كشف باحثو الأمن السيبراني عن تفاصيل حملة تجسس إلكتروني واسعة استهدفت عدة مؤسسات أمنية باكستانية بين فبراير 2024 وأبريل 2026، تورطت فيها جهات تهديد مرتبطة بكل من الصين والهند. في شرطة بلوشستان، شملت الأصول المخترقة خوادم تستضيف تطبيقات ويب لإدارة بيانات حساسة مثل السجلات الجنائية والبيومترية، بالإضافة إلى سجلات الفنادق والمستأجرين المرتبطة بالهوية الوطنية.
أحد التطبيقات المستهدفة كان نظام إدارة الشكاوى (CMS)، الذي يخدم الموظفين والمواطنين على حد سواء، ما وسّع دائرة الخطر لتشمل مستخدمي المنصة من الطرفين.
أدوات التجسس والجهات المتورطة
رصدت شركة SentinelOne أربعة مجموعات تهديد مختلفة، كل منها استخدم عائلة برمجيات خبيثة مميزة:
- PlugX
- ShadowPad
- Cobalt Strike
- Remcos RAT
استخدام PlugX وShadowPad يرتبط تقليديًا بجهات تهديد صينية، بينما ارتبطت أنشطة Remcos RAT بجهات هندية مثل مجموعة Mysterious Elephant التي تشترك في البنية التحتية مع مجموعات مثل SideWinder وConfucius وBitter. أما نشاط Cobalt Strike فقد امتد إلى مؤسسات حكومية وأكاديمية واتصالات في آسيا والشرق الأوسط وأمريكا الجنوبية، وهو ما يعزز فرضية ارتباطه بجهات صينية أيضًا.
أساليب الاختراق
الهجمات اعتمدت على مستندات خادعة مرتبطة بعمليات إنفاذ القانون في باكستان، مثل خطط إعادة الأجانب غير الشرعيين بما في ذلك حاملي بطاقة المواطن الأفغاني (ACC). في حالة شرطة بلوشستان، تم تحميل نسختين من ملف خبيث باسم cms_plugin.exe على موقع النظام:
- نسخة بلغة Rust تعمل كـ”stager” لتحميل حمولة إضافية من خادم خارجي، وتعرض رسالة مزيفة “Update Complete! Please refresh the page”.
- نسخة بلغة .NET تتنكر كملف شرعي (360Safe.exe) لتشغيل عميل AsyncRAT.
كما تم اختراق أجهزة الشبكة وخوادم البريد مثل Fortinet FortiMail، ما جعل البنية التحتية الأمنية عرضة للتلاعب والاختراق.
الأبعاد الجيوسياسية
اللافت أن هذه الحملة شهدت تقاطعًا بين جهات تهديد من دولتين تُعتبران في آن واحد “شريكًا وعدوًا” لباكستان، وهو ما يعكس القيمة الاستخباراتية العالية لهذه المؤسسات الأمنية. فاستهداف أنظمة الشرطة يعني الوصول إلى صورة الدولة الداخلية عن التهديدات وكيفية التعامل معها، وهو ما يجعلها هدفًا جذابًا لجهات التجسس السيبراني.
تحويل بوابة الشكاوى إلى منصة لنشر البرمجيات الخبيثة يضيف بعدًا خطيرًا، إذ لم يعد الخطر مقتصرًا على البنية التحتية الداخلية، بل امتد ليشمل المواطنين الذين يستخدمون النظام يوميًا، ما يحول أداة يفترض أنها تعزز الشفافية والمساءلة إلى وسيلة لنشر البرمجيات الضارة.
