الخادم المكشوف: دليل تشغيل المخترق مكشوف للجميع

اكتشف CloudSEK دليلاً مفتوحًا على خادم يملكه جهة تهديد مرتبطة بروسيا، وكان بمثابة سجل شامل لنشاط المخترق . احتوى الدليل على:

• أدوات استغلال مصنفة حسب CVE
• قوائم أهداف مقسمة حسب الدولة
• مخرجات فحص مصنفة إلى مجموعات ضعيفة، غير ضعيفة، ولا يمكن الوصول إليها
• آلية نقاط تفتيش تتبع التقدم عبر مئات الآلاف من الأهداف

بشكل فعال، كان الخادم هو دليل تشغيل المخترق وسجل ضغطاته على لوحة المفاتيح، متروكًا مرئيًا لأي شخص يعرف أين ينظر.

الثغرات المستغلة والقطاعات المستهدفة

قام الوسيط بتجميع أدوات استغلال لما لا يقل عن 12 ثغرة CVE تستهدف أجهزة الحافة وتطبيقات الويب المنتشرة على نطاق واسع . يشمل البائعون المتأثرون Fortinet وSonicWall وF5 وCitrix وSophos وSAP وRoundcube وvBulletin وHikvision . بينما كان معظم كود الاستغلال عبارة عن إثباتات مفهوم عامة، تم تعديل أدوات استغلال Fortinet وCitrix الرئيسية إلى أطر عمل معيارية تحتوي على أغلفة باللغة الروسية تعمل على أتمتة حقن مفاتيح SSH وإنشاء مستخدمي VPN وإعداد أبواب خلفية للمسؤولين والمسح الجماعي . كما احتفظ المشغل بنسخة محلية من مستودع قوالب nuclei بالإضافة إلى أكثر من 100 قالب مخصص لاكتشاف الثغرات الجديدة ولوحات التحكم الخاصة ببرامج C2 وStealer .

تشمل القطاعات المستهدفة التعليم والرعاية الصحية والمالية والاتصالات والحكومة - عبر أكثر من اثنتي عشرة دولة في أمريكا الشمالية وأوروبا وخارجها .

دليل على اختراق Active Directory الكامل

توفر سلسلة ما بعد الاختراق الخاصة بالمشغل دليلاً واضحًا على السيطرة الكاملة على Active Directory :

• الحركة الجانبية: إنشاء وصول داخلي أولي باستخدام أوامر Neo-reGeorg web shells وSOCKS tunnels، مع التسلح بالحركة الجانبية القائمة على NTLM عبر Evil-WinRM .
• سرقة بيانات الاعتماد: استخراج مفاتيح احتياطية لـ DPAPI من وحدات التحكم بالمجال (Domain Controllers)؛ تفريغ أسرار SAM وLSA؛ حصاد بيانات الاعتماد المخزنة في المتصفح .
• اختراق krbtgt والتذاكر الذهبية: قام المهاجم باستخراج تجزئة krbtgt وتزوير تذاكر Kerberos بعمر يصل إلى عقد من الزمن، مما يتيح إعادة الدخول إلى أجل غير مسمى بغض النظر عن إعادة تعيين كلمات المرور ومعالجة نقاط النهاية .
• التأكيد من خلال حادثة حقيقية: ظهرت عيادة Greater Pittsburgh Orthopaedic Associates (GPOA)، وهي جهة رعاية صحية في الولايات المتحدة، في الدليل مع تأكيد اختراق مجالها. لاحقًا ظهرت GPOA على موقع تسريب RansomHouse بعد حادثة في 2025 - مع توقيت يتوافق مع الجداول الزمنية النموذجية لوسيط الوصول الإجرامي إلى برامج الفدية .

طرق جمع المعلومات الاستخبارية ضد أوكرانيا

في وقت متأخر من الجدول الزمني التشغيلي، انحرف النشاط عن السمسرة التجارية البحتة :

• نشر إطار C2 Sliver: نشر المشغل إطار القيادة والتحكم Sliver ضد أهداف دفاعية وفضائية أوكرانية .
• سرقة الكود المصدري: تمكن الوسيط من الوصول إلى مستودعات الكود المصدري المسربة وسرقتها عبر أنظمة التحكم بالإصدارات المكشوفة التابعة لمشاريع دفاعية .
• مراقبة كاميرات IP: قام المشغل بحصاد صور من آلاف كاميرات IP المكشوفة والتقط لقطات شاشة من جلسات سطح المكتب البعيد (RDP) المكشوفة - وهي معلومات استخبارية مفيدة لتحديد مواقع الأصول العسكرية الأوكرانية .
• استهداف ثانوي: ظهرت الولايات المتحدة وأوروبا وكوريا الجنوبية كأهداف استخبارية ثانوية ضمن القطع الأثرية .

