هجوم Fire Ant يكشف «الهدف خلف الهدف» في شبكات المؤسسات

تُظهر الحملة المنسوبة إلى Fire Ant انتقالاً استراتيجياً إلى طبقة أعلى من البنية التحتية. ففي عام 2025، ارتبط الفاعل الصيني بحملة وصول خفي إلى بيئات VMware ESXi وvCenter. وبحلول أواخر أغسطس 2026، وصفت تقارير جديدة اختراق أجهزة توجيه Cisco IOS XR، وخوادم مصادقة TACACS، ومضيفات إدارة Linux؛ وهي الأنظمة التي توجّه حركة البيانات، وتتحقق من هويات المسؤولين، وتربط البيئات التشغيلية ببعضها. 1011

تكمن أهمية هذا التحول في أن هذه الأنظمة تمنح المهاجم رؤية وقدرة وصول تتجاوزان جهازاً افتراضياً أو نقطة نهاية واحدة. فقد لا تكون الجهة المخترقة هي الغاية النهائية، بل مجرد موطئ قدم للوصول إلى «الهدف خلف الهدف».

من طبقة المحاكاة الافتراضية إلى طبقة التحكم

تركز نشاط Fire Ant السابق في VMware على بنية المحاكاة الافتراضية، بما يتيح الاستمرارية والوصول عبر أعباء العمل المستضافة. أما التحقيق اللاحق الذي أجرته Sygnia فوصف حملة تتمحور حول البنية التحتية الموثوقة: أجهزة الشبكة، وخدمات المصادقة، ومضيفات الإدارة. 10

وتُعد هذه الأنظمة نقاط تجميع أكثر قيمة. فأداة توجيه مخترقة قد تراقب حركة البيانات وتعيد تمريرها، بينما يوجد خادم TACACS في مسار مصادقة المسؤولين عن إدارة أجهزة الشبكة. كما يستطيع مضيف القفز أو الإدارة أن يعمل جسراً بين أنظمة يفترض أنها معزولة عن بعضها. وباجتماع هذه النقاط، يمكن كشف العلاقات بين المسؤولين والأجهزة والشبكات والمؤسسات المتصلة. 1011

كيف نُفذت الحملة؟

نفق GRE غير مفسَّر وفّر نقطة pivot محتملة

عثر المحققون على واجهة GRE نشطة في جهاز توجيه يعمل بنظام Cisco IOS XR، من دون أن يجدوا تفسيراً لها في إعدادات التشغيل أو سجل التغييرات. ويُستخدم GRE عادةً لتغليف بروتوكول داخل حزمة IP خارجية ونقلها بين نقطتي نهاية؛ لذلك يمكن لنفق غير مصرح به أن ينشئ مساراً مخفياً أو قناة ترحيل. 39

ولا يعني وجود نفق غير مفسر بالضرورة حدوث اختراق، لكن الفارق بين حالة الجهاز الفعلية وسجل التدقيق المعتاد يمثل إشارة خطرة. فقد يدل على نشاط جرى خارج مسارات تغيير الإعدادات المعتمدة، وهو ما يستدعي التحقيق الفوري.

BridgeAgent تخفّى في صورة برنامج مراقبة

على نظام إدارة Linux قديم، نشر Fire Ant برمجية BridgeAgent مع تقديمها على أنها وكيل مراقبة من Zabbix. وبحسب التقارير، دعمت البرمجية اتصالات عكسية بموجّه أوامر مشفرة عبر TLS، ما أتاح للمشغلين الحفاظ على الوصول من خلال حركة قد تبدو شبيهة بحركة الإدارة والمراقبة المشروعة. 1012

وتكتسب مضيفات الإدارة قيمة خاصة كنقاط عبور؛ إذ تكون موثوقة مسبقاً للوصول إلى أجهزة التوجيه وخدمات المصادقة وأنظمة المراقبة أو القطاعات المقيدة الأخرى.

