كيف عُطّلت شبكة Sality بعد 23 عاماً عبر تحويل بنيتها ضدها

في 31 أغسطس 2026، نُفذت عملية دولية منسقة لتعطيل شبكة الروبوتات Sality، التي استمرت لأكثر من عقدين. وجمعت العملية بين مصادرة نطاقات بأوامر قانونية وبين إجراء تقني لتحويل اتصالات الشبكة الندّية (P2P) للأجهزة المصابة بعيداً عن البنية التي يسيطر عليها مشغّلها. وشاركت فيها وزارة العدل الأمريكية ومكتب التحقيقات الفيدرالي (FBI) وجهاز التحقيقات الجنائية الدفاعية، وسلطات من بلغاريا والمجر ورومانيا، إلى جانب CrowdStrike ومؤسسة Shadowserver. 167

مصادرة النطاقات لم تكن كافية

صادرت السلطات الأمريكية نطاقات مرتبطة بـSality استُخدمت للتحكم بالأجهزة المخترقة وتوزيع حمولات خبيثة، فيما اتخذت سلطات بلغاريا والمجر ورومانيا إجراءات ضد بنية إضافية ضمن ولاياتها القضائية. 16

لكن Sality لم تكن تعتمد حصراً على خوادم مركزية ثابتة للقيادة والتحكم. فقد عملت كشبكة ندّية: تتبادل الأجهزة المصابة معلومات عن أجهزة مصابة أخرى، ما يسمح لها بمواصلة اكتشاف بعضها بعضاً حتى عند اختفاء خادم أو نطاق بعينه. وهذه اللامركزية هي ما منح الشبكة قدرة كبيرة على البقاء. 67

لذلك نفّذ فريق Counter Adversary Operations في CrowdStrike، بالتعاون مع جهات إنفاذ القانون وشركاء من القطاع، عملية «إغراق موجّه» لشبكة P2P، أو sinkholing. وببساطة، تُوجَّه الاتصالات إلى بنية تحت سيطرة المدافعين بدلاً من البنية الإجرامية، بهدف عزل الأجهزة المصابة وتعطيل قناة الأوامر الخاصة بالمشغّل. 17

كيف أصبحت ميزة Sality نقطة ضعفها

عكس باحثو CrowdStrike هندسة اتصالات Sality الندّية، وركزوا على آلية قائمة الأقران: وهي البيانات التي تستخدمها الأجهزة المخترقة للعثور على أجهزة أخرى في الشبكة. وحددوا نقاط ضعف في طريقة قبول هذه المعلومات ونشرها، ثم أدخلوا إلى الشبكة بيانات أقران مضللة. 613

والنتيجة العملية هي توجيه الأنظمة المصابة نحو بنية الـsinkhole الخاضعة للسيطرة، بدلاً من شبكة المشغّل. بذلك مُنع المشغّل من استخدام الشبكة النشطة لإصدار تعليمات تنزيل جديدة أو إرسال حمولات خبيثة إضافية. 67

كان هذا التعطيل معقداً على نحو غير معتاد، إذ لم يكن المطلوب إزالة خادم مركزي واحد. بل كان ينبغي التصدي لنظام موزع تستطيع فيه الأجهزة المصابة تبادل معلومات الشبكة بصورة مستقلة. ولهذا احتاجت العملية إلى مسار قانوني لمصادرة النطاقات وتدخل تقني متزامن يتفوق على آلية الاكتشاف داخل الشبكة نفسها. 167

ما الذي استُخدمت Sality من أجله؟

استُخدمت Sality على مدى أكثر من عقدين لتوزيع برمجيات خبيثة على الأجهزة المصابة. وتشير التقارير والحسابات الرسمية إلى استخدامها في إرسال الرسائل المزعجة، وهجمات حجب الخدمة الموزعة (DDoS)، وسرقة بيانات الاعتماد، وسرقة العملات المشفرة. 6

ومن الحمولات المنسوبة إليها برمجية EggJagger، التي كانت تراقب حافظة النسخ لدى الضحية بحثاً عن عناوين محافظ العملات المشفرة، ثم تستبدلها بعنوان يسيطر عليه المهاجم. وقد يؤدي ذلك إلى تحويل مدفوعات بيتكوين أو إيثريوم المقصودة إلى المهاجم. وقدّرت CrowdStrike أن EggJagger سرقت ما لا يقل عن 150 ألف دولار من العملات المشفرة وحدها. 6

دور مؤسسة Shadowserver

كانت مؤسسة Shadowserver شريكاً من القطاع الخاص في عملية التعطيل متعددة الجنسيات، إلى جانب CrowdStrike وأجهزة إنفاذ القانون. وقد سمتها وزارة العدل الأمريكية، مع CrowdStrike، ضمن المتعاونين في الجهد المنسق لتعطيل Sality وإسقاط بنيتها التحتية. 1

وتبرز هذه الشراكة أن تعطيل شبكات الروبوتات لا يقتصر على الجانب التقني أو القانوني وحده: مصادرة النطاقات تحتاج إلى سلطة قانونية وتنسيق عابر للحدود، بينما يتطلب الـsinkholing تحليلاً متخصصاً وتنفيذاً تقنياً دقيقاً. الجمع بين المسارين قلّص قدرة المشغّل على الوصول إلى الشبكة المخترقة. 17

لماذا لا تزال الأجهزة المصابة تمثل خطراً؟

تعطيل شبكة الروبوتات لا يساوي تنظيف كل جهاز أصيب بها. وقالت CrowdStrike إن Sality مكّنت مشغّلها من توزيع حمولات خبيثة على أكثر من 33 ألف جهاز مصاب حول العالم. 7

بالنسبة إلى فرق الدفاع السيبراني، قد يظل الجهاز المصاب موطئ قدم محتملاً: فقد يحتوي على برمجية خبيثة، أو يكون قد تعرض لسرقة بيانات اعتماد، أو يحتاج إلى فحص بحثاً عن نشاط لاحق. يقطع الـsinkhole مسار الأوامر النشط الذي استهدفته العملية، لكنه لا يغني المؤسسات عن تحديد الأجهزة المتأثرة ومعالجتها.

كما أن النتيجة على المدى الطويل ليست محسومة. لم يُكشف علناً عن هوية مشغّل Sality، وما تدعمه المعلومات المتاحة هو وصف العملية بأنها تعطيل للشبكة، لا برهان على أن التهديد لن يعود. فقد يحاول المشغّل استعادة الوصول، أو تعديل البرمجية الخبيثة، أو إنشاء بنية بديلة. 17

الخلاصة

توضح قضية Sality لماذا تستطيع شبكات الروبوتات الندّية البقاء لسنوات، ولماذا يتطلب تفكيكها أكثر من إغلاق بضعة خوادم. فقد ساعدها تصميمها اللامركزي على الصمود، لكنه أتاح للمحققين أيضاً طريقاً لعزلها عندما نُسقت الهندسة العكسية والـsinkholing والإجراءات القانونية الدولية بفاعلية. 167