في خطوة استباقية مهمة، أعلن مكتب التحقيقات الفيدرالي (FBI) عن نجاحه في تعطيل سبعة نطاقات كانت تستخدمها مجموعة القرصنة الصينية التي تُعرف باسم Flax Typhoon. هذه المجموعة، المرتبطة بشركة Integrity Technology Group الصينية، استهدفت البنية التحتية الحيوية ومنظمات أخرى حول العالم بأدوات قرصنة متطورة.
تفكيك أدوات القرصنة الرئيسية
استغل قراصنة Flax Typhoon منصتين رئيسيتين لهجماتهم: MicroScan وFishHub. MicroScan هي منصة لفحص الثغرات طوّرتها Integrity Tech، وتستخدم أكثر من 1300 نص برمجي لاختبار الاختراق مكتوبة بلغة Python، بهدف تحديد نقاط الضعف الأمنية في الشبكات المستهدفة. وقد استخدمت هذه المنصة جنبًا إلى جنب مع شبكة روبوتات Mirai لمسح الأهداف المحتملة.
المنصة الثانية، FishHub، كانت تستخدم لشن هجمات التصيد الاحتيالي الموجهة (spear-phishing) وتوصيل برامج ضارة إضافية إلى الشبكات التي تم اختراقها بالفعل. سمحت هذه البرامج الضارة للمهاجمين بالوصول غير المصرح به عن بعد إلى شبكات الضحايا والبحث عن ملفات محددة وسحب البيانات إلى خوادم يتحكم فيها قراصنة Integrity Tech.
الأهداف وثغرات الاستغلال
استهدفت هذه الهجمات قطاعات واسعة تشمل البنية التحتية الحيوية في الولايات المتحدة وبلدان أخرى، بالإضافة إلى وكالات حكومية أمريكية، وشركات تصنيع حيوية، والرعاية الصحية، وتكنولوجيا المعلومات، ومؤسسات تعليمية، ومنظمات دينية. من بين الأهداف المذكورة كانت شركة طاقة في ساوث كارولينا، ومطارات في اليابان وبولندا، وشركات غاز طبيعي وكهرباء تايوانية، وجامعات.
استغل القراصنة ثغرات معروفة في برمجيات شائعة مثل Oracle WebLogic، وApache Struts، وWordPress، وJenkins، وغيرها. وقد تم تحديد ثماني ثغرات أمنية استهدفت بشكل متكرر:
- CVE-2015-3306: ProFTPD
- CVE-2015-5477: ISC BIND
- CVE-2016-3081: Apache Struts
- CVE-2021-3199: ONLYOFFICE DocumentServer
- CVE-2023-22894: Strapi
- CVE-2014-6278: GNU Bash (Shellshock)
- CVE-2019-11510: Pulse Secure VPN
- CVE-2021-22205: GitLab
كما استخدم المهاجمون أداة EBurst مفتوحة المصدر لشن هجمات رش كلمات المرور ضد خوادم Microsoft Exchange، بالإضافة إلى أدوات أخرى لسرقة رسائل البريد الإلكتروني وجمع بيانات اعتماد Active Directory وسحب البيانات.
ما الذي يعنيه هذا للمطورين والمصممين؟
بالنسبة للمطورين ومسؤولي الأنظمة، فإن هذا التطور يؤكد مجددًا على أهمية الصيانة الأمنية المستمرة. نرى أن تحديث الأنظمة والبرمجيات بشكل دوري لسد الثغرات المعروفة أمر لا غنى عنه، خاصة تلك التي تستغل في هجمات مماثلة. تفعيل المصادقة متعددة العوامل (MFA) على جميع الخدمات ضروري للغاية لتعزيز الحماية ضد هجمات التصيد الاحتيالي، كما يجب مراجعة الخدمات المكشوفة غير الضرورية وتعطيلها لتقليل سطح الهجوم.
لقد أصدر الـFBI وCISA وNSA وشركاء دوليون إرشادات أمنية مشتركة تحتوي على مؤشرات اختراق (IoCs) لمساعدة المؤسسات على تحديد أي عمليات تسلل محتملة. برأينا، فإن مراجعة هذه المؤشرات وتطبيقها يمثل خطوة حاسمة لتعزيز دفاعاتكم ضد مثل هذه التهديدات المعقدة.
المصدر: bleepingcomputer.com