تحوّل جهاز التوجيه إلى منصة جمع وترحيل

كان من الممكن استخدام جهاز IOS XR المخترق لالتقاط حركة البيانات، وتجهيز ملفات التقاط الحزم، وتهريب بيانات PCAP. وتكشف المراقبة على مستوى جهاز التوجيه الأنظمة المتصلة، والبروتوكولات، ونطاقات العناوين، وعلاقات التوجيه، وربما البيانات الحساسة أو بيانات الاعتماد عندما لا تكون الجلسات محمية بما يكفي. 1011

وهكذا لم يعد الجهاز مجرد وسيلة للاستمرارية، بل أصبح نقطة مراقبة داخل النسيج الذي يربط الشبكة، ويوفر معلومات عن البيئة وقدرة على الوصول إليها، مع احتمال اختلاط النشاط الخبيث بعمليات الشبكة اليومية.

استهدف TacTap نقطة اختناق المصادقة

لم يكتفِ Fire Ant بسرقة بيانات اعتماد المسؤولين من نقاط النهاية، بل اخترق البنية التحتية للمصادقة نفسها. ووصفت Sygnia أداة باسم TacTap حقنت مكتبة داخل عملية tac_plus، واعترضت جلسات TACACS المقبولة، ثم مررت واصفات ملفات الجلسات الحية إلى مقبس Unix محلي. كما أنشأت الأداة أثراً لبيانات اعتماد مموهاً بتقنية XOR في المسار /var/log/.tacplus.acct. 10

ويكشف خادم TACACS مسار الإدارة الخاص بأجهزة الشبكة: أي المسؤولين يجرون المصادقة، وأي الأجهزة تطلب التفويض، ومواعيد الجلسات، وربما مواد اعتماد تتعامل معها الخدمة. وقد يؤدي اختراق هذه الطبقة إلى تقويض التحكم في الوصول والثقة في سجلات التدقيق الناتجة عنها معاً.

أبواب خلفية إضافية وسّعت أساليب الحملة

حدد المحققون أيضاً باباً خلفياً في المسار /var/tmp/audit على نظام TACACS، وكان يستخدم واجهات VMware VSOCK/VMCI. وقد لا تظهر قنوات الاتصال الموجهة بين الضيف والمضيف كعمليات دخول شبكية عادية من داخل بيئة Linux، ما يمنح المشغلين خياراً إضافياً للاتصال الخفي. 10

كما يربط هذا الأسلوب النشاط الأحدث باهتمام Fire Ant السابق بالبنية التحتية المحيطة بالمحاكاة الافتراضية؛ إذ واصل الفاعل البحث عن حدود موثوقة قد لا تغطيها أدوات مراقبة نقاط النهاية التقليدية بالكامل.

تعطيل السجلات وتغيير التوقيتات أضعفا طبقة الأدلة

أفادت التقارير بأن Fire Ant عطّل بعض السجلات والقياسات عن بُعد، وعدّل الطوابع الزمنية للملفات. وتُصعّب هذه الإجراءات إعادة بناء توقيت ظهور الأدوات والأنفاق وآليات الاستمرارية وآثار بيانات الاعتماد، كما تقلل الثقة في سجلات أجهزة التوجيه والمصادقة التي يعتمد عليها المدافعون لتحديد نطاق الهجوم وتسلسله. 1011

ولذلك لا يمثل العبث بالأدلة تفصيلاً ثانوياً في الحملة، بل جزءاً أساسياً منها؛ فالمهاجم أضعف طبقة الأدلة نفسها، وجعل الكشف والاستجابة للحوادث أقل موثوقية.

ما الذي كان يمكن للمهاجم كشفه؟

كان من الممكن أن تساعد نقاط الوصول مجتمعة Fire Ant في رسم خريطة للعلاقات التي تجعل الشبكة قابلة للإدارة، ومنها:

• هويات المسؤولين وبيانات اعتمادهم ذات الصلاحيات على أجهزة الشبكة.
• طلبات المصادقة وقرارات التفويض وجلسات الأجهزة والأنشطة الإدارية.
• الروابط بين مضيفات القفز وخوادم TACACS وأجهزة التوجيه والأجهزة المُدارة.
• نطاقات العناوين الداخلية، وعلاقات التوجيه، وحدود التقسيم، وشبكات الإدارة القابلة للوصول.
• المؤسسات المتصلة أو الأطراف الثالثة التي تعتمد بيئاتها على البنية التحتية المخترقة.
• الشبكات عالية القيمة التي يمكن الوصول إليها عبر علاقات التوجيه أو المصادقة أو الإدارة التشغيلية لدى الضحية. 10

ويكمن الخطر في تراكم هذه القدرات. فقد يبدو اختراق برنامج مراقبة على Linux، ونفق في جهاز توجيه، والوصول إلى TACACS، وموطئ قدم في منصة افتراضية، حوادث منفصلة. لكنها قد تشكل معاً طبقة وصول مستدامة تمتد عبر عدة حدود للثقة.

