كشف باحثون أمنيون عن واحدة من أكثر هجمات سلسلة التوريد تعقيدًا خلال عام 2026، بعدما تمكن مهاجمون من التلاعب مؤقتًا بخوادم تحديث برنامج النسخ الاحتياطي الشهير AOMEI Backupper، ما سمح لهم بزرع باب خلفي على أجهزة الضحايا خلال نوافذ زمنية قصيرة استمرت بين خمس وعشر دقائق فقط في كل مرة.
ووفقًا لتحليلات أجرتها فرق Google Threat Intelligence Group (GTIG) وMandiant إلى جانب مختبر Threat Analysis Lab التابع لشركة ManageEngine، فقد وقعت عمليات التلاعب بين شهري مايو ويوليو 2026، حيث جرى استبدال ملفات التحديث الشرعية مؤقتًا بإصدارات ضارة. وبمجرد أن يتحقق البرنامج من وجود تحديث أثناء إحدى هذه الفترات القصيرة، يقوم تلقائيًا بتنزيل الحمولة الخبيثة وتشغيلها دون الحاجة إلى أي تفاعل من المستخدم.
كيف نجح المهاجمون في اختراق سلسلة التحديثات؟
يُعد برنامج AOMEI Backupper أحد أشهر أدوات النسخ الاحتياطي واستنساخ الأقراص لأنظمة ويندوز، ويعتمد على آلية تحديث تلقائية تتواصل بشكل دوري مع خوادم الشركة عبر بروتوكول HTTPS للتحقق من توفر تحديثات جديدة أو رسائل ترويجية.
وتعتمد عملية التحديث على ملفين أساسيين هما:
- down_html.ini الذي يحدد حزمة التحديث المطلوب تنزيلها وقيمة التحقق الخاصة بها.
- Notifycfg.ini الذي يتحكم في الإشعارات والعمليات التي يمكن تشغيلها على الجهاز.
المشكلة التي استغلها المهاجمون لم تكن ثغرة برمجية داخل التطبيق نفسه، بل ضعفًا في آلية التحقق من التحديثات. فالبرنامج لا يستخدم توقيعًا رقميًا للتحقق من صحة هذه الملفات، كما أن قيمة التحقق (Checksum) المخزنة بهدف التأكد من سلامة التحديث موجودة داخل الملف نفسه غير الموقّع.
وبذلك لم يكن المهاجم بحاجة إلى استغلال ثغرة أمنية أو خداع المستخدم. كل ما كان عليه فعله هو تعديل الملفين الموجودين على الخادم لفترة وجيزة، ليقوم البرنامج بتنزيل الملفات الضارة وتشغيلها ضمن التدفق الطبيعي للتحديث.
هجوم سريع وصعب الاكتشاف
أكد الباحثون ثلاث فترات رئيسية تم خلالها العبث بخوادم التحديث:
- 28 مايو 2026 لمدة عشر دقائق تقريبًا.
- 16 يوليو 2026 لمدة ست دقائق تقريبًا.
- 20 يوليو 2026 لمدة خمس دقائق تقريبًا.
وتكمن عبقرية الهجوم في أن الملفات الضارة كانت تختفي بعد دقائق معدودة ليعود الخادم إلى تقديم الملفات الأصلية السليمة. ونتيجة لذلك، فإن أي محلل أمني يقوم بفحص الخادم بعد انتهاء الفترة الزمنية سيجد كل شيء طبيعيًا، ما يؤدي إلى اعتبار التنبيهات الأمنية إنذارات كاذبة.
ويصف باحثو GTIG هذا النمط بأنه أحد أقصر هجمات سلسلة التوريد التي تم رصدها على بيئة ويندوز، حيث نجح فعليًا في تجاوز الكثير من أساليب الفحص التقليدية التي تعتمد على التقاط صور ثابتة للملفات في وقت معين.
كما أظهرت بيانات التتبع إصابة مؤسسات تعمل في قطاعات خدمات تقنية المعلومات والاتصالات والتعليم العالي عبر 11 دولة شملت الولايات المتحدة وأستراليا والبرازيل والهند وباكستان والبرتغال وسنغافورة وجنوب أفريقيا وإسبانيا وسويسرا وتركيا، مع ترجيح أن يكون العدد الحقيقي للضحايا أكبر من ذلك.
ماذا حدث بعد إصابة الأجهزة؟
عند تنزيل الحزمة الخبيثة، جرى تشغيل أداة تحميل أولية أطلق عليها الباحثون اسم CROSSROAD.
