كشفت شركة الأمن السيبراني Dream عن تفاصيل عملية اختراق متقدمة استهدفت عشرات الخوادم حول العالم، في واحدة من أبرز الهجمات التي تجمع بين استغلال الثغرات الأمنية وتقنيات الذكاء الاصطناعي في تنفيذ عمليات اختراق واسعة النطاق. وأسفرت الحملة عن السيطرة الكاملة على 25 خادمًا، من بينها ثلاثة أنظمة مرتبطة بجهة حكومية أمريكية، بعد استغلال سلسلة هجومية جمعت بين ثغرات PHP2Shell وثغرة لتصعيد الصلاحيات داخل نواة Linux.
وتسلط الواقعة الضوء على مرحلة جديدة من التهديدات السيبرانية، حيث لم يعد الذكاء الاصطناعي مجرد أداة مساعدة في التحليل أو البرمجة، بل أصبح عنصرًا عمليًا ضمن دورة الهجوم الإلكتروني، بدءًا من جمع الأهداف وحتى تطوير أدوات الاستغلال وإدارة عمليات الاختراق.
سلسلة هجومية تربط PHP2Shell بنواة Linux
بحسب التحقيقات، بدأت العملية في 25 أكتوبر 2026 عندما استخدم المهاجمون ثغرتي PHP2Shell المعروفتين بالرمزين CVE-2026-109618 وCVE-2026-109619، واللتين تسمحان بتنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى مصادقة مسبقة، ودرجة خطورتهما 9.2 من 10.
لكن الوصول الأولي لم يكن الهدف النهائي للهجوم، إذ تم دمج هاتين الثغرتين مع ثغرة أخرى في نواة Linux تحمل المعرف CVE-2026-46300 والمعروفة باسم Fragnesia، وهي ثغرة تصعيد صلاحيات محلية تتيح للمهاجم الانتقال من صلاحيات محدودة إلى صلاحيات Root الكاملة على النظام المستهدف.
وأوضحت Dream أن النسخة المستخدمة من استغلال PHP2Shell لم تكن نسخة عامة متداولة بين الباحثين أو المهاجمين، بل نسخة مخصصة ومطورة خصيصًا لاستهداف منصة جدار ناري تابعة لأحد الموردين الكبار، الذي لم يُكشف عن اسمه رسميًا.
استهداف خوادم في الولايات المتحدة وآسيا
تشير الأدلة الجنائية الرقمية إلى أن المهاجم بدأ العملية باستخدام محرك البحث الأمني FOFA لتحديد نحو 19 ألف جهاز جدار ناري مكشوف على الإنترنت حول العالم.
وبعد إجراء عمليات مسح وتحديد للإصدارات البرمجية، تمكن المهاجم من تقليص القائمة إلى نحو خمسة آلاف جهاز متصل تستجيب بطلبات تحديد الإصدار.
ثم جرى تضييق نطاق الاستهداف ليشمل المؤسسات الموجودة في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية، مع التركيز على الأجهزة التي تعمل بإصدارات حديثة من البرمجيات تستخدم PHP 8.0.30.
وفي نهاية عملية الفرز انخفض عدد الأهداف إلى 240 نظامًا فقط اعتُبرت مناسبة لسلسلة الاستغلال المستخدمة.
وبعد تشغيل أدوات الاستغلال المؤتمتة، نجحت العملية في الحصول على صلاحيات Root على 24 خادمًا خلال المرحلة الأولى، قبل إضافة خادم خامس وعشرين لاحقًا أثناء التوسع داخل إحدى الشبكات المستهدفة.
اختراق بيئة مرتبطة بالحكومة الأمريكية
أخطر ما كشفته التحقيقات هو نجاح المهاجمين في الوصول إلى أنظمة تابعة لبيئة مرتبطة بجهة حكومية أمريكية.
وأوضحت Dream أن اثنين من الخوادم المخترقة تم تحديدهما على أنهما يتبعان لتلك البيئة. وقد تعطل أحدهما بعد فترة قصيرة من اختراقه ولم يعد متاحًا، بينما نجح المهاجم في إعادة تنفيذ الهجوم ضد نظام ثانٍ بشكل منفصل والحصول على سيطرة كاملة عليه.
وبعد ذلك استخدم المهاجم الخادم المخترق لإنشاء نفق Reverse SSH دائم يربط الشبكة الداخلية ببنيته التحتية الخارجية.