لماذا تُسمى الاستراتيجية «الهدف خلف الهدف»؟

في الاختراق التقليدي، تكون المؤسسة المخترقة غالباً هي الهدف الرئيسي. لكن سلوك Fire Ant الموصوف في التقارير يطرح احتمالاً مختلفاً: قد تكون قيمة الضحية في بنيتها التحتية، لأنها توفر طريقاً إلى بيئات أخرى.

فجهاز التوجيه يمنح الرؤية والمرور، وخادم المصادقة قد يكشف الوصول الإداري أو يعترضه، ومضيف الإدارة يوفر نقطة انطلاق موثوقة. وبذلك يستطيع المهاجم دراسة الشبكات المتصلة وتحديد الأهداف الأعلى قيمة من دون مهاجمتها مباشرة منذ البداية. وقد وصفت Sygnia الحملة بأنها استهدفت بنية تحتية توجّه وتوثّق وتربط وتدير بيئات عالية القيمة. 1011

ويصعب احتواء هذا النموذج خصوصاً لأن الأنظمة المتضررة تُعامل عادةً كأسس موثوقة للشبكة، لا كنقاط نهاية عادية.

أوجه التشابه مع UNC3886

وصفت Sygnia وجود تداخل قوي بين Fire Ant والنشاط المرتبط بالصين الذي تتبعه Mandiant باسم UNC3886. ويشمل ذلك الوصول المستمر إلى البنية الافتراضية وبنية التحكم في الشبكة، واستخدام أدوات مخصصة، وتجاوز أدوات الرؤية التقليدية على نقاط النهاية، والاهتمام بأجهزة الشبكات. كما تربط تقارير علنية UNC3886 بأنشطة سابقة استهدفت أجهزة توجيه Juniper وبنية تحتية مرتبطة بـCisco. 1015

لكن المعطيات المتاحة تدعم وجود ترابط تشغيلي وتقني، ولا تثبت علناً بالضرورة أن الطرفين هوية واحدة بصورة قاطعة. أما الصلة الأهم فهي نموذج العمل: الحفاظ على الوصول في طبقة البنية التحتية، حيث قد تكون بيانات القياس الخاصة بنقاط النهاية محدودة، وحيث يمكن للاختراق التأثير في التوجيه والإدارة والتحقق من الهوية والتقسيم الشبكي.

لماذا يهم ذلك مشغلي البنية التحتية الحيوية؟

لا تثبت التقارير المستشهد بها أن هذا النشاط المحدد لـFire Ant اخترق مباشرة مرفقاً للمياه أو الصرف الصحي. لكن القلق الأوسع يتمثل في أن الوصول طويل الأمد إلى بنية مؤسسية أو مزود خدمة أو أنظمة إدارة موثوقة قد يوفر رؤية أو مسارات محتملة نحو بيئات حيوية متصلة. وقد ناقشت Sygnia صراحةً المخاوف المرتبطة بالبيئات عالية القيمة والبنية التحتية الحيوية. 110

وبالنسبة إلى مؤسسات المياه والصرف الصحي، لا ينبغي افتراض أن شبكة تشغيلية معزولة آمنة لمجرد أن أنظمة الأعمال تبدو سليمة. فقد تنشئ خدمات الهوية المشتركة، والإدارة عن بُعد، واتصالات الأطراف الثالثة، ومنصات المحاكاة الافتراضية، وبنية إدارة الشبكة، مسارات ثقة غير مباشرة. وينشأ الخطر العملي من تراكم مواضع الوصول، لا من ثغرة واحدة لافتة.

