مجموعة قرصنة مرتبطة بالصين تخترق أجهزة راوتر من "سيسكو"

كشفت شركة متخصصة في الاستجابة للحوادث السيبرانية عن حملة تجسس إلكتروني متطورة تستهدف أجهزة الشبكات والبنية التحتية التي تعتمد عليها المؤسسات الكبرى، مع استخدام أجهزة توجيه "سيسكو" المخترقة للتنصت على حركة البيانات وسرقة بيانات الاعتماد والتلاعب بسجلات الأمان لإخفاء آثار المهاجمين.

وتتبع شركة Sygnia الجهة المسؤولة عن الحملة تحت اسم Fire Ant، مشيرة إلى أن نشاطها توسع من استهداف بيئات المحاكاة الافتراضية VMware إلى أجهزة التوجيه العاملة بنظام Cisco IOS XR، وخوادم المصادقة TACACS، وأجهزة إدارة الشبكات التي تعمل بنظام لينكس.

وبحسب الشركة، فإن المجموعة استخدمت الأجهزة المخترقة كنقاط مراقبة داخل الشبكات، ما منحها القدرة على التقاط حركة المرور، وجمع بيانات الدخول، وتعطيل سجلات الأحداث والبيانات التي يعتمد عليها مسؤولو الأمن لتتبع الهجمات والتحقيق فيها.

السيطرة على الراوتر تمنح القراصنة رؤية للشبكة

لم تقتصر أهداف Fire Ant على الوصول إلى الشبكات، إذ أتاحت السيطرة على أجهزة التوجيه للمهاجمين مراقبة البيانات التي تمر عبر مسارات موثوقة داخل البنية التحتية.

وقالت "Sygnia" إن التحقيق أظهر أن المجموعة استخدمت هذا الوصول لاستكشاف طرق تقود إلى بيئات ذات قيمة عالية، بما فيها بنية تحتية حيوية، إلا أن النشاط المرصود تجاه تلك الشبكات اقتصر على عمليات مسح ومحاولات اتصال، من دون وجود دليل مؤكد على اختراقها.

وقالت الشركة: "عندما يسيطر المهاجم على أجهزة التوجيه، فإنه لا يحصل فقط على إمكانية الوصول، بل يحصل أيضاً على الرؤية".

وترى "Sygnia" أن أسلوب Fire Ant يتداخل بدرجة كبيرة مع ما نُشر سابقاً عن مجموعة التجسس الصينية UNC3886، المعروفة باستهداف منصات المحاكاة الافتراضية وأجهزة الشبكات الطرفية، لكنها أكدت عدم وجود أدلة كافية لإسناد الحملة بشكل قاطع إلى هذه المجموعة.

نفق خفي كشف بداية الاختراق

بدأ التحقيق بعد اكتشاف أمر غير معتاد على أحد أجهزة Cisco IOS XR، حيث ظهرت واجهة لنفق GRE من دون وجود إعدادات تشغيلية أو سجل تغييرات يفسر كيفية إنشائها.

ولم تتمكن "Sygnia" من تحديد الطريقة التي استخدمها المهاجمون للوصول إلى جهاز التوجيه في البداية.

لكن تتبع النفق قاد المحققين إلى نظام لينكس قديم، استخدمته Fire Ant لتنفيذ محاولات اتصال متكررة وفحص منافذ على أنظمة متصلة بالشبكة، بما في ذلك منافذ SSH وHTTP وSMB وRDP.

وأظهرت التحقيقات أن البرمجيات الخبيثة المستخدمة على الراوتر صُممت خصيصاً للعمل داخل طبقة التحكم في أجهزة IOS XR، بدلاً من كونها برمجية لينكس عامة.

برمجية تخفي سجلات المهاجمين

استخدمت المجموعة أحد مكوناتها الخبيثة لتعديل مكتبة نظام على جهاز التوجيه، بحيث تفحص كل رسالة سجل صادرة بحثاً عن كلمة Health، ولا تسمح بتمريرها إلا إذا احتوت عليها.

كما عدّل مكون آخر آلية تنفيذ الأوامر على الجهاز لإضافة عامل تصفية إلى أوامر العرض، بهدف إخفاء إعدادات نفق المهاجمين عندما يقوم مسؤولو الشبكة بفحص الجهاز.

وبذلك لم تكتفِ Fire Ant بالسيطرة على جهاز التوجيه، بل حاولت أيضاً منع مسؤولي الأمن من اكتشاف التغييرات التي أجرتها عليه.

أجهزة "سيسكو" تحولت إلى أدوات للتجسس

استغلت المجموعة أجهزة التوجيه المخترقة لالتقاط حزم البيانات PCAP من عدة أجهزة "سيسكو"، ثم نقلت هذه البيانات إلى خوادم FTP خارجية.

وأشارت "Sygnia" إلى أن أحد خوادم FTP المستخدمة في العملية بدا وكأنه تم تثبيته في اليوم نفسه الذي بدأت فيه عمليات رفع البيانات إليه.

