في مكان ما داخل شبكتك يوجد صندوق يحفظ مفاتيح كل شيء، ولا أحد في مجلس الإدارة يعرف اسمه.
هذا الصندوق هو في الغالب جهاز دعم عن بُعد. وُجد كي يتمكن الفني من الاطلاع على خوادمك في الثانية صباحًا من دون أن يقود إلى مركز البيانات. وهو متاح من الإنترنت بحكم التصميم، لأن هذا هو جوهر وظيفته. ويكاد يكون دائمًا يخزّن بيانات اعتماد: مدير النطاق، والهايبرفايزر، وحسابات الخدمة، وكل ما يلزم.
هذا الأسبوع رأينا بوضوح شديد ما يحدث عندما يعثر شخص آخر على هذا الصندوق قبلك.
ما الذي حدث فعليًا
في 16 أكتوبر، نشرت Mandiant وGoogle Threat Intelligence سلسلة حادثة تخص مجموعة مرتبطة بالصين تُتابع باسم Armory Castle، وكانت مرتبطة سابقًا بـ UNC5221 وWarp Panda. استخدمت المجموعة الثغرة CVE-2026-102764، وهي خلل في التحقق من الأصل بتقييم CVSS 9.8 في BeyondTrust Remote Support، كـ zero-day لنحو ستة أسابيع قبل صدور تحديث أمني.
الآلية تستحق التوقف عندها:
- كان الخلل في مكوّنات داخلية أخفقت في التحقق من أصل الرسائل. وفي ظروف مناسبة، أتاح ذلك للمهاجم تنفيذ عمليات ملفات على الجهاز نفسه.
- بدأ الاستغلال في موعد لا يتأخر عن 29 أغسطس. وأُبلغت BeyondTrust في أواخر سبتمبر، ثم صدر التحديث.
- بعد الدخول، رفعت المجموعة صلاحياتها، وتحركت جانبيًا، واستخرجت كل بيانات الاعتماد المخزنة على الجهاز أو المتاحة من خلاله، ونشرت أدوات مخصصة تُتابع باسمي Sawfly وBareclaw.
- كما عدّلت ملفات دائمة تبقى بعد إعادة التشغيل وإعادة الضبط إلى إعدادات المصنع. أعد قراءة الجملة السابقة. إعادة الضبط لم تكن استعادة.
- أصبحت CVE-2026-102764 مدرجة الآن في كتالوج الثغرات المعروفة باستغلالها لدى CISA، بوصفها ثغرة يجري استغلالها فعليًا.
شملت الأهداف شركات خدمات قانونية، ومزوّدي SaaS، وشركات BPO، وشركات تقنية، وجهات حكومية في عدة دول. بعبارة أخرى: الملف نفسه للشركات التي تدير فرق تقنية صغيرة وتُسند جزءًا كبيرًا من خدماتها المُدارة إلى مزوّدين خارجيين. وإن بدا ذلك وصفًا لنصف الشركات المتوسطة في الخليج، فالأمر كذلك بالفعل.
لماذا يُعدّ الدعم عن بُعد أخطر جهاز في شبكتك
نُنفق قدرًا كبيرًا من الجهد على طبقة النموذج. حقن الأوامر، وضوابط الحماية، وصلاحيات الوكلاء، والعزل البيئي. كل ذلك مهم. لكن مسار الاختراق هنا لم يلمس أي نموذج لغوي. لمس أداة دعم.
تأمل ما هو جهاز الدعم عن بُعد وظيفيًا. إنه وكيل بعيد موثَّق بشكل دائم، ويحمل دعوة مفتوحة لتجاوز حدود شبكتك. ولا خيار له في ذلك، وإلا لم يستطع أداء عمله. وهذا يعني أنه يقف على الجانب الخطأ من حدود الثقة بحكم التصميم: مكشوف على الإنترنت، وغني بالجلسات، ومحمّل ببيانات اعتماد عميقة.