يشير CloudSEK إلى أن هذه الأساليب تتطابق تمامًا مع تحذير استخبارات هولندا (AIVD/MIVD) بشأن مراقبة الكاميرات المرتبطة بالدولة الروسية المستخدمة لتحديد المواقع العسكرية الأوكرانية .

كيف يتوافق هذا الملف المزدوج مع الممارسة الروسية الموثقة

يقيم CloudSEK بثقة عالية أن المشغل هو وسيط وصول أولي ناطق بالروسية، وأن نشاطه المركّز على أوكرانيا يفسر بشكل أفضل كمتعاقد إجرامي يبيع الوصول - بما في ذلك الاستخبارات المشتقة من الكاميرات - لمشترين حكوميين .

يتماشى هذا مع نمط استخباراتي روسي موثق جيدًا: الجهات الفاعلة التي ترعاها الدولة (مثل SVR وGRU وFSB) تقوم عادة بتأمين الوصول الأولي للشبكة من النظام البيئي الإجرامي بدلاً من إجراء الاختراق الأولي بنفسها . يتولى الوسيط الإجرامي العمل عالي الحجم والصاخب لمسح واستغلال أجهزة الحافة؛ يدفع العملاء الحكوميون ثمناً مقابل الوصول المسبق إلى أهداف عالية القيمة (خاصة الكيانات الدفاعية والفضائية والحكومية) دون تعريض البنية التحتية التي تسيطر عليها الدولة للخطر أثناء الاختراق الأولي.

نفس الوصول الذي باعه الوسيط لجماعات برمجيات الفدية لتحقيق الربح ضد أهداف تجارية، تم بيعه أيضًا كخط أنابيب مراقبة ضد أهداف عسكرية أوكرانية - نموذج مزدوج الاستخدام حيث تولد نفس القدرة التقنية إيرادات إجرامية وقيمة استخباراتية استراتيجية للدولة الروسية .

الخادم المكشوف: دليل تشغيل المخترق مكشوف للجميع

اكتشف CloudSEK دليلاً مفتوحًا على خادم يملكه جهة تهديد مرتبطة بروسيا، وكان بمثابة سجل شامل لنشاط المخترق . احتوى الدليل على:

• أدوات استغلال مصنفة حسب CVE
• قوائم أهداف مقسمة حسب الدولة
• مخرجات فحص مصنفة إلى مجموعات ضعيفة، غير ضعيفة، ولا يمكن الوصول إليها
• آلية نقاط تفتيش تتبع التقدم عبر مئات الآلاف من الأهداف

بشكل فعال، كان الخادم هو دليل تشغيل المخترق وسجل ضغطاته على لوحة المفاتيح، متروكًا مرئيًا لأي شخص يعرف أين ينظر.

الثغرات المستغلة والقطاعات المستهدفة

قام الوسيط بتجميع أدوات استغلال لما لا يقل عن 12 ثغرة CVE تستهدف أجهزة الحافة وتطبيقات الويب المنتشرة على نطاق واسع . يشمل البائعون المتأثرون Fortinet وSonicWall وF5 وCitrix وSophos وSAP وRoundcube وvBulletin وHikvision . بينما كان معظم كود الاستغلال عبارة عن إثباتات مفهوم عامة، تم تعديل أدوات استغلال Fortinet وCitrix الرئيسية إلى أطر عمل معيارية تحتوي على أغلفة باللغة الروسية تعمل على أتمتة حقن مفاتيح SSH وإنشاء مستخدمي VPN وإعداد أبواب خلفية للمسؤولين والمسح الجماعي . كما احتفظ المشغل بنسخة محلية من مستودع قوالب nuclei بالإضافة إلى أكثر من 100 قالب مخصص لاكتشاف الثغرات الجديدة ولوحات التحكم الخاصة ببرامج C2 وStealer .

تشمل القطاعات المستهدفة التعليم والرعاية الصحية والمالية والاتصالات والحكومة - عبر أكثر من اثنتي عشرة دولة في أمريكا الشمالية وأوروبا وخارجها .

دليل على اختراق Active Directory الكامل

توفر سلسلة ما بعد الاختراق الخاصة بالمشغل دليلاً واضحًا على السيطرة الكاملة على Active Directory :

• الحركة الجانبية: إنشاء وصول داخلي أولي باستخدام أوامر Neo-reGeorg web shells وSOCKS tunnels، مع التسلح بالحركة الجانبية القائمة على NTLM عبر Evil-WinRM .
• سرقة بيانات الاعتماد: استخراج مفاتيح احتياطية لـ DPAPI من وحدات التحكم بالمجال (Domain Controllers)؛ تفريغ أسرار SAM وLSA؛ حصاد بيانات الاعتماد المخزنة في المتصفح .
• اختراق krbtgt والتذاكر الذهبية: قام المهاجم باستخراج تجزئة krbtgt وتزوير تذاكر Kerberos بعمر يصل إلى عقد من الزمن، مما يتيح إعادة الدخول إلى أجل غير مسمى بغض النظر عن إعادة تعيين كلمات المرور ومعالجة نقاط النهاية .
• التأكيد من خلال حادثة حقيقية: ظهرت عيادة Greater Pittsburgh Orthopaedic Associates (GPOA)، وهي جهة رعاية صحية في الولايات المتحدة، في الدليل مع تأكيد اختراق مجالها. لاحقًا ظهرت GPOA على موقع تسريب RansomHouse بعد حادثة في 2025 - مع توقيت يتوافق مع الجداول الزمنية النموذجية لوسيط الوصول الإجرامي إلى برامج الفدية .

طرق جمع المعلومات الاستخبارية ضد أوكرانيا

في وقت متأخر من الجدول الزمني التشغيلي، انحرف النشاط عن السمسرة التجارية البحتة :

• نشر إطار C2 Sliver: نشر المشغل إطار القيادة والتحكم Sliver ضد أهداف دفاعية وفضائية أوكرانية .
• سرقة الكود المصدري: تمكن الوسيط من الوصول إلى مستودعات الكود المصدري المسربة وسرقتها عبر أنظمة التحكم بالإصدارات المكشوفة التابعة لمشاريع دفاعية .
• مراقبة كاميرات IP: قام المشغل بحصاد صور من آلاف كاميرات IP المكشوفة والتقط لقطات شاشة من جلسات سطح المكتب البعيد (RDP) المكشوفة - وهي معلومات استخبارية مفيدة لتحديد مواقع الأصول العسكرية الأوكرانية .
• استهداف ثانوي: ظهرت الولايات المتحدة وأوروبا وكوريا الجنوبية كأهداف استخبارية ثانوية ضمن القطع الأثرية .

يشير CloudSEK إلى أن هذه الأساليب تتطابق تمامًا مع تحذير استخبارات هولندا (AIVD/MIVD) بشأن مراقبة الكاميرات المرتبطة بالدولة الروسية المستخدمة لتحديد المواقع العسكرية الأوكرانية .

كيف يتوافق هذا الملف المزدوج مع الممارسة الروسية الموثقة

يقيم CloudSEK بثقة عالية أن المشغل هو وسيط وصول أولي ناطق بالروسية، وأن نشاطه المركّز على أوكرانيا يفسر بشكل أفضل كمتعاقد إجرامي يبيع الوصول - بما في ذلك الاستخبارات المشتقة من الكاميرات - لمشترين حكوميين .

يتماشى هذا مع نمط استخباراتي روسي موثق جيدًا: الجهات الفاعلة التي ترعاها الدولة (مثل SVR وGRU وFSB) تقوم عادة بتأمين الوصول الأولي للشبكة من النظام البيئي الإجرامي بدلاً من إجراء الاختراق الأولي بنفسها . يتولى الوسيط الإجرامي العمل عالي الحجم والصاخب لمسح واستغلال أجهزة الحافة؛ يدفع العملاء الحكوميون ثمناً مقابل الوصول المسبق إلى أهداف عالية القيمة (خاصة الكيانات الدفاعية والفضائية والحكومية) دون تعريض البنية التحتية التي تسيطر عليها الدولة للخطر أثناء الاختراق الأولي.

نفس الوصول الذي باعه الوسيط لجماعات برمجيات الفدية لتحقيق الربح ضد أهداف تجارية، تم بيعه أيضًا كخط أنابيب مراقبة ضد أهداف عسكرية أوكرانية - نموذج مزدوج الاستخدام حيث تولد نفس القدرة التقنية إيرادات إجرامية وقيمة استخباراتية استراتيجية للدولة الروسية .