ملف تكين الخاص: الرادار السيبراني والزلازل الأمنية (يونيو ٢٠٢۶)

١. ثغرة بالو ألتو القاتلة: التسلل الصامت عبر بوابات GlobalProtect

في منتصف يونيو ٢٠٢۶، أطلقت شركة Palo Alto Networks الشهيرة، والتي تُعتبر أحد الركائز الأساسية للأمن السيبراني المؤسسي في العالم، ناقوس خطر غير مسبوق. أكد العملاق الأمني، من خلال إصدار تحذير عاجل، أن مهاجمين مجهولين مدعومين من دول (State-Sponsored Actors) يقومون بالاستغلال النشط (Active Exploitation) لثغرة أمنية حرجة تم اكتشافها حديثاً في نظام تشغيل الجدران النارية الخاص بهم PAN-OS. هذه الثغرة الأمنية، المسجلة في كتالوج الثغرات بالمعرف CVE-2026-0257، تستهدف بشكل مباشر بوابات GlobalProtect؛ وهي البوابات التي يُفترض أن تكون نفق الاتصال الأكثر أماناً للموظفين العاملين عن بُعد مع الشبكة المؤسسية الحساسة. وهذا الحادث يعني انهيار خط الدفاع الأول للعديد من الوكالات الحكومية، والمستشفيات، والبنى التحتية للطاقة على المستوى الدولي.

آلية هذه الثغرة بسيطة بشكل مدمر لدرجة أنها تركت مهندسي الأمن في صدمة. هذا الخطأ هو من نوع تجاوز المصادقة (Authentication Bypass) وقد سجل درجة عالية تبلغ ٧.٨ في معايير التقييم الأمني CVSS. في الظروف العادية، يتطلب اختراق خوادم GlobalProtect كسر كلمات المرور، وتجاوز المصادقة الثنائية (2FA)، واختطاف الجلسات (Session Hijacking). لكن باج CVE-2026-0257 يسمح للمهاجم بإرسال حزمة بيانات متلاعب بها (Crafted Payload) نحو البوابة، ودون تقديم أي اسم مستخدم أو كلمة مرور، يقوم بانتحال صفة مستخدم شرعي أو حتى مدير نظام.

بمجرد تجاوز المصادقة، يدخل المهاجم فوراً في مرحلة "الحركة الجانبية" (Lateral Movement). يمكنه التسلل عبر شبكات المؤسسة، وتحديد خوادم قواعد البيانات، وتثبيت أبواب خلفية (Backdoors) دائمة، والاستعداد لسرقة البيانات أو نشر برامج الفدية (Ransomware) على مستوى الشبكة. كل هذا يحدث دون إطلاق أي تنبيه (Alert) مشبوه في أنظمة كشف التسلل (IDS) التقليدية، لأن الطلب يبدو وكأنه صادر من مصدر مصادق عليه.

يشير محللو الاستجابة السريعة إلى أن تطبيق التحديثات الأمنية (Patches) على أجهزة الجدران النارية المؤسسية هو عملية معقدة تتأخر عادة لعدة أيام. المهاجمون، وهم على دراية تامة بهذا التأخير، أطلقوا المئات من روبوتات المسح الآلية عبر الإنترنت للبحث عن خوادم PAN-OS الضعيفة. أثبت هذا الهجوم بشكل قاطع أنه في العصر الحديث، حتى أقوى بوابات الدخول لا يمكنها ضمان أمن خالٍ من العيوب.

٢. سقوط Outsider Enterprise: عملية مشتركة للـ FBI ضد مافيا التصيد بالذكاء الاصطناعي

في أواخر يونيو، صُدمت وسائل الإعلام التكنولوجية بأخبار عن عملية شرطة سيبرانية معقدة للغاية. نجح مكتب التحقيقات الفيدرالي الأمريكي (FBI)، في عملية سيبرانية مشتركة بالتعاون مع قسم استخبارات التهديدات في جوجل (Google Threat Intelligence) ومهندسي شركة Black Lotus Labs، في تفكيك واحدة من أكثر شبكات الجرائم السيبرانية حداثة وتدميراً في التاريخ. هذه الشبكة المافياوية، التي كانت تعمل في الدارك ويب تحت الاسم التجاري Outsider Enterprise، كان مقرها في الصين وتقدم خدمات مرعبة تحت مسمى "التصيد كخدمة" (Phishing-as-a-Service).

