كشفت شركة الاستجابة للحوادث السيبرانية Sygnia عن حملة تجسس إلكتروني متطورة استهدفت البنية التحتية للشبكات في مؤسسات كبرى، واعتمدت خلالها المجموعة المعروفة باسم Fire Ant على اختراق أجهزة راوتر سيسكو لمراقبة حركة البيانات وسرقة بيانات الاعتماد والتلاعب بسجلات الأمان بهدف إخفاء أنشطتها.

وتتبعت Sygnia نشاط Fire Ant، التي ربطت أساليبها بحملات سابقة مرتبطة بالتجسس الإلكتروني الصيني، مشيرة إلى توسع عمليات المجموعة من بيئات المحاكاة الافتراضية VMware إلى أجهزة التوجيه التي تعمل بنظام Cisco IOS XR، وخوادم المصادقة TACACS، وأجهزة إدارة الشبكات العاملة بنظام لينكس.

واستخدم المهاجمون الأجهزة المخترقة كنقاط مراقبة داخل الشبكات، ما منحهم القدرة على التقاط حركة المرور وجمع بيانات تسجيل الدخول وتعطيل سجلات الأحداث التي يعتمد عليها مسؤولو الأمن في اكتشاف الهجمات والتحقيق فيها.

أجهزة راوتر سيسكو تمنح المهاجمين رؤية واسعة للشبكة

استفادت Fire Ant من السيطرة على أجهزة التوجيه لمراقبة البيانات التي تمر عبر مسارات موثوقة داخل البنية التحتية، ولم تكتفِ بالحصول على موطئ قدم داخل الشبكات.

وأوضحت Sygnia أن التحقيقات كشفت استخدام المجموعة لهذا الوصول في استكشاف مسارات تقود إلى بيئات عالية القيمة، بينها بنية تحتية حيوية، إلا أن النشاط المرصود تجاه هذه الشبكات اقتصر على عمليات مسح ومحاولات اتصال، ولم يجد المحققون دليلًا مؤكدًا على اختراقها.

وترى Sygnia أن السيطرة على أجهزة التوجيه تمنح المهاجم قدرة تتجاوز مجرد الوصول إلى الشبكة، لأنها توفر له رؤية واسعة لحركة البيانات والاتصالات التي تمر عبرها.

كما وجدت الشركة تشابهًا كبيرًا بين أساليب Fire Ant وما نُشر سابقًا عن مجموعة التجسس الصينية UNC3886، التي استهدفت منصات المحاكاة الافتراضية وأجهزة الشبكات الطرفية، لكنها لم تجد أدلة كافية تسمح بإسناد الحملة إليها بشكل قاطع.

نفق GRE يكشف بداية التحقيق

بدأت Sygnia التحقيق بعد العثور على أمر غير معتاد داخل أحد أجهزة Cisco IOS XR، إذ اكتشف الباحثون واجهة لنفق GRE من دون إعدادات تشغيلية أو سجل تغييرات يوضح سبب إنشائها.

ولم يتمكن المحققون من تحديد الطريقة التي استخدمتها Fire Ant للوصول إلى جهاز التوجيه في البداية.

لكن تتبع النفق قاد الفريق إلى نظام لينكس قديم استخدمته المجموعة لإجراء محاولات اتصال متكررة وفحص منافذ على أنظمة متصلة بالشبكة، بما فيها SSH وHTTP وSMB وRDP.

وكشفت التحقيقات أن البرمجية الخبيثة التي استخدمتها المجموعة على جهاز التوجيه صممت خصيصًا للعمل داخل طبقة التحكم في أجهزة IOS XR، بدلًا من الاعتماد على برمجية لينكس عامة.

مجموعة قرصنة صينية تستهدف أجهزة راوتر سيسكو لسرقة كلمات المرور وإخفاء آثارها

برمجية خبيثة تتلاعب بسجلات الأجهزة

استخدمت Fire Ant أحد مكوناتها الخبيثة لتعديل مكتبة نظام على جهاز التوجيه، بحيث تفحص رسائل السجل الصادرة وتتعامل معها وفق شروط محددة لإخفاء النشاط غير المرغوب فيه.

كما عدّل مكون آخر آلية تنفيذ الأوامر على الجهاز، وأضاف عامل تصفية إلى أوامر العرض حتى يخفي إعدادات نفق المهاجمين عندما يفحص مسؤولو الشبكة الجهاز.

وساعدت هذه الأساليب المجموعة على الحفاظ على وجودها داخل الشبكة وتقليل فرص اكتشاف التغييرات التي أجرتها على أجهزة راوتر سيسكو.

أجهزة التوجيه تتحول إلى أدوات تجسس

استخدمت Fire Ant أجهزة التوجيه المخترقة لالتقاط حزم البيانات PCAP من عدة أجهزة سيسكو، ثم نقلت البيانات إلى خوادم FTP خارجية.

ولاحظت Sygnia أن أحد خوادم FTP المستخدمة في العملية ظهر في اليوم نفسه الذي بدأت فيه عمليات رفع البيانات إليه.

ويمنح هذا النوع من الوصول المهاجمين قدرة واسعة على مراقبة الاتصالات الداخلية، مع إمكانية الحصول على بيانات اعتماد أو معلومات حساسة تمر عبر الشبكة.

