حقائق سريعة

• ثغرة حرجة (CVE-2025-59287) في خدمة تحديث خوادم ويندوز (WSUS) من مايكروسوفت سمحت بتنفيذ أوامر عن بُعد.
• استغل قراصنة مرتبطون بالصين الثغرة قبل تصحيح العديد من الأنظمة، ونشروا باباً خلفياً يُدعى ShadowPad.
• استخدم المهاجمون أدوات نظام شرعية مثل PowerCat وcertutil وcurl للتحرك بهدوء داخل الشبكات.
• يُعتبر ShadowPad برمجية خبيثة متقدمة ومرنة، وله جذور في التجسس الإلكتروني الصيني ويشتهر بالتخفي والثبات.
• بدأت عمليات المسح والاختراق الجماعي بعد نشر استغلال علني، مما يبرز سرعة وتنسيق الجهات المهددة الحديثة.

اختراق قبل الإفطار: التصحيح الذي جاء متأخراً جداً

تخيل سباقاً يكون خط النهاية فيه باباً مغلقاً - لكن القفل يُركب فقط بعد أن يكون اللصوص قد فتحوه بالفعل. هذا هو السيناريو الذي حدث في أواخر عام 2025، عندما قامت مايكروسوفت بتصحيح ثغرة خطيرة في WSUS (خدمة تحديث خوادم ويندوز). لكن بالنسبة للعديد من المؤسسات، وصل التصحيح متأخراً قليلاً، حيث تسلل القراصنة المرتبطون بالصين عبر الثغرة، تاركين آثاراً رقمية وحمولة خطيرة وراءهم.

الثغرة، التي تم تتبعها باسم CVE-2025-59287، سمحت للمهاجمين بتنفيذ أي كود يرغبون به على الخادم المستهدف - وكأنك تعطي أحدهم مفاتيح مملكة تكنولوجيا المعلومات الخاصة بك. تم اكتشافها في قلب WSUS، الأداة المصممة لحماية خوادم ويندوز وتحديثها، وأصبحت الثغرة بشكل ساخر الوسيلة التي استخدمها المهاجمون لاختراق الأمان.

ShadowPad: سكين الجيش السويسري في التجسس الإلكتروني

بمجرد الدخول، لم يُحدث المهاجمون ضجة. بدلاً من ذلك، استخدموا PowerCat، أداة شرعية لسطر الأوامر عن بُعد، لفتح باب خلفي بهدوء. وباستخدام أدوات يومية أخرى مثل certutil وcurl، قاموا بتنزيل وتثبيت ShadowPad - منصة برمجيات خبيثة مرنة تشتهر بالتخفي والقدرة على التكيف.

ShadowPad ليس مجرد فيروس آخر؛ بل هو مجموعة أدوات مصممة للثبات والسرية. نشأ كخليفة للبرمجية الشهيرة PlugX، وتم تتبعه إلى مجموعات قرصنة مرتبطة بالدولة الصينية منذ عام 2015 على الأقل. يتيح تصميمه المرن للمهاجمين تحميل ميزات أو أدوات جديدة حسب الحاجة، واستخدامه لأسلوب "اختطاف DLL" (خداع البرامج الموثوقة لتشغيل كود خبيث) يجعل اكتشافه صعباً.

دروس من الخطوط الأمامية: كيف تتحول ثغرات اليوم الصفري إلى أبواب مفتوحة

حادثة WSUS ليست المرة الأولى التي يتأخر فيها التصحيح عن الاستغلال. من هجوم فيروس الفدية WannaCry عام 2017 (الذي استغل ثغرة مسربة من وكالة الأمن القومي الأمريكية) إلى هجمات Hafnium على Microsoft Exchange في 2021، تُظهر الأحداث أن الفترة بين كشف الثغرة والاستغلال الجماعي تتقلص باستمرار.

وفقاً لشركة AhnLab الكورية الجنوبية، يُظهر الانتشار السريع لاستغلال WSUS بعد نشر إثبات المفهوم واقعاً جديداً: مجرمو الإنترنت وجهات الدول يراقبون إصدارات التصحيحات بنفس دقة المدافعين. والنتيجة؟ سباق تسلح عالمي "إما أن تصحح أو تهلك"، حيث يمكن أن يعني التأخير لبضعة أيام فقط كارثة.

الدلالات الجيوسياسية واضحة: مع استهداف البنية التحتية الحيوية وشبكات الحكومات، يصبح الخط الفاصل بين الجريمة الإلكترونية والعمل السياسي غير واضح. نشر ShadowPad هو طلقة تحذيرية - تتردد أصداؤها بعيداً عن غرفة الخوادم.

ويكيكروك

• WSUS (خدمة تحديث خوادم ويندوز): أداة من مايكروسوفت تتيح للمؤسسات إدارة وتوزيع تحديثات ويندوز مركزياً على عدة أجهزة ضمن شبكتها.
• تنفيذ الأوامر عن بُعد: يسمح تنفيذ الأوامر عن بُعد للمهاجمين بتشغيل أوامر على جهازك من مسافة، وغالباً ما يؤدي إلى اختراق كامل للنظام وسرقة البيانات.
• ShadowPad: منصة برمجيات خبيثة مرنة تستخدمها مجموعات قرصنة صينية للتحكم والمراقبة وسرقة البيانات من الأنظمة المخترقة بشكل سري.
• اختطاف DLL: هجوم إلكتروني يتم فيه تحميل ملف DLL مزيف من قبل تطبيق، مما يسمح للمهاجمين بتشغيل كود خبيث على النظام.
• إثبات المفهوم: إثبات المفهوم (PoC) هو عرض يوضح إمكانية استغلال ثغرة أمنية، مما يساعد في تقييم المخاطر الحقيقية.