وهذا النوع من الوصول يمنح المهاجمين قدرة كبيرة على مراقبة الاتصالات الداخلية، وربما استخراج بيانات اعتماد أو معلومات حساسة تمر عبر الشبكة.

سرقة كلمات المرور من خوادم TACACS

لم تتوقف الحملة عند أجهزة التوجيه، إذ اكتشف الباحثون على أحد خوادم TACACS مجموعة أدوات لسرقة بيانات الاعتماد أطلقت عليها "Sygnia" اسم TacTap.

واستخدم المهاجمون أداة تُعرف باسم acppid لتحميل مكتبة خبيثة داخل عملية المصادقة tac_plus قيد التشغيل.

وبعد ذلك اعترضت المكتبة الاتصالات الجديدة، ونقلت جلسات المستخدمين النشطة إلى عملية أخرى عبر قناة اتصال محلية، ما أتاح للمهاجمين جمع بيانات الاعتماد أثناء عمليات المصادقة.

وحُفظت بيانات الدخول المسروقة في ملف مخفي داخل /var/log/، مع استخدام تشفير بسيط يعتمد على مفتاح XOR أحادي البايت.

وقالت "Sygnia" إن تقنية حقن المكتبة هذه داخل tac_plus لم توثق علناً من قبل بهذه الطريقة، ما يجعلها تطوراً ملحوظاً في أساليب Fire Ant لجمع بيانات الاعتماد من خوادم TACACS.

باب خلفي يتخفى في صورة أداة مراقبة

اكتشفت "Sygnia" أيضاً برمجية خبيثة جديدة لنظام لينكس أطلقت عليها اسم BridgeAgent، وتم نشرها على جهاز متصل بالنفق.

وتظاهرت البرمجية بأنها وكيل مراقبة تابع لمنصة Zabbix، بينما أنشأت آلية تشغيل دائمة عبر خدمة systemd باسم zabbix_agent.service مع صلاحيات root.

كما أخفت عمليتها تحت اسم /usr/bin/gnome-shell، وتواصلت مع البنية التحتية للمهاجمين عبر اتصال TLS على المنفذ 443 للحصول على أوامر وتنفيذ تعليمات لفتح جلسات تحكم عكسية.

وعلى أجهزة إدارة لينكس، استخدمت المجموعة أيضاً أدوات مثل Medusa وREPTILE، إلى جانب أبواب خلفية مخصصة لSSH وملفات تمت إعادة تسميتها وتعديل تواريخها لتبدو وكأنها مكونات تابعة لبرمجيات الحماية SentinelOne وCybereason.

وبعض هذه المكونات زُرع منذ عام 2025، ثم أعادت المجموعة استخدامها لتنفيذ عمليات مباشرة خلال عام 2026.

المهاجمون لم يسرقوا البيانات فقط.. بل حاولوا محو الأدلة

من أخطر جوانب الحملة أن Fire Ant عملت بشكل متعمد على إخفاء الأدلة التي يمكن أن تكشف نشاطها.

وشملت الإجراءات تعطيل أو قمع سجلات أجهزة التوجيه، وتنبيهات SNMP، وطلبات المصادقة، إلى جانب تعطيل SELinux على أجهزة لينكس، والتلاعب بسجلات تاريخ تسجيل الدخول، وحذف سجلات الأوامر التي نفذها المستخدمون ذوو الصلاحيات العالية.

وقالت "Sygnia" إن أجهزة التوجيه وخوادم TACACS ومنصات المحاكاة الافتراضية وأجهزة القفز إلى الشبكات Jump Hosts يجب التعامل معها باعتبارها أصولاً جنائية رقمية أساسية عند التحقيق في الاختراقات.

وحذرت الشركة من الاعتماد على مصدر واحد للبيانات أثناء التحقيق، داعية إلى مقارنة السجلات مع الأدلة المستخرجة من الذاكرة والأقراص وحركة الشبكة وعمليات المصادقة وإعدادات الأجهزة.

وتتزامن هذه الحملة مع نشاط مشابه نسبته هيئة الأمن السيبراني والبنية التحتية الأميركية CISA وشركاؤها في أغسطس 2025 إلى مجموعة Salt Typhoon، التي استهدفت أيضاً أجهزة التوجيه لالتقاط بيانات الشبكة وسرقة بيانات اعتماد مسؤولي الأنظمة في شبكات الاتصالات.

وتشير التطورات إلى أن أجهزة التوجيه والبنية التحتية الإدارية أصبحت هدفاً استراتيجياً متزايد الأهمية لجماعات التجسس الإلكتروني، لأنها لا تمنح المهاجمين منفذاً إلى الشبكة فحسب، بل توفر لهم أيضاً قدرة واسعة على مراقبة ما يحدث داخلها وإخفاء تحركاتهم في الوقت نفسه.