كيف استهدفت مجموعة Calypso الصينية شبكات الاتصالات ببرمجيات خبيثة متعددة الأنظمة

حدد الباحثون أداتين أساسيتين في هذه الحملة:

• Showboat: إطار اختراق بعدي (Post‑Exploitation) يعمل على أنظمة لينكس
• JFMBackdoor: باب خلفي مصمم لأنظمة ويندوز

هذا المزيج يسمح للمهاجمين بالعمل داخل البيئات التقنية المختلطة التي تعتمد عليها شركات الاتصالات عادةً.

Showboat: أداة اختراق متقدمة لأنظمة لينكس

البرمجية Showboat صُممت خصيصاً للعمل على خوادم لينكس وتُستخدم بعد نجاح الاختراق الأولي للنظام. وهي عبارة عن إطار عمل معياري يوفر للمهاجمين مجموعة من الأدوات للتحكم في الأجهزة المصابة والتوسع داخل الشبكة.

تشمل قدراتها الأساسية:

• فتح وصول سطر أوامر عن بعد (Remote Shell) للتحكم بالنظام المصاب
• نقل الملفات بين خوادم المهاجمين والأجهزة المخترقة
• العمل كـ وكيل SOCKS5 لتمرير حركة البيانات عبر الأجهزة المصابة

هذه الوظائف تسمح للمهاجمين باستخدام الخوادم المخترقة كنقاط عبور لإخفاء نشاطهم والتنقل داخل الشبكات الداخلية لشركات الاتصالات.

JFMBackdoor: النسخة المخصصة لويندوز

إلى جانب Showboat، تستخدم الحملة أيضاً JFMBackdoor وهو باب خلفي يعمل على أنظمة ويندوز.

في بيئات الاتصالات، غالباً ما تعمل الخوادم الأساسية على لينكس بينما تُستخدم أنظمة ويندوز في الإدارة والعمليات المؤسسية. لذلك فإن تشغيل برمجية خبيثة على كلا النظامين يمنح المهاجمين قدرة أكبر على الحفاظ على وجودهم حتى إذا تم اكتشاف أحد المكونات.

ولا تزال المعلومات التقنية التفصيلية حول البنية الداخلية لـ JFMBackdoor محدودة في التقارير العلنية المتاحة، لكن المؤكد أنه يُستخدم لدعم الاستمرارية داخل الشبكات وتنفيذ أنشطة تجسس إضافية.

نطاقات تحاكي شركات الاتصالات

جزء مهم من العملية كان إنشاء نطاقات إنترنت وبنية تحتية تحمل أسماء أو موضوعات مرتبطة بشركات الاتصالات.

هذه النطاقات خدمت عدة أهداف تشغيلية، منها:

• جعل البنية التحتية تبدو مرتبطة بقطاع الاتصالات لتجنب الشبهات
• تشغيل خوادم التحكم والسيطرة (Command and Control) التي تتواصل مع الأنظمة المخترقة
• دعم عمليات إضافية مثل توسيع الاختراق أو جمع بيانات اعتماد المستخدمين

عدم نشر قائمة كاملة بالنطاقات المستخدمة أو الجهات المستهدفة يشير إلى أن جزءاً من تفاصيل العملية لا يزال غير معلن.

لماذا يشكل استهداف لينكس وويندوز معاً خطراً أكبر

شبكات الاتصالات الحديثة تعتمد عادةً على بيئة تقنية مختلطة: خوادم لينكس لتشغيل خدمات الشبكة، وأنظمة ويندوز لإدارة البنية التحتية والعمليات المؤسسية.

عندما يمتلك المهاجم أدوات تعمل على النظامين معاً، يحصل على عدة مزايا مهمة:

• استمرارية أعلى: إزالة البرمجية من نظام واحد لا يعني فقدان الوصول بالكامل
• حركة جانبية أوسع داخل الشبكة بين الأنظمة التشغيلية المختلفة
• إخفاء النشاط عبر استخدام الأجهزة المخترقة كنقاط وسيطة لنقل البيانات

هذا النوع من الهجمات يزيد صعوبة اكتشاف المهاجمين وطردهم من الشبكة، خصوصاً في البنى التحتية الكبيرة والمعقدة مثل شبكات الاتصالات.

لماذا تعتبر شبكات الاتصالات هدفاً استراتيجياً

التسلل إلى شركات الاتصالات يمنح المهاجمين رؤية عميقة للبنية الرقمية التي تدعم الاتصالات الحديثة. الوصول طويل الأمد قد يسمح بمراقبة بيانات الشبكة، وهيكلية الأنظمة، وحتى بعض أنماط الاتصالات.

ولهذا السبب يولي العديد من الجهات المرتبطة بالدول اهتماماً خاصاً بهذا القطاع، حيث يمكن أن يوفر معلومات استخباراتية قيمة على المدى الطويل.

اكتشاف برمجيات مثل Showboat وJFMBackdoor يوضح اتجاهاً متزايداً في الهجمات السيبرانية: تطوير أدوات قادرة على العمل عبر أنظمة تشغيل متعددة لضمان بقاء المهاجمين داخل البنية التحتية الحساسة لفترات طويلة.