كشفت شركة BeyondTrust وشركة Google Mandiant عن استغلال مجموعة تجسس سيبراني مرتبطة بالصين تُعرف باسم Armory Castle، والمعروفة سابقًا بالاسمين UNC5221 وWarp Panda، لثغرة يوم الصفر حرجة في منصة BeyondTrust Remote Support، ما أتاح للمهاجمين السيطرة الكاملة على خوادم الدعم الفني عن بُعد واستخدامها كنقطة انطلاق لاختراق الأنظمة الداخلية التابعة للضحايا.
وتسلط الحادثة الضوء على استمرار توجه مجموعات التجسس المدعومة من الدول نحو استهداف أنظمة الإدارة والدعم الفني المركزية، نظرًا لما توفره من وصول واسع إلى البنية التحتية والشبكات الداخلية للمؤسسات الحكومية والتجارية ومزودي الخدمات.
ووفقًا للمعلومات المنشورة، فقد استُخدمت الثغرة فعليًا باعتبارها ثغرة يوم صفر في أغسطس 2026 قبل اكتشافها ومعالجتها رسميًا، وهي واحدة من أحدث حلقات الهجمات التي تستهدف منصات الوصول والإدارة عن بُعد المستخدمة في المؤسسات الكبرى.
ثغرة حرجة سمحت بالتحكم في خوادم الدعم
تحمل الثغرة المعرف CVE-2026-102764 وحصلت على درجة خطورة 9.3 من 10، ما يضعها ضمن فئة الثغرات الحرجة.
وأوضحت BeyondTrust أن الخلل يعود إلى ضعف في التحقق من مصدر الرسائل داخل أحد المكونات الداخلية للنظام، حيث لم تكن بعض الوحدات تتحقق بصورة كافية من موثوقية الرسائل الواردة إليها.
وبحسب الشركة، يمكن لمهاجم عن بُعد في ظروف معينة استغلال هذا الخلل لتنفيذ عمليات على الملفات داخل الجهاز المستهدف، بما يشمل إنشاء ملفات أو تعديلها أو حذفها، وهو ما يوفر نقطة انطلاق للحصول على سيطرة أوسع على المنصة.
وقد أعلنت BeyondTrust أن جميع عملاء الخدمة السحابية SaaS حصلوا على التحديثات الأمنية تلقائيًا حتى 9 أكتوبر 2026، بينما طُلب من العملاء الذين يديرون المنصة محليًا تحديث أنظمتهم يدويًا إلى التصحيح الأمني BT26-05-RS.
هجوم موجه بدأ قبل الإعلان عن الثغرة
بحسب الجدول الزمني الذي نشرته الشركة، جرى استغلال الثغرة لأول مرة في 29 أغسطس 2026 ضد جهاز واحد يعمل بإصدار محلي من BeyondTrust Remote Support.
وبعد نحو شهر، وتحديدًا في 27 سبتمبر، دفعت حوادث عامة استهدفت مزودًا أمنيًا آخر الشركة إلى توسيع عملية التحقيق والبحث عن مؤشرات اختراق مشابهة داخل بيئات العملاء.
وأظهرت التحقيقات أن الجهة المنفذة هي مجموعة Armory Castle، وهي جهة تجسس إلكتروني معروفة باستغلال ثغرات يوم الصفر ضد أجهزة الحماية والوصول البعيد.
وكانت المجموعة قد ارتبطت خلال السنوات الماضية باستغلال ثغرات خطيرة في:
- Citrix NetScaler.
- Ivanti Connect Secure.
- عدد من بوابات الوصول المؤسسي وأجهزة أمن الشبكات.
وتركز عملياتها عادة على جمع المعلومات الاستخباراتية طويلة الأمد داخل الحكومات والمؤسسات التقنية ومزودي الخدمات السحابية وشركات الاستعانة بمصادر خارجية.
زرع باب خلفي خفيف للحصول على وصول دائم
أشارت شركة Mandiant إلى أن المهاجمين نشروا بعد نجاح الاختراق بابًا خلفيًا مكتوبًا بلغة PHP يحمل اسم SAWFLY.
وتعمل هذه الأداة كواجهة وصول تفاعلي عن بُعد تسمح بتنفيذ الأوامر وإرسال البيانات واستقبالها عبر قنوات اتصال مشفرة ثنائية الاتجاه.
كما استخدمت المجموعة خوادم VPN تجارية وأجهزة توجيه منزلية مخترقة لإخفاء مصدر الاتصالات ودمج نشاطها داخل حركة المرور الاعتيادية على الإنترنت.
ومن خلال SAWFLY تمكن المهاجمون من:
- رفع الامتيازات داخل النظام.
- الحصول على صلاحيات إدارية كاملة.
- إنشاء آليات بقاء واستمرارية تستمر حتى بعد إعادة تشغيل الأجهزة.
- تنفيذ عمليات استطلاع موسعة داخل البيئات المستهدفة.
السيطرة على أسرار النظام والتحرك داخل الشبكات
أظهرت التحقيقات أن المهاجمين ركزوا بصورة خاصة على سرقة بيانات الاعتماد والمعلومات السرية المخزنة داخل المنصة.
ومن بين العمليات التي نُفذت بعد الاختراق:
- الوصول إلى قاعدة إدارة الأسرار الخاصة بالنظام لاستخراج كلمات المرور ومفاتيح API وبيانات اعتماد الأجهزة.
- استهداف قوالب التهيئة الداخلية للحصول على امتيازات root دون الحاجة إلى كلمة مرور.
- استغلال حسابات المسؤولين المخترقة لإجراء جلسات دعم عن بُعد نحو أجهزة أخرى داخل الشبكة.
- تنزيل وثائق داخلية حساسة واستخراجها لأغراض الاستطلاع.
كما استخدمت المجموعة قائمة Jump Items داخل منصة BeyondTrust للوصول إلى الأنظمة المرتبطة مسبقًا بخوادم الدعم الفني، وهو ما منحها قدرة واسعة على الحركة الجانبية داخل بيئات الضحايا.
أداة مخصصة لإخفاء الاتصالات
رصد الباحثون أيضًا استخدام أداة مخصصة تدعى BARECLAW، وهي نفق اتصالات SOCKS5 مكتوب بلغة C يتيح تمرير الاتصالات الشبكية عبر جهاز BeyondTrust المخترق.
ولضمان استمرار الوصول الخارجي إلى الأداة، قام المهاجمون بتعديل ملف الإعدادات الخاص بخدمة HAProxy بحيث تصبح القناة الخلفية متاحة مباشرة من الإنترنت.
كما بذلت المجموعة جهودًا كبيرة لإخفاء آثارها، وشملت الإجراءات:
- حذف سجلات النظام.
- إزالة سجلات خوادم الويب.
- مسح سجلات التطبيقات.
- تعطيل بعض مؤشرات المراقبة التي يمكن أن تكشف النشاط الخبيث.
الذكاء الاصطناعي يدخل مشهد استغلال الثغرات
من الملاحظات اللافتة في التقرير تقييم BeyondTrust لسلوك المجموعة، إذ رجحت الشركة أن المهاجمين يحتفظون بنماذج تشغيل وتحليل خاصة بالمنتجات المستهدفة ضمن بيئات ذكاء اصطناعي تساعدهم على تطوير سلاسل استغلال جديدة بصورة مستمرة.
وترى الشركة أن المجموعة تعتمد استراتيجية تتمثل في استغلال ثغرات يوم الصفر ضد أهداف محددة وعالية القيمة أولًا، ثم الانتقال لاحقًا إلى استغلال واسع النطاق بمجرد كشف الثغرة علنًا وتأخر المؤسسات في تطبيق التحديثات الأمنية.
ويؤكد هذا النهج استمرار التحول في مشهد التهديدات السيبرانية نحو استخدام أدوات تحليل آلي متقدمة لتسريع اكتشاف الثغرات وتطوير أدوات الاستغلال، خاصة لدى المجموعات المرتبطة بالتجسس الحكومي.
وفي ضوء النتائج التي توصلت إليها التحقيقات، توصي BeyondTrust وMandiant باعتبار أي جهاز كان معرضًا للإنترنت ويعمل بإصدار متأثر خلال فترة الاستغلال هدفًا محتملاً للاختراق، حتى في حال تطبيق التحديثات الأمنية لاحقًا، مع ضرورة إجراء مراجعة جنائية شاملة للأنظمة للتحقق من عدم وجود آثار أو آليات بقاء خلفية ما تزال نشطة.
