كشفت شركة VulnCheck عن رصد محاولات استغلال إلكترونية استهدفت عدة ثغرات معروفة في تطبيقات وخوادم مستخدمة على نطاق واسع، وذلك من خلال عناوين إنترنت ظهرت سابقًا ضمن التحذيرات الصادرة بشأن أنشطة مجموعة التهديدات المرتبطة بالصين والمعروفة باسم Flax Typhoon.
وتأتي هذه النتائج بعد أسابيع من إعلان مكتب التحقيقات الفيدرالي الأمريكي ووزارة العدل الأمريكية عن تعطيل أدوات هجومية مرتبطة بالمجموعة، شملت أدوات استخدمت في عمليات الاستطلاع الأمني ومسح الثغرات، إلى جانب منصات استُخدمت لتنفيذ هجمات التصيد الاحتيالي ونشر برمجيات إضافية داخل الشبكات المستهدفة. وقد اعتبرت تلك العملية ضربة مهمة للبنية التشغيلية للمجموعة التي تُتهم بتنفيذ حملات تجسس إلكتروني طويلة الأمد.
خمس ثغرات رئيسية تحت الاستهداف
في تنبيه لاحق، أوضحت VulnCheck أنها رصدت محاولات استغلال استهدفت خمس ثغرات أمنية معروفة في عدد من المنصات والتطبيقات الشائعة. وشملت الهجمات ثغرة PHPUnit المسجلة تحت الرقم CVE-2017-9841، وثغرة XWiki المسجلة تحت الرقم CVE-2025-24893، وثغرة Apache HTTP Server رقم CVE-2021-41773، وثغرة PHP-CGI رقم CVE-2024-4577، إضافة إلى ثغرة ThinkPHP رقم CVE-2022-47945.
ووفقًا للشركة، صدرت محاولات الاستغلال من ثلاثة عناوين إنترنت رئيسية تقع في هونغ كونغ وتايوان، وهي مناطق كثيرًا ما تظهر في تحقيقات التهديدات السيبرانية المرتبطة بجهات متقدمة تستهدف مؤسسات حكومية وتجارية حول العالم.
ولا يعني ظهور عناوين الإنترنت في دولة أو منطقة معينة بالضرورة أن المهاجمين موجودون فعليًا فيها، إذ تُستخدم الخوادم الوسيطة والبنى التحتية المستأجرة بشكل متكرر لإخفاء المصدر الحقيقي للهجمات. ومع ذلك، تنظر جهات الاستخبارات السيبرانية عادة إلى هذه المؤشرات باعتبارها جزءًا من صورة أوسع تساعد على ربط الأنشطة ببعضها بعضًا.
استهداف دول متعددة ونشر أبواب خلفية
بحسب نتائج التحليل، انطلقت الهجمات من عنوان إنترنت موجود في هونغ كونغ ضد أهداف في المكسيك والمملكة المتحدة وماليزيا، بينما استهدفت عناوين الإنترنت الموجودة في تايوان أهدافًا داخل الهند.
وأشارت الشركة إلى أن استغلال ثغرة XWiki عبر العناوين المرتبطة بتايوان أدى إلى نشر قذائف عكسية “Reverse Shells”، وهي أدوات تمنح المهاجمين إمكانية إنشاء قناة تحكم عن بُعد داخل الأنظمة المخترقة والسيطرة عليها بعد نجاح الاستغلال الأولي.
ويُعد استخدام القذائف العكسية مؤشرًا على انتقال المهاجمين من مرحلة الاستطلاع وجمع المعلومات إلى مرحلة ترسيخ الوجود داخل الشبكات المستهدفة. وغالبًا ما تشكل هذه الأدوات نقطة الانطلاق لتنفيذ عمليات أكثر تعقيدًا تشمل سرقة البيانات أو التحرك الجانبي داخل الشبكات أو تثبيت برمجيات إضافية.
كما كشفت النتائج أن عنوان الإنترنت الموجود في هونغ كونغ لا يرتبط فقط بمحاولات استغلال الثغرات، بل تم تصنيفه ضمن عائلة شبكات البوت نت المعروفة باسم RedTail، وهي شبكة خبيثة ارتبط اسمها سابقًا بعمليات اختراق واستغلال أنظمة مكشوفة على الإنترنت.
علاقة محتملة بتحذيرات Flax Typhoon
تكمن أهمية التقرير في أن عناوين الإنترنت التي رُصدت خلال عمليات الاستغلال ظهرت سابقًا ضمن التحذير الأمني المرتبط بمجموعة Flax Typhoon. وقد أوضحت السلطات الأمريكية أن أدوات مثل Microscan استُخدمت في أعمال الاستطلاع ومسح الثغرات، بينما استخدمت أداة FishHub في تنفيذ هجمات التصيد الاحتيالي وتوصيل البرمجيات الخبيثة إلى الضحايا.
ورغم أن التقرير لم يعلن بشكل قاطع أن جميع الهجمات المرصودة نُفذت مباشرة بواسطة المجموعة نفسها، فإن تداخل البنية التحتية المستخدمة مع عناوين ظهرت في تحذيرات سابقة يعزز اهتمام الباحثين الأمنيين بمتابعة هذه الأنشطة ومراقبة أي تصعيد محتمل.
ويعكس هذا التطور اتجاهًا متزايدًا في مشهد التهديدات السيبرانية العالمي، حيث تواصل جهات التهديد المتقدمة استغلال ثغرات معروفة ومكشوفة بدلًا من الاعتماد دائمًا على ثغرات يوم الصفر المكلفة والمعقدة. وتُظهر هذه الحوادث أن تأخير عمليات التحديث الأمني يبقى من أبرز الأسباب التي تسمح للمهاجمين بالوصول إلى الأنظمة، حتى عندما تكون الثغرات معروفة ومتاحة لها تصحيحات أمنية منذ فترات طويلة.
تزايد المخاطر على الأنظمة المكشوفة للإنترنت
يسلط التقرير الضوء أيضًا على استمرار استهداف المنصات مفتوحة المصدر وخوادم الويب وأطر تطوير التطبيقات التي تعتمد عليها آلاف المؤسسات حول العالم. فمنتجات مثل XWiki وApache HTTP Server وThinkPHP وPHP-CGI تُستخدم على نطاق واسع في بيئات الأعمال والخدمات الرقمية، ما يجعلها أهدافًا جذابة للمهاجمين الباحثين عن نقاط دخول واسعة الانتشار.
ويحذر خبراء الأمن السيبراني من أن الجمع بين عمليات المسح واسعة النطاق، واستغلال الثغرات المعروفة، ونشر أدوات التحكم عن بُعد، يمكن أن يوفر للمهاجمين قدرة كبيرة على بناء شبكات اختراق طويلة الأمد قبل اكتشافها. كما يؤكد ذلك أهمية تطبيق برامج إدارة الثغرات الأمنية، وتحديث الأنظمة باستمرار، ومراقبة مؤشرات الاختراق المرتبطة بالقذائف العكسية والبوت نتات الحديثة.
