وشبكات مرحلات، فهل يجب أن تتحول جهود الدفاع من “تعقب البنية التحتية” إلى “تحصين كل نقطة وصول” داخل الشبكة—حتى لو كانت منزلية أو بدت غير مهمة؟

شاركنا رأيك: ما الإجراء الأكثر صعوبة لديك في خفض مخاطر إنترنت الأشياء—الجرد، التحديث، ضبط الهوية، أم مراقبة السلوك؟

للمزيد من التحديثات والتحليلات: فيسبوك و إكس.