ومن خلال هذا النفق تمكن من الوصول إلى خادم ثالث لإدارة الجدران النارية داخل البيئة الحكومية، وهو نظام لم يكن متاحًا مباشرة عبر الإنترنت، بل أصبح قابلًا للوصول فقط بعد السيطرة على الجهاز الأولي.
هذا التطور منح المهاجم وجودًا مستمرًا داخل الشبكة الداخلية وفتح المجال أمام عمليات استطلاع إضافية وتحركات جانبية نحو أنظمة أكثر حساسية.
استهداف Active Directory وسرقة بيانات الاعتماد
بعد تثبيت موطئ القدم داخل البيئة المستهدفة، انتقل المهاجم إلى مهاجمة خدمات Active Directory.
ورصد المحققون محاولات لفك تشفير كلمات مرور حسابات LDAP الخاصة بالخدمات، إلى جانب تنفيذ عمليات استعراض شاملة للمستخدمين والمجموعات والبنية الداخلية للدليل النشط.
كما كشفت الأدلة عن محاولات لتنفيذ هجمات Password Spraying عبر استخدام كلمات مرور مرتبطة باسم المؤسسة المستهدفة ضد حسابات المستخدمين المختلفة.
وتضمنت الأنشطة كذلك محاولات إنشاء حسابات خلفية داخل Active Directory بهدف الحفاظ على الوصول الدائم حتى في حال اكتشاف عمليات الاختراق الأصلية.
ورغم عدم تأكيد نجاح هذه المحاولات بشكل كامل، فإن الباحثين أكدوا أن حجم البيانات المتاحة لا يسمح حتى الآن بتحديد النطاق النهائي للاختراق.
مؤشرات على استخدام الذكاء الاصطناعي
واحدة من أكثر النقاط إثارة للاهتمام في التقرير تتمثل في الأدلة التي تشير إلى استخدام أدوات ذكاء اصطناعي خلال مراحل الهجوم المختلفة.
فقد عثرت Dream داخل البنية التشغيلية للمهاجمين على تثبيت لأداة Claude Code المطورة من شركة Anthropic، بالإضافة إلى مفاتيح API خاصة بخدمة FOFA ومنصة هجومية مدعومة بالذكاء الاصطناعي تدعى aiscan.
وأظهرت المنصة اعتمادًا على نماذج لغوية كبيرة مقدمة من DeepSeek وKimi.
كما لاحظ الباحثون أن بنية الأكواد البرمجية وطريقة كتابة التعليقات البرمجية ومستوى الاتساق بين ما يقرب من 40 برنامجًا نصيًا مختلفًا تحمل مؤشرات واضحة على مساهمة الذكاء الاصطناعي في عملية التطوير.
ومع أن التقرير لم يجزم بأن الذكاء الاصطناعي نفذ الهجوم بصورة مستقلة، فإنه أكد وجود دلائل قوية على استخدامه لتسريع تطوير الأدوات وتحسين كفاءة العمليات الهجومية.
دلالات استخباراتية أوسع
يرى باحثو Dream أن اختيار الولايات المتحدة واليابان وتايوان وكوريا الجنوبية كأهداف رئيسية ليس أمرًا عشوائيًا، بل يتوافق مع قائمة الأولويات الاستخباراتية المعتادة للعمليات السيبرانية المرتبطة بالصين في منطقة المحيط الهادئ.
كما حذر التقرير من أن الخطر لا يقتصر على الخوادم الخمسة والعشرين التي تعرضت للاختراق بالفعل، إذ ما زال لدى المهاجم قاعدة بيانات تضم نحو 19 ألف جهاز جرى تحديد بصمتها التقنية، ويمكن إعادة استهدافها مستقبلًا مع تطوير إصدارات جديدة من أدوات الاستغلال.
وتؤكد هذه الواقعة أن واجهات الإدارة المكشوفة على الإنترنت أصبحت تمثل أحد أخطر نقاط الدخول إلى البنية التحتية المؤسسية، خاصة عندما تتصل بأنظمة إدارة الهوية والدليل النشط، وهو ما يمنح المهاجمين فرصة للانتقال بسرعة من اختراق جهاز واحد إلى السيطرة على أجزاء واسعة من الشبكات المستهدفة.
