حقائق سريعة

• استخدمت مجموعات التجسس الإلكتروني الصينية الباب الخلفي المتقدم "بريكستورم" لاختراق البنية التحتية الحيوية في جميع أنحاء أمريكا الشمالية.
• تم تأكيد وقوع ما لا يقل عن ثماني منظمات حكومية وتقنية ضحية، بينما يحذر الخبراء من أن العدد الحقيقي قد يكون أعلى بكثير.
• عمل "بريكستورم" دون اكتشاف لسنوات، مستهدفًا أنظمة لينكس وVMware وويندوز، وسارقًا بيانات حساسة وبيانات اعتماد.
• استغل المهاجمون برمجيات خبيثة فريدة ومخصصة لكل اختراق، مما جعل اكتشافهم صعبًا للغاية.
• ربطت شركات أمنية كبرى الحملة بمجموعات صينية مدعومة من الدولة مثل UNC5221 وWarp Panda، الناشطة منذ عام 2022 على الأقل.

داخل عملية السطو الرقمي التي استمرت لسنوات

تخيل لصًا محترفًا لا يقتحم الخزنة ويغادر فحسب، بل يقيم في الظلال، ينسخ المفاتيح بصمت ويرسم خريطة لكل ممر. هذه هي الحقيقة المرعبة التي كشفتها وكالات الأمن السيبراني العالمية وخبراء القطاع الخاص: لسنوات، جابت مجموعات قرصنة صينية نخبوية ممرات المؤسسات الحيوية الرقمية بهدوء، وجودهم غير مرئي لكن نواياهم مقلقة.

الباب الخلفي في قلب هذه الحملة، المسمى "بريكستورم"، ليس مجرد رمز خبيث. إنه أداة تقنية عالية تشبه "السكين السويسري"، قادرة على العمل على أنظمة لينكس وVMware وويندوز، ما يسمح للمهاجمين بالتنقل عبر الشبكات دون اكتشافهم. ووفقًا لتحذير مشترك من CISA وNSA والمركز الكندي للأمن السيبراني، أصاب المهاجمون ما لا يقل عن ثماني منظمات كبرى، لكن النطاق الحقيقي للهجوم قد يكون أوسع بكثير.

كيف تجاوز "بريكستورم" الدفاعات

أظهر مشغلو "بريكستورم"، الذين ربطتهم شركات مثل Mandiant وCrowdStrike بمجموعتي UNC5221 وWarp Panda، صبرًا ومهارة لافتين. في إحدى الهجمات الموثقة، تمكنوا من الوصول إلى خادم VMware في أبريل 2024 وبقوا حتى سبتمبر، مع تصعيد الامتيازات تدريجيًا - كما لو أنهم يفتحون الأقفال بهدوء أعمق فأعمق داخل مبنى. استهدفوا قلب الشبكات: وحدات التحكم في النطاق، وخوادم المصادقة، وموارد السحابة، وسرقوا مفاتيح التشفير التي تفتح البيانات الحساسة.

لم يعتمد المهاجمون على برمجيات خبيثة جاهزة. بل صمموا برامج زرع فريدة - برامج مخصصة مثل Junction وGuestConduit - مصممة خصيصًا لكل شبكة. هذا النهج المفصل جعل نشاطهم يندمج مع البيئة، كما لو كان جاسوسًا يتقن جميع اللهجات المحلية. حتى أنهم تمكنوا من تسجيل أجهزة مصادقة متعددة العوامل جديدة، لضمان قدرتهم على الدخول والخروج دون إثارة الإنذارات.

لماذا هذا الهجوم مهم

تسلل "بريكستورم" الهادئ يسلط الضوء على حقيقة مقلقة: التجسس الإلكتروني الحديث أقل عنفًا وأكثر تسللًا وصبرًا. من خلال البقاء دون اكتشاف لأشهر أو سنوات، يمكن للمهاجمين سرقة بيانات حساسة، ودراسة عادات أهدافهم، وحتى التحضير لتخريب واسع النطاق. واستهداف الحملة لمقدمي الخدمات القانونية والتقنية وSaaS يعني أن حتى المؤسسات المتعاملة معهم - من عملاء وشركاء - قد تكون معرضة للخطر.

هذه ليست المرة الأولى التي يتخفى فيها قراصنة مدعومون من دول. حملات مثل "كلود هوبر" لمجموعة APT10 في 2016-2017 وهجوم "سولار ويندز" الروسي في 2020 استخدمت تكتيكات مشابهة، مستهدفة مزودي الخدمات المدارة للوصول الواسع. لكن حملة "بريكستورم" تبرز بتعقيدها التقني وتركيزها على البنية التحتية الحيوية - مما يثير القلق بشأن إمكانية حدوث تعطيل مستقبلي أو استغلال جيوسياسي.

ويكيكروك

• الباب الخلفي: الباب الخلفي هو وسيلة خفية للوصول إلى جهاز كمبيوتر أو خادم، متجاوزًا الفحوصات الأمنية المعتادة، وغالبًا ما يستخدمه المهاجمون للسيطرة السرية.
• VMware vCenter: هو برنامج يدير الخوادم والآلات الافتراضية مركزيًا، مما يجعله ضروريًا لمراكز البيانات وهدفًا رئيسيًا للتهديدات السيبرانية.
• وحدة التحكم في النطاق: هي خادم مركزي في شبكات ويندوز يدير مصادقة المستخدمين وسياسات الأمان والوصول إلى موارد الشبكة.
• متعدد: يشير إلى استخدام مزيج من تقنيات أو أنظمة مختلفة - مثل الأقمار الصناعية LEO وGEO - لتحسين الموثوقية والتغطية والأمان.
• الاستخراج: الاستخراج هو نقل غير مصرح به للبيانات الحساسة من شبكة الضحية إلى نظام خارجي يسيطر عليه المهاجمون.