ثلاث خصائص تجعله أسوأ من أي جهاز طرفي تقليدي:
- يجمع الثقة في نقطة واحدة. قد يحفظ جهاز واحد بيانات اعتماد لعشرات البيئات. اخترق واحدًا، فترث نطاق الأثر الخاص بها جميعًا.
- يبدو نشاطه مشروعًا. من المفترض أن يتصل الفنيون عن بُعد، وينسخوا الملفات، ويعيدوا تشغيل الخدمات، ويمسحوا السجلات. اكتشاف النية الخبيثة داخل هذه الضوضاء صعب حقًا.
- تنظيفه خادع. التعديلات الدائمة التي تبقى بعد إعادة التشغيل وإعادة الضبط تكسر النموذج الذهني الذي تحمله معظم الفرق إلى الاستجابة للحوادث: أعد تصوير الجهاز، استعده، ثم امضِ. هنا، قد تُبقي إعادة تصوير الجهاز على موطئ القدم إذا استعدت من حالة ملوثة أو أغفلت مسار بقاء يعمل خارج الخط.
هذا هو الجزء المقلق في القصة. الاختراق ليس غريبًا. الافتراض الخاص بالاستعادة هو الغريب.
الإشارة التي يمكنك التحرك بها هذا الأسبوع
إذا كنت تشغّل BeyondTrust Remote Support في أي مكان داخل شبكتك، فالأسئلة العاجلة ليست فلسفية.
أولًا، ثبّت التحديث الخاص بـ CVE-2026-102764 الآن. لا في نافذة التغيير القادمة. الآن.
ثانيًا، احسم بصدق ما إذا كان أي من هذه الأجهزة متاحًا من الإنترنت وغير محدّث خلال فترة التعرّض. إن كان الجواب نعم، فتعامل مع الجهاز كأنه مخترق حتى تثبت العكس. وهذا يعني مراجعة جنائية، لا فحصًا سريعًا وهزّ كتفين.
ثالثًا، غيّر كل بيانات الاعتماد المخزنة على الجهاز أو المتاحة من خلاله. كلها. ليس فقط تلك التي ظهرت عليها عمليات دخول مريبة. فسلوك المجموعة الموثّق هو سرقة كاملة لبيانات الاعتماد، وتغيير بيانات الاعتماد أرخص بكثير من دخول ثانٍ.
رابعًا، ابحث عن الأدوات. Sawfly وBareclaw، وعمليات ملفات شاذة على الجهاز، وحركة جانبية من الجهاز إلى شبكات الإدارة، وأنماط حذف سجلات تتوافق مع خط الأساس المعتاد للفنيين.
خامسًا، وهذه هي الخطوة التي تدوم: قلّل ما يمكن للجهاز الوصول إليه. جزّئ واجهات الإدارة. أنهِ الصلاحيات الدائمة التي لا تستخدمها. اجعل مكتب الدعم ممرًا ضيقًا بدلًا من مفتاح رئيسي يفتح كل شيء.
النمط الأوسع: الراحة سطح هجوم
هذا هو الشكل المتكرر في أسبوعي تغطيتنا الأخيرين. تستمر الأنظمة في التعرض للاختراق عند نقطة الالتقاء بين الراحة التشغيلية والصلاحيات العميقة. جهاز دعم عن بُعد. رمز نشر حزم. بيئة تشغيل لوكيل تملك وصولًا شبكيًا ومحفظة.
الخيط المشترك ليس فئة من الأخطاء البرمجية. إنه البنية المعمارية: نستمر في بناء أدوات وصفها الوظيفي هو «التصرف بصلاحيات عالية بالنيابة عن شخص آخر»، ثم نضعها في مكان يمكن الوصول إليه، مع سجلات تبدو طبيعية وبيانات اعتماد لا تتغير أبدًا.
بالنسبة للفرق التي تبني على الوكلاء، التوازي دقيق. الوكيل القادر على النشر أو تنفيذ المعاملات أو قراءة بيانات العملاء هو جهاز دعم عن بُعد بشعار مختلف. نطاق أثