- استغل المهاجمون عيوب خطيرة في برنامج النسخ الاحتياطي AhsayCBS لاختراق خوادم النسخ الاحتياطي الخاصة بالمؤسسات
- نشرت عمليات التطفل أغطية الويب وأدوات تعدين العملات المشفرة XMRig المقنعة من أجل الثبات والتخفي
- يحث الباحثون على التصحيح الفوري، وتقييد الوصول، وإعادة تصوير النظام بالكامل في حالة تعرضه للخطر
وفي عملية اختراق جريئة بشكل خاص، شوهدت جهات التهديد تستهدف الخوادم التي تستخدمها الشركات كنسخ احتياطية في حالة وقوع هجوم إلكتروني.
تم تخفيف نقاط الضعف المستخدمة في هذا الهجوم منذ ذلك الحين، ولكن بما أن الهجوم مستمر حاليًا، فإن المؤسسات التي تستخدم هذا الهجوم تحديدًا طريقة النسخ الاحتياطي ونحثهم على تطبيق الإصلاحات على الفور وتأمين أماكن عملهم.
أداة النسخ الاحتياطي AhsayCBS
في قلب هذه الحادثة توجد أداة نسخ احتياطي تسمى Ahsay Cloud Backup Suite (أو AhsayCBS)، وهي منصة لإدارة النسخ الاحتياطي قائمة على الخادم تم تطويرها من قبل شركة تحمل نفس الاسم، ومقرها في هونغ كونغ.
تستخدمها الشركات ومقدمو الخدمات المُدارة (MSP) ومسؤولو تكنولوجيا المعلومات لإدارة النسخ الاحتياطية لأجهزتهم وعملائهم عبر مجموعة من الخوادم الافتراضية والمادية وقواعد البيانات وبيئات البرامج المختلفة، مع الأداة المستخدمة على نطاق واسع من قبل موفري خدمات تكنولوجيا المعلومات لإدارة بيانات عملائهم.
الباحثين الأمنيين الصيادة وأشار إلى أنه في 4 أكتوبر 2026، تم الكشف علنًا عن عيبين في AhsayCBS: CVE-2026-105113، و CVE-2026-105134. الأولى هي ثغرة أمنية متوسطة الخطورة تؤثر على وظيفة checkSysPwd ، ويمكن أن تؤدي إلى مصادقة غير صحيحة. يعد الأخير عيبًا خطيرًا يؤثر على مكون جهاز استقبال النسخ المتماثل، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بعد غير مصادق عليها مثل NT AUTHORITY/SYSTEM على المضيف.
وأوضح الباحثون أن “واجهة برمجة التطبيقات (API) تحتوي على تجاوز للمصادقة يمكن أن يسمح لرمز عشوائي باستبدال بيانات الاعتماد الصالحة”. “بعد الاستغلال، قام أحد ممثلي التهديد بتكوين جهاز استقبال ضار وإسقاط webshell لصفحة خادم Java (JSP) في دليل التطبيق الذي يخدمه تطبيق CBS.”
وبعد ثلاثة أيام فقط، بدأت جهات التهديد في استغلال هذه الأخطاء – الأولى لتجاوز المصادقة، والثانية لتنفيذ التعليمات البرمجية ونشر أغطية الويب على الأنظمة المكشوفة. كانت أغطية الويب بمثابة قطارات، حيث نشرت مجموعة من الملفات التنفيذية للمرحلة الثانية.
التعدين التشفير
وشهدت Huntress أيضًا قيام الجهات الفاعلة في مجال التهديد بنشر أداة تشفير مشهورة تسمى XMRig. هذا هو عامل تعدين شرعي مفتوح المصدر يستخدم أجهزة الكمبيوتر والكهرباء والإنترنت لتعدين عملة Monero وإيداعها لدى المهاجمين. محافظ.
Monero هي العملة المفضلة لتعدين العملات المشفرة غير المرغوب فيها نظرًا لأنها مصممة لتكون عملة ذات خصوصية أولية ومن الصعب جدًا تتبعها عبر blockchain.
لقد بذل المهاجمون قصارى جهدهم لإخفاء XMRig على خوادم النسخ الاحتياطي هذه. لقد تنكروا في زي أ مايكروسوفت عملية Edge وتثبيتها كخدمات تحديث Edge وهمية. كما تأكدوا من إخفائه عندما نظر شخص ما.
يقوم البرنامج النصي (الذي كتبه الذكاء الاصطناعي على ما يبدو) بإيقاف تشغيل المُعدن عند فتح مدير المهام. سيغلق نفس البرنامج النصي إدارة المهام بعد ساعة. يُنظر إلى النسخ الاحتياطية على أنها واحدة من أقوى وسائل الحماية ضد هجمات برامج الفدية. تنصح جميع مؤسسات الأمن السيبراني وقادة الفكر تقريبًا المؤسسات بنشر النسخ الاحتياطية وصيانتها والتحكم فيها بشكل متكرر، للتأكد من أنها ليست قديمة أو تالفة. إن حقيقة إمكانية اختراقها بسهولة نسبية يجب أن تكون مدعاة للقلق. يمكن للشركات التي تعرضت للهجوم أن تعتبر نفسها محظوظة لأنها أصيبت بعدوى XMRig فقط وليس برنامج تشفير كامل لبرامج الفدية. ومع ذلك، اعتبارًا من 8 أكتوبر، تم استهداف خمس منظمات على الأقل بالفعل، حسبما قالت هانتريس. لذلك، من الضروري أن تقوم جميع المؤسسات التي تستخدم AhsayCBS بتطبيق التصحيح المقدم في أسرع وقت ممكن. وقيل إن جميع إصدارات الأداة المساعدة، حتى 10.3.4، تأثرت.
إلى جانب تطبيق الإصلاح، يجب على المؤسسات أيضًا تقييد الوصول إلى الويب لواجهة إدارة AhsayCBS ، نظرًا لأن الاستغلال يستهدف خدمة تطبيق الويب الخارجية التي يمكن الوصول إليها على المضيف. يقول Huntress: “يجب أن يقتصر الوصول على عناوين IP الموثوقة فقط أو يتطلب VPN”. “إذا تم الكشف عن أي من IoCs المدرجة في هذه المدونة، فيجب على الشركات إجراء إعادة صورة كاملة للمضيف من نسخة احتياطية موثوقة؛ حيث تمكن المهاجمون من إخفاء الأبواب الخلفية الثانوية لتحقيق استمرارية ممتدة.”
أفضل برامج مكافحة الفيروسات لجميع الميزانيات
اتبع TechRadar على أخبار جوجل و أضفنا كمصدر مفضل للحصول على أخبار الخبراء والمراجعات والآراء في خلاصاتك.