في الجيل السابق من هجمات التصيد الاحتيالي، كان على المخترق تسجيل نطاق يشبه اسم بنك، ونسخ كود المصدر للموقع المستهدف، وقضاء ساعات في ضبط أكواد نموذج تسجيل الدخول. لكن بنية Outsider Enterprise جعلت هذه العملية عفا عليها الزمن. محرك الذكاء الاصطناعي الخاص بالشبكة قادر، بمجرد إعطائه كلمة رئيسية واحدة، على إنشاء عشرات الآلاف من روابط (URLs) التصيد الاحتيالي التي تحتوي على تركيبات نفسية مقنعة للغاية. في الوقت نفسه، تقوم النماذج اللغوية لهذه الشبكة بإنشاء رسائل بريد إلكتروني احتيالية مع مراعاة القواعد النحوية بدقة وبنبرة رسمية للمؤسسات، والتي تعبر حتى من أقوى فلاتر البريد العشوائي (Spam).

لم يكن انتصار الـ FBI في هذه القضية ممكناً لولا آلات التعلم الخاصة بجوجل. المتخصصون في جوجل، باستخدام تحليل خوارزميات السلوك، تمكنوا من تحديد التوقيع الرقمي للأكواد التي ينتجها محرك الذكاء الاصطناعي لـ Outsider. بمجرد اكتشاف هذا التوقيع، أدرجت جوجل جميع هذا المليون نطاق في القائمة السوداء لخدمة التصفح الآمن (Google Safe Browsing). أثبتت هذه المعركة أن مكافحة آلات الذكاء الاصطناعي الهجومية تتطلب أدوات دفاعية من الجيل الجديد.

٣. عصابة الاحتيال Sniper Dz: الهندسة الاجتماعية المميتة في الشرق الأوسط (MENA)

بينما تتجه أنظار العالم نحو الأخطاء المعقدة في البنية التحتية، فإن تهديداً أكثر مباشرة ومحلية يستهدف مستخدمي الإنترنت العاديين في منطقة الشرق الأوسط وشمال إفريقيا (MENA). كشف خبراء استخبارات التهديدات في شركة الأمن المرموقة Group-IB، مؤخراً عن الأنشطة الخبيثة لشبكة منظمة تُدعى Sniper Dz. لقد خدعت هذه الحملة مئات الآلاف من المستخدمين باستخدام تقنيات تستهدف بشكل مباشر الاحتياجات اليومية والاقتصادية للأفراد.

قام أعضاء هذه الشبكة بإنشاء مئات الحسابات الوهمية على منصة فيسبوك (ومؤخراً روابط خبيثة على تليجرام). هذه الحسابات، من خلال انتحال شخصيات وزراء وهيئات حكومية ببراعة، تنشر منشورات مخادعة للغاية. نصوص هذه العروض المزيفة مترجمة ومكيفة محلياً بالكامل؛ مثل رسائل بعنوان "احصل على إنترنت موبايل مجاني بمناسبة الأعياد" و"التسجيل للحصول على إعانات الدعم الحكومية".

المستخدمون الذين يقعون في فخ هذه الطعوم النفسية، وبعد النقر على الروابط، يواجهون نموذجاً يبدو احترافياً. في هذه الصفحات، يستخدم المتسللون تقنية اختطاف المتصفح (Browser Hijacking) لعرض إشعارات تحذير وهمية للمتصفح تجبر نظام المستخدم على تنزيل تطبيق "ضروري". ملف التثبيت هذا هو في الواقع برنامج تجسس (Spyware) احترافي يعمل على أندرويد، وبمجرد تثبيته، من خلال إساءة استخدام خدمات الوصول (Accessibility Services) في أندرويد، يقوم باعتراض رموز المصادقة الثنائية (OTP) المرسلة عبر الرسائل القصيرة من البنك في الخلفية ويسلب حساب الضحية في ثوانٍ معدودة.