قامت هذه الأداة بفك ضغط مجموعة من الملفات داخل مجلد محلي مرتبط ببرنامج Radmin، ثم أنشأت مهمة مجدولة تعمل كل ثلاث ساعات قبل أن تحذف نفسها من الجهاز لإخفاء آثارها.
ومن اللافت أن الحزمة احتوت على نسخة أصلية وموقعة رقمياً من برنامج الإدارة عن بُعد Radmin، وهو برنامج تجاري شرعي واسع الاستخدام. غير أن المهاجمين استغلوا وجود البرنامج لتحميل مكتبة ديناميكية خبيثة (DLL) صممت خصيصًا لتنفيذ حمولة أخرى تدعى SHINYROAD.
ويوفر SHINYROAD للمهاجم إمكانات الوصول عن بُعد إلى الجهاز المصاب، بما في ذلك تنفيذ أوامر جديدة وتحميل برمجيات إضافية حسب الحاجة.
كما لاحظ الباحثون لاحقًا نشر أداة أخرى فوق SHINYROAD في بعض الحالات، وهي نسخة معدلة من إطار القيادة والسيطرة مفتوح المصدر Adaptix C2، تمويهًا على أنها برنامج Nitro PDF.
وتشير التحليلات إلى أن أداة CROSSROAD تضمنت آليات انتقائية لتفادي بعض البيئات. إذ كانت تتوقف عن العمل إذا اكتشفت أن الجهاز موجود داخل الصين، كما أظهرت تحليلات ManageEngine أنها تتجنب التنفيذ عند اكتشاف بعض حلول الحماية الأمنية المعروفة.
تسريب بيانات الاعتماد دون تشغيل أي ملف
أحد أكثر جوانب الهجوم إثارة للقلق ظهر خلال نافذة التلاعب التي حدثت في 20 يوليو.
فبدلاً من الاعتماد فقط على البرمجيات الخبيثة، عدّل المهاجمون ملف الإشعارات ليعرض نافذة منبثقة غير مرئية بحجم بكسل واحد فقط، ترتبط بملف مستضاف على خادم خارجي باستخدام بروتوكول WebDAV.
وعند معالجة هذه النافذة من قبل نظام ويندوز، يمكن أن يُرسل الجهاز تلقائيًا استجابة المصادقة NetNTLMv2 الخاصة بالمستخدم الحالي إلى خادم المهاجم. ويمكن استغلال هذه البيانات لاحقًا في محاولات كسر كلمات المرور أو إعادة استخدام بيانات الاعتماد في هجمات أخرى.
وما يجعل هذا الأسلوب خطيرًا هو أنه لا يتطلب تشغيل أي برنامج ضار على الإطلاق، ما يعني أن بعض الأنظمة ربما سربت بيانات اعتمادها حتى لو نجحت حلول الحماية في منع تثبيت الباب الخلفي.
ردود الفعل والتحذيرات الحالية
أفادت شركة AOMEI للباحثين بأنها اتخذت إجراءات لتأمين الخوادم بحلول أواخر يوليو 2026. ومع ذلك يؤكد الباحثون أن معالجة الخوادم لا تعني إزالة البرمجيات الخبيثة من الأجهزة التي أصيبت بالفعل.
وتزداد صعوبة الكشف عن الإصابات لأن أداة CROSSROAD كانت تعيد ملفات التحديث المحلية إلى حالتها الأصلية بعد تنفيذ الهجوم، ما يجعل النظام يبدو طبيعيًا عند الفحص السطحي.
لذلك أوصى الباحثون المؤسسات التي تستخدم منتجات AOMEI بمراجعة السجلات والشواهد الرقمية خلال الفترة الممتدة من أبريل إلى يوليو 2026، وعدم الاكتفاء بفحص خوادم الشركة أو صفحات التنزيل الحالية.
كما دعوا مسؤولي الأمن إلى البحث عن المهام المجدولة المشبوهة مثل RadminComponentRuntime وNitroRuntime، وفحص أي ملفات تشغيل غير موقعة داخل مجلدات البرنامج، إلى جانب مراقبة محاولات الاتصال بالبنية التحتية التي استخدمها المهاجمون وفرض قيود إضافية على اتصالات SMB وWebDAV الخارجية.
وتسلط هذه الحادثة الضوء على تحدٍ متنامٍ في عالم الأمن السيبراني، يتمثل في اعتماد المؤسسات المتزايد على سلاسل التوريد البرمجية. فحتى عندما لا يحتوي البرنامج على ثغرات أمنية، فإن اختراق منظومة التحديثات وحدها قد يحول أي تطبيق موثوق إلى قناة توزيع فعالة للبرمجيات الخبيثة خلال دقائق معدودة.
