في تطور جديد يبرز تسارع وتيرة الهجمات السيبرانية واستغلال الثغرات الأمنية قبل أن تتاح الفرصة الكافية لمعالجتها، كشفت شركة “Huntress” المتخصصة في الأمن السيبراني عن حملة هجومية استهدفت أداة النسخ الاحتياطي AhsayCBS، حيث تمكن مهاجمون مجهولون من استغلال ثغرتين أمنيتين حديثتي الكشف للسيطرة على الأجهزة المصابة ونشر قواقع ويب وبرمجيات تعدين عملات رقمية من نوع XMRig.
تفاصيل الثغرتين المستغلتين
تتعلق الثغرة الأولى بالمعرف CVE-2026-105133، وهي ثغرة مصادقة غير سليمة في الدالة checkSysPwd() داخل المكون “com/ahsay/obs/api/ApiStructsAction.java”، وحصلت على تقييم 5.5 وفق نظام CVSS v4. أما الثغرة الثانية فتحمل المعرف CVE-2026-105134، وتصنف كثقرة حقن أوامر في نظام التشغيل ضمن مكون “مستقبل النسخ المتماثل” (Replication Receiver)، وحصلت على تقييم خطير بلغ 9.3. ويمكن للمهاجم عن بُعد أن يربط بين الثغرتين لتجاوز المصادقة وتنفيذ أوامر عشوائية على الأنظمة المصابة.
ومن الجدير بالذكر أن معرفات الثغرتين لم تُنشر في قاعدة بيانات الثغرات الوطنية (NVD) إلا في الرابع من أكتوبر 2026، وهو ما يعني أن النافذة الزمنية بين الإفصاح عن الثغرات وبدء استغلالها كانت ضيقة للغاية، مما يمنح المهاجمين أفضلية واضحة على فرق الدفاع السيبراني.
بدء الاستغلال وتوسع رقعة الضحايا
وفقاً لما أوردته “Huntress”، بدأت محاولات استغلال الثغرتين في السابع من أكتوبر 2026 عند الساعة 11:20 مساءً بتوقيت غرينتش، حيث قام مهاجمون لم تُحدد هويتهم بتوظيف الثغرتين لتحقيق تنفيذ شيفرة عن بُعد على الأجهزة المستهدفة. وبحلول الثامن من أكتوبر 2026، قُدر عدد المؤسسات الخمس التي تعرضت للاستهداف بأنها تأثرت بهذه الثغرات.
وأوضحت الشركة أن المهاجمين، بعد نجاح الاستغلال، شرعوا في تنفيذ عمليات استطلاع لجمع المعلومات، وإسقاط قواقع ويب، وزرع برمجيات تعدين XMRig متنكرة في هيئة متصفح مايكروسوفت إيدج. كما أسقطوا ما يبدو أنه نص برمجي PowerShell مُعزز بالذكاء الاصطناعي يراقب مدير المهام في ويندوز ويقوم بإغلاقه إذا بقي مفتوحاً لفترة طويلة في منتصف الليل.
تمويه برمجيات التعدين ومراوغة أدوات المراقبة
اعتمد المهاجمون أسلوباً متطوراً في التمويه، حيث استخدمت برمجيات التعدين اسم “edge.exe” للتنكر في هيئة متصفح مايكروسوفت إيدج وتجنب اكتشافها. كما أسقطوا نصاً برمجياً يُدعى “Taskgmr.ps1” يعمل على تسهيل عمليات التعدين بعد تشغيله عبر أداة curl.
ويُشتبه في أن هذا النص البرمجي كُتب بمساعدة أداة ذكاء اصطناعي، إذ يتضمن فحوصات مضادة للتحليل توقف نشاط التعدين بمجرد فتح الضحية لتطبيق مدير المهام في ويندوز. كما أنه مُهيأ لإنهاء مدير المهام عند الساعة السادسة مساءً إذا بقي مفتوحاً لأكثر من ساعة خلال الليل. ويكشف هذا السلوك عن مستوى متقدم من التخطيط والوعي بأساليب التحقيق الجنائي الرقمي التي قد يتبعها المحللون الأمنيون.
ثغرات يوم الصفر وتضارب المعلومات
على الرغم من أن التنبيهات المنشورة في قاعدة بيانات الثغرات الوطنية أشارت إلى معالجة المشكلتين في الإصدار الأحدث من البرنامج (10.3.4)، فقد كشفت “Huntress” لاحقاً أن هذا الإصدار نفسه لا يزال متأثراً بالثغرتين، مما يحولهما فعلياً إلى ثغرات يوم الصفر. ويعد هذا التناقض بين ما تعلنه قواعد البيانات الرسمية وما يكتشفه الباحثون الأمنيون ميدانياً من أبرز التحديات التي تواجه المؤسسات في تقييم مدى تعرضها للمخاطر.
استغلال برامج مشروعة لتحقيق أهداف خبيثة
في حادثة واحدة على الأقل، يُقال إن المهاجمين استخدموا الملف التنفيذي المدمج “certutil.exe” لتنزيل برنامج تشغيل مشروع لكنه مصاب بثغرة يُدعى “WinRing0x64.sys” إلى مجلد TEMP، وذلك على الأرجح بهدف الحصول على وصول على مستوى النواة إلى العتاد الأساسي وتحسين عملية التعدين. ويعكس هذا التكتيك اتجاهاً متزايداً لدى المهاجمين نحو استغلال الأدوات المشروعة المدمجة في نظام التشغيل لتقليل فرص الاكتشاف وتجاوز آليات الحماية التقليدية.
توصيات عاجلة في غياب الترقيع الفعال
في ظل غياب ترقيع فعلي، يوصي الخبراء المستخدمين بتقييد الوصول إلى واجهة الإدارة والبحث عن مؤشرات الاختراق. وقالت “Huntress” إنه ينبغي على المؤسسات تقييد الوصول عبر الويب إلى واجهة إدارة AhsayCBS، نظراً لأن الاستغلال يستهدف خدمة تطبيق الويب المتاحة خارجياً على المضيف. وأضافت أنه يجب حصر الوصول في عناوين IP موثوقة فقط أو اشتراط استخدام شبكة افتراضية خاصة (VPN). وتشكل هذه التوصيات خط الدفاع الأول في غياب حل جذري، لكنها تظل إجراءات مؤقتة لا تغني عن التحديث العاجل بمجرد صدور ترقيع فعال.
تحديثات متلاحقة ومخاوف من توسع أوسع
أبلغت “Huntress” موقع “The Hacker News” بأنها رصدت حادثة إضافية واحدة تتضمن التقنيات ذاتها، لكن لا يوجد دليل على نشاط استغلال أوسع حتى الآن. ويبقى السؤال مطروحاً حول ما إذا كانت هذه الحملة مجرد موجة أولية تسبق تصعيداً أكبر، أم أنها اقتصرت على أهداف محددة. وفي كل الأحوال، فإن السرعة القياسية التي انتقل بها المهاجمون من نشر الثغرات إلى استغلالها الفعلي تفرض على المؤسسات إعادة النظر في استراتيجياتها الدفاعية واعتماد نهج استباقي يقوم على المراقبة المستمرة وتقييد سطح الهجوم.