٤. ناقوس الخطر لمديري المواقع: أبواب خلفية خفية في إضافات ووردبريس

لطالما كان أمن نظام إدارة المحتوى ووردبريس (WordPress)، الذي يشغل أكثر من ٤٠٪ من مواقع الويب النشطة في العالم، مصدر قلق أساسي في العالم السيبراني. لكن تقريراً حديثاً للباحثين الأمنيين يشير إلى تطور برمجي مرعب للغاية: هجوم ناجح على سلسلة التوريد (Supply Chain Attack) استهدف إضافات (Plugins) موثوقة. تمكن المهاجمون المحترفون، عبر سرقة رموز وصول المطورين (Developer Tokens)، من اختراق وتعديل أكواد برمجية في ثلاث إضافات تسويق تحظى بشعبية كبيرة وهي: OptinMonster، و PushEngage، و TrustPulse في المستودع الرسمي.

هذه البرمجيات الخبيثة، المخفية بين أكواد جافا سكريبت السليمة، تعمل بطريقة غير محسوسة بشكل غريب. عندما يقوم مستخدم عادي بتحميل الموقع، يتم تنفيذ الملفات المعدلة دون أي سلوك مشبوه. لكن البرمجيات الخبيثة تتحقق باستمرار من حالة رموز الدخول (Tokens). بمجرد دخول مدير نظام بصلاحيات مسؤول (Admin) إلى لوحة تحكم ووردبريس، يعمل البرنامج النصي الخبيث كعقبة ذكية ويستغل الجلسة المعتمدة للمسؤول. في الخلفية، يقوم بإنشاء حساب مستخدم مسؤول جديد بكلمة مرور عشوائية للمخترقين، ثم يقوم بتنزيل وتثبيت إضافة مخفية لإنشاء باب خلفي (Backdoor) دائم للتحكم الكامل في الموقع.

هذه الدقة في تنفيذ التعليمات البرمجية الخبيثة تجعل مضادات الفيروسات على مستوى الخادم غير قادرة على اكتشاف هذا الخرق الأمني على الإطلاق. هذا الحدث يجعل المراقبة الدورية لقاعدة البيانات والمستخدمين النشطين أمراً حيوياً لجميع أصحاب الأعمال التجارية عبر الإنترنت.

٥. جيش كروم الصامت: الكشف عن شبكة ضخمة تضم ١٥٢ إضافة خبيثة

تحولت العادة اليومية لمستخدمي الإنترنت لتجميل متصفحاتهم، في صمت، إلى نقطة الضعف القاتلة في الأمن السيبراني. كشف كبار باحثي أمن السحابة عن شبكة خبيثة منظمة تضم أكثر من ١٥٢ إضافة خبيثة لمتصفح كروم. هذه الإضافات تم وضعها للتحميل في متجر Chrome Web Store تحت عناوين جذابة مثل "خلفيات حية"، وتمكنت من تجاوز نظام المراجعة الخاص بجوجل. نجحت هذه العصابات في جذب أكثر من ١٠٥ آلاف مستخدم مخدوع، لتتحول أنظمتهم عملياً إلى زومبي في جيش المخترقين الصامت.

بعد تثبيت الإضافة، تتم السيطرة على الصفحة الرئيسية (Home) للمستخدم، وتقوم الإضافة بتثبيت برنامج خبيث جانبي خفيف للتحكم في حركة مرور المتصفح. في الخلفية، تبدأ الإضافة في تحميل صفحات إعلانية ثقيلة، والنقر الوهمي على اللافتات (Banners)، وتوليد حركة مرور مزيفة. هذه العملية، التي تُعرف باسم الاحتيال بالنقرات (Click Fraud)، تؤدي إلى استنزاف موارد النظام وتدر ملايين الدولارات من الأرباح غير المشروعة للقراصنة.

قامت جوجل بإزالة معظم هذه البرامج من متجرها، ولكن من أجل التطهير النهائي، يجب على المستخدم نفسه حذف (Delete) هذه الإضافات يدوياً من متصفحه.

انعكاس هذه الموجة الهائلة من الهجمات السيبرانية لا يقتصر فقط على غرف خوادم المؤسسات، بل يُشعر به بوضوح أيضاً في الأسواق المالية والبورصات الدولية. يقوم المستثمرون بفحص دقيق لمدى تعرض أصولهم للخطر، وفي الوقت نفسه تتدفق موجة جديدة من السيولة النقدية نحو الشركات الناشئة الرائدة في مجال الذكاء الاصطناعي الدفاعي.

للمساعدة في فهم التحديات الأمنية المطروحة بشكل أفضل، قام فريق التحرير في تكين جيم بتجميع الأسئلة الأكثر تكراراً التي طرحها المستخدمون ومديرو الشبكات علينا: