أعلن مكتب التحقيقات الفيدرالي الأمريكي FBI ووزارة العدل الأمريكية عن تنفيذ عملية واسعة لتعطيل أدوات إلكترونية استخدمتها مجموعة التجسس السيبراني المرتبطة بالصين والمعروفة باسم Flax Typhoon، وذلك عبر الاستيلاء على سبعة نطاقات إلكترونية وإغلاق منصات استُخدمت في عمليات فحص الثغرات واختراق البنية التحتية الحيوية داخل الولايات المتحدة ودول أخرى.
وتأتي هذه الخطوة في إطار تصعيد الجهود الغربية لمواجهة أنشطة التجسس الإلكتروني المدعومة من جهات حكومية، خاصة بعد سنوات من اتهام مجموعات صينية بتنفيذ عمليات اختراق استهدفت قطاعات الطاقة والاتصالات والنقل والتعليم والبنية التحتية الحيوية حول العالم.
وبحسب وزارة العدل الأمريكية، فإن النطاقات المصادرة كانت تشكل جزءاً من منظومة تقنية استخدمتها جهات مرتبطة بمجموعة Flax Typhoon لتحديد الأهداف المحتملة وتنفيذ عمليات استطلاع واختراق إلكتروني ضد مؤسسات حساسة داخل الولايات المتحدة وخارجها.
ما هي مجموعة Flax Typhoon؟
تُعرف مجموعة Flax Typhoon أيضاً بأسماء Ethereal Panda وRedJuliett، وترتبط بشركة Integrity Technology Group ومقرها العاصمة الصينية بكين، وهي شركة سبق أن اتهمتها السلطات الأمريكية والبريطانية بدعم أنشطة التجسس الإلكتروني المرتبطة بالحكومة الصينية.
وكان اسم المجموعة قد برز بقوة خلال السنوات الأخيرة بعد ربطها بشبكة البوت نت الشهيرة Raptor Train التي ضمت مئات الآلاف من الأجهزة المخترقة، بما في ذلك أجهزة إنترنت الأشياء والموجهات المنزلية وأجهزة المراقبة والكاميرات المتصلة بالإنترنت.
وفي سبتمبر 2024، نجحت السلطات الأمريكية في تفكيك شبكة Raptor Train بعد الحصول على أوامر قضائية سمحت بالسيطرة على بنيتها التشغيلية وتعطيل أنظمتها المستخدمة في إدارة الأجهزة المصابة.
وترى الأجهزة الأمنية الغربية أن Flax Typhoon تمثل نموذجاً حديثاً للهجمات السيبرانية المدعومة من شركات خاصة تعمل كمتعهدين لصالح جهات حكومية، ما يوفر مرونة أكبر في تنفيذ العمليات الإلكترونية مع إبقاء مستوى الإنكار الرسمي قائماً.
نطاقات مصادرة وأدوات هجومية متقدمة
شملت العملية الأمنية مصادرة سبعة نطاقات إلكترونية استخدمت في إدارة عمليات الفحص والاستطلاع والهجمات الإلكترونية، من أبرزها c0cc.cc وoutlook3650.com وlinkedinns.net وغيرها من المواقع التي استُخدمت ضمن البنية التحتية للهجمات.
وكشفت وثائق المحكمة الأمريكية أن إحدى أهم الأدوات المستخدمة من قبل المجموعة كانت منصة Microscan، وهي أداة اختبار اختراق تعتمد على لغة Python وتحتوي على أكثر من 1300 برنامج نصي مخصص للكشف عن الثغرات واستغلالها.
وتسمح هذه المنصة بمسح المواقع والخوادم بحثاً عن نقاط ضعف معروفة في أنظمة وبرمجيات واسعة الانتشار مثل WordPress وApache Struts وJenkins وOracle WebLogic وOpenSSL وغيرها.
كما اعتمد المهاجمون على مجموعة من الأدوات مفتوحة المصدر المشهورة في أوساط اختبار الاختراق، من بينها NMAP وMasscan وdirsearch وBBScan وwpscan، بهدف تحديد الأهداف الأكثر عرضة للاختراق.
وتشير الإفادات الأمنية إلى أن هذه الأداة كانت مستخدمة منذ عام 2017 على الأقل، ما يعكس استمرارية البنية الهجومية وتطورها عبر سنوات طويلة.
اختراق بنى تحتية حيوية في عدة دول
بحسب التحقيقات الفيدرالية، استهدفت الأنشطة المرتبطة بالمجموعة عدداً من المؤسسات الحساسة حول العالم، من بينها شركة أمريكية للطاقة في ولاية كارولاينا الجنوبية، ومنظمة دولية غير حكومية، ومطارات في اليابان وبولندا، إضافة إلى شركات تعمل في قطاعات الطاقة والغاز الطبيعي في تايوان.
كما تمكن المحققون من ربط أداة هجومية أخرى تُعرف باسم FishHub بحملة اختراق استهدفت ما لا يقل عن 20 جامعة تايوانية.
وتعمل FishHub من خلال إرسال رسائل تصيد احتيالي موجهة بدقة إلى الضحايا، ثم تثبيت برمجيات خبيثة تمنح المهاجمين وصولاً غير مصرح به إلى الشبكات الداخلية، أو البحث عن ملفات ووثائق محددة وإرسالها إلى خوادم تديرها الجهات المشغلة.
ويرى خبراء الأمن السيبراني أن الجامعات ومراكز البحث أصبحت أهدافاً متزايدة القيمة في حملات التجسس الحديثة بسبب احتوائها على أبحاث متقدمة وبيانات أكاديمية وعلمية حساسة.
استغلال الذكاء الاصطناعي والبوت نت في الهجمات
أكدت الوكالات الأمنية المشاركة في التحذير المشترك أن الجهات المرتبطة بـ Flax Typhoon أصبحت تعتمد على أدوات ذكاء اصطناعي وتقنيات مسح آلية إلى جانب شبكات بوت نت ضخمة لتنفيذ عملياتها.
وأشارت الجهات البريطانية إلى أن استخدام تقنيات الفحص المؤتمت المعززة بالذكاء الاصطناعي يمنح المهاجمين قدرة أكبر على اكتشاف الثغرات بسرعة وتوسيع نطاق الاستهداف بصورة تتجاوز الإمكانات التقليدية للهجمات اليدوية.
كما وثقت التحقيقات اعتماد المجموعة على برنامج SoftEther VPN للبقاء داخل الأنظمة المخترقة لفترات طويلة دون إثارة الشبهات، إضافة إلى استخدام أداة EBurst المتخصصة في تنفيذ هجمات تخمين كلمات المرور ضد بيئات Microsoft 365 وحسابات Exchange.
وبعد الحصول على الوصول الأولي، استخدم المهاجمون أداة تُعرف باسم office-cli للوصول إلى صناديق البريد الإلكتروني داخل بيئات مايكروسوفت السحابية واستخراج البيانات والرسائل الحساسة بطريقة تحاكي الاستخدام الشرعي للخدمات.
شبكات ضخمة من الأجهزة المصابة
كشفت بيانات مكتب التحقيقات الفيدرالي أن خادماً واحداً مرتبطاً بالبنية التشغيلية للمجموعة كان يحتوي على سجلات لأكثر من 1.2 مليون جهاز مصاب حتى يونيو 2024.
ومن بين هذه الأجهزة كان هناك أكثر من 385 ألف جهاز فريد داخل الولايات المتحدة وحدها، بينما بلغ عدد الأجهزة النشطة المصابة في ذلك الوقت أكثر من 260 ألف جهاز، بينها نحو 126 ألف جهاز أمريكي.
وتعكس هذه الأرقام الحجم الضخم للبنية التحتية التي كانت تعتمد عليها المجموعة لتنفيذ عمليات الفحص والهجمات الإلكترونية حول العالم.
وفي سياق متصل، أعلنت وزارة الخارجية الأمريكية عن مكافأة تصل إلى 10 ملايين دولار مقابل معلومات تؤدي إلى تحديد مكان أو هوية المواطن الصيني تشانغ يو المطلوب على خلفية اتهامات تتعلق بهجمات Microsoft Exchange Server الشهيرة عام 2021، وهي القضية المرتبطة بنشاط مجموعة Silk Typhoon المعروفة سابقاً باسم Hafnium.
وتؤكد التطورات الأخيرة أن الصراع السيبراني بين القوى الكبرى بات ينتقل من مرحلة الكشف عن الهجمات إلى مرحلة استهداف البنية التحتية والأدوات والشركات التي توفر الدعم التقني للمجموعات المنفذة، في محاولة لتقليص قدراتها التشغيلية ومنعها من تنفيذ هجمات جديدة ضد المؤسسات الحيوية حول العالم.