وتزيد خطورة اختراق أجهزة راوتر سيسكو عندما يستخدم المهاجم الجهاز كنقطة مراقبة بدلًا من الاكتفاء باستغلاله للوصول إلى أنظمة أخرى.

• تصميم كاميرات iPhone Ultra يظهر في تسريب جديد قبل الإطلاق المرتقب
• آبل تركز على الأداء وتؤجل التصميم الجديد لـ Apple Watch

سرقة بيانات الاعتماد من خوادم TACACS

امتدت الحملة إلى خوادم TACACS، حيث عثر الباحثون على مجموعة أدوات لسرقة بيانات الاعتماد أطلقت عليها Sygnia اسم TacTap.

واستخدم المهاجمون أداة تحمل اسم acppid لتحميل مكتبة خبيثة داخل عملية المصادقة tac_plus التي تعمل على الخادم.

واعترضت المكتبة الاتصالات الجديدة، ونقلت جلسات المستخدمين النشطة إلى عملية أخرى عبر قناة اتصال محلية، ما سمح للمهاجمين بجمع بيانات الاعتماد أثناء عمليات المصادقة.

وخزنت المجموعة بيانات الدخول المسروقة داخل ملف مخفي في المسار /var/log/، واستخدمت تشفير XOR بمفتاح من بايت واحد.

وأشارت Sygnia إلى أن الباحثين لم يوثقوا سابقًا تقنية حقن المكتبة داخل tac_plus بهذه الطريقة، ما يجعلها من الأساليب اللافتة في حملة Fire Ant لسرقة بيانات الاعتماد.

باب خلفي يتنكر في صورة أداة مراقبة

اكتشفت Sygnia كذلك برمجية خبيثة جديدة لنظام لينكس أطلقت عليها اسم BridgeAgent، ووجدتها على جهاز متصل بالنفق.

تنكرت البرمجية في صورة وكيل مراقبة تابع لمنصة Zabbix، وأنشأت آلية تشغيل دائمة عبر خدمة systemd تحمل اسم zabbix_agent.service وتعمل بصلاحيات root.

كما أخفت المجموعة العملية تحت اسم /usr/bin/gnome-shell، وربطتها بالبنية التحتية للمهاجمين عبر اتصال TLS على المنفذ 443 للحصول على أوامر وتنفيذ تعليمات تفتح جلسات تحكم عكسية.

وعلى أجهزة إدارة لينكس، استخدمت المجموعة أدوات مثل Medusa وREPTILE، إلى جانب أبواب خلفية مخصصة لـSSH وملفات أعادت تسميتها وعدّلت تواريخها حتى تبدو كأنها مكونات تابعة لبرمجيات الحماية SentinelOne وCybereason.

وأشارت Sygnia إلى أن بعض هذه المكونات ظهر منذ عام 2025، قبل أن تعيد المجموعة استخدامها لتنفيذ عمليات مباشرة خلال عام 2026.

• استهلاك AI Credits في Figma أصبح أوضح: ملف CSV جديد يساعد الفرق على ضبط تكاليف الذكاء الاصطناعي

Fire Ant تحاول محو آثار الاختراق

لم تركز Fire Ant على سرقة البيانات والوصول إلى الأنظمة فقط، بل اتبعت أساليب متعمدة لتقليل الأدلة التي يمكن أن تكشف نشاطها.

وشملت هذه الأساليب تعطيل أو قمع سجلات أجهزة التوجيه وتنبيهات SNMP وطلبات المصادقة، إلى جانب تعطيل SELinux على أجهزة لينكس والتلاعب بسجلات تاريخ تسجيل الدخول وحذف سجلات الأوامر التي نفذها المستخدمون أصحاب الصلاحيات المرتفعة.

وترى Sygnia أن أجهزة التوجيه وخوادم TACACS ومنصات المحاكاة الافتراضية وأجهزة القفز إلى الشبكات Jump Hosts تمثل أصولًا رقمية مهمة عند التحقيق في الاختراقات.

كما أوصت الشركة بعدم الاعتماد على مصدر واحد للبيانات خلال التحقيق، وبدلًا من ذلك مقارنة سجلات الأنظمة مع الأدلة المستخرجة من الذاكرة والأقراص وحركة الشبكة وعمليات المصادقة وإعدادات الأجهزة.

تشابه مع هجمات استهدفت أجهزة الشبكات

تزامنت هذه الحملة مع نشاط مشابه نسبته هيئة الأمن السيبراني والبنية التحتية الأميركية CISA وشركاؤها في أغسطس 2025 إلى مجموعة Salt Typhoon.

واستهدفت تلك المجموعة أيضًا أجهزة التوجيه بهدف التقاط بيانات الشبكة وسرقة بيانات اعتماد مسؤولي الأنظمة في شبكات الاتصالات.

وتكشف هذه التطورات عن تحول أجهزة الشبكات والبنية التحتية الإدارية إلى أهداف استراتيجية مهمة لجماعات التجسس الإلكتروني، لأنها تمنح المهاجمين قدرة على مراقبة حركة البيانات داخل الشبكة، والوصول إلى معلومات حساسة، وإخفاء تحركاتهم في الوقت نفسه.

وتزداد أهمية حماية أجهزة راوتر سيسكو وغيرها من مكونات البنية التحتية للشبكات، خصوصًا مع اعتماد المؤسسات على هذه الأجهزة في إدارة الاتصالات وربط الأنظمة والخدمات الحيوية.