في تطور جديد يسلط الضوء على تصاعد الهجمات السيبرانية المرتبطة بالصين، كشفت شركة الأمن السيبراني “بروف بوينت” عن حملة خبيثة استهدفت أقسام الفيزياء والهندسة في جامعات أميركية وكندية، عبر استغلال ثغرات خطيرة في برنامج البريد الإلكتروني مفتوح المصدر “راوندكيوب”. هذه الحملة، التي بدأت في مايو 2026، تحمل بصمات مجموعة تهديد ناشئة أطلقت عليها الشركة اسم UNK_MassTraction.
استغلال ثغرات حرجة في راوندكيوب
اعتمد المهاجمون على ثغرات أمنية مصنفة بالحرجة مثل CVE-2024-42009 (بمعدل خطورة 9.3)، والتي تسمح بتنفيذ تعليمات برمجية بمجرد فتح البريد الإلكتروني داخل واجهة راوندكيوب. هذا النوع من الهجمات لا يتطلب من الضحية سوى قراءة الرسالة، ليتمكن المهاجم من الوصول إلى الخادم وسرقة بيانات الاعتماد. وقد أظهرت التحقيقات أن الأقسام المستهدفة كانت تستخدم نسخاً غير محدثة من البرنامج، ما جعلها عرضة للاستغلال.
أدوات الهجوم وسلسلة العدوى
بعد نجاح الاستغلال الأولي، يقوم المهاجمون بزرع حمولة خبيثة تحمل اسم IceCube، مصممة لسرقة كلمات المرور، بيانات التحقق الثنائي (2FA)، وملفات تعريف الارتباط. كما تنفذ الحمولة عمليات استطلاع لجمع معلومات إضافية مثل لغة المتصفح وحجم الشاشة. لاحقاً، تستغل IceCube ثغرة ثانية أكثر خطورة هي CVE-2025-49113 (بمعدل خطورة 9.9)، لزرع أدوات وصول مستمرة مثل VShell أو SquareShell، وهي أدوات تتيح تنفيذ أوامر عن بُعد والتحكم الكامل بالخادم. وفي حال فشل زرع SquareShell، يتم اللجوء إلى آلية بديلة عبر سكربت خبيث يحمّل أداة SNOWLIGHT، المرتبطة سابقاً بمجموعات صينية مثل UNC5174.
خلفيات ودلالات الحملة
تؤكد “بروف بوينت” أن هذه هي المرة الأولى التي يتم فيها ربط مجموعة صينية باستغلال ثغرات راوندكيوب، والتي كانت تقليدياً مجالاً للهجمات الروسية. ويشير الباحثون إلى أن المهاجمين أظهروا مستوى عالياً من النضج في استخدام ثغرات “N-day” وأدوات متقدمة، ما يعكس خبرة طويلة في تطوير سلاسل عدوى معقدة يصعب اكتشافها. كما أن استهداف أقسام الفيزياء والهندسة، خصوصاً تلك المرتبطة بالأمن القومي أو أبحاث الفيزياء الفلكية والجسيمات، يثير تساؤلات حول الأهداف الاستخباراتية الكامنة وراء هذه الحملة، إذ يبدو أن المهاجمين يسعون لاستخدام خوادم البريد كنقاط ارتكاز للتسلل إلى شبكات أوسع.
توصيات أمنية للمؤسسات الأكاديمية
يشدد الخبراء على ضرورة أن تولي الجامعات والمؤسسات البحثية اهتماماً أكبر بتأمين خوادم البريد الإلكتروني، باعتبارها بوابات رئيسية يمكن استغلالها مثلها مثل أجهزة الشبكات أو مراكز النفاذ البعيد. ويُنصح بتطبيق التحديثات الأمنية بشكل فوري، وتفعيل سياسات حماية البريد مثل DMARC، إضافة إلى استخدام أنظمة كشف التسلل وجدران حماية التطبيقات لمنع استغلال الثغرات المعروفة. الحملة الأخيرة تعد تذكيراً صارخاً بأن البريد الإلكتروني ليس مجرد وسيلة تواصل، بل قد يتحول إلى نقطة ضعف استراتيجية إذا لم تتم حمايته بشكل كافٍ.
كلمات مفتاحية:, , الأمن السيبراني, الجامعات الأميركية, الجامعات الكندية, ثغرات CVE, VShell, SquareShell, SNOWLIGHT, Proofpoint, UNK_MassTraction, اختراق البريد الإلكتروني, الفيزياء والهندسة, الأمن القومي