أولويات حماية بنية إدارة الشبكة

التعامل مع أنظمة الإدارة باعتبارها أصول Tier 0

ينبغي منح أجهزة التوجيه، وخدمات TACACS/RADIUS وغيرها من خدمات AAA، ومضيفات القفز، وإدارة المحاكاة الافتراضية، ومنصات المراقبة، ملكية تشغيلية وحماية مخصصتين. ويشمل ذلك فرض حدود إدارية صارمة، وتفعيل المصادقة متعددة العوامل حيثما أمكن، وتطبيق أقل قدر من الصلاحيات، وتسريع تثبيت التحديثات، والتحكم الدقيق في وصول الموردين والأطراف الثالثة. 10

مطابقة حالة الجهاز الفعلية مع التغييرات المعتمدة

يجب إجراء مقارنة مستمرة بين واجهات أجهزة التوجيه وأنفاقها ومساراتها وحالة التمرير وسجل التغييرات وسلامة البرمجيات أو العمليات، وبين خطوط الأساس المعتمدة. وينبغي إصدار تنبيهات عند ظهور واجهات GRE أو نقاط نهاية للأنفاق أو تغييرات في المسارات من دون سجل تغيير مصرح به. 910

فصل مسارات الإدارة

يجب حصر إدارة الأجهزة والوصول إلى TACACS في شبكات إدارة مخصصة، وتقييد مضيفات القفز التي يمكنها الوصول إلى أجهزة الشبكة، وتقليل مسارات الثقة بين تقنية المعلومات المؤسسية وروابط مزودي الخدمة والبيئات التشغيلية أو الحيوية. 10

جعل بيانات المصادقة مقاومة للعبث

ينبغي إرسال سجلات TACACS وأجهزة التوجيه وLinux والمحاكاة الافتراضية وتدفقات الشبكة إلى تخزين خارج المضيف، غير قابل للتغيير أو مقاوم للعبث بوسائل أخرى. كما ينبغي ربط طلبات المصادقة بنتائج التفويض وجلسات الأجهزة والأوامر الإدارية، والتحقيق في فقدان القياسات أو التغييرات غير المتوقعة في عمليات TACACS ومكتباته ومقابسه وملفات سجلاته. 10

حفظ الأدلة قبل المعالجة

عند الاشتباه في اختراق، يجب جمع الحالة المتطايرة والذاكرة حيثما أمكن، وبيانات التشغيل الخاصة بأجهزة التوجيه، والإعدادات الكاملة وسجل التغييرات، ومعلومات العمليات والمقابس، وبيانات نظام الملفات، وملفات PCAP ذات الصلة، قبل إعادة تشغيل الأجهزة أو حذف الآثار. وينبغي حفظ نسخ مستقلة وبصمات رقمية، لا سيما عندما يتضمن النشاط المحتمل تعطيل السجلات أو تغيير الطوابع الزمنية. 10

البحث عن السلوك لا عن أسماء الملفات فقط

ينبغي البحث عن ملفات تنفيذية غير مصرح بها تتنكر في هيئة أدوات مراقبة، واتصالات TLS عكسية مريبة من مضيفات الإدارة، واستخدام غير متوقع لـVSOCK/VMCI، وحقن في عمليات TACACS، وآثار مخفية لبيانات الاعتماد، وفوارق بين حالة الجهاز الفعلية وسجل الإعدادات المعتمد. وتبقى هذه المؤشرات السلوكية أكثر صموداً من أي اسم ملف أو مؤشر منفرد. 10

الخلاصة

يُفهم تطور Fire Ant على نحو أفضل باعتباره انتقالاً من اختراق أعباء العمل إلى اختراق الأنظمة التي تحكم الثقة. فالمزيج الموصوف من رؤية أجهزة التوجيه، واعتراض المصادقة، والاستمرارية على Linux، والأنفاق الخفية، وأساليب محو الآثار، يمكن أن يحوّل البنية التحتية الموثوقة إلى منصة لجمع المعلومات والتحرك نحو بيئات متصلة.

أما بالنسبة إلى المدافعين، فالرسالة واضحة: بنية إدارة الشبكة ليست مجرد تجهيزات تعمل في الخلفية، بل هي حد أمني، ومصدر أدلة عالي القيمة، وقد تكون الطريق إلى الهدف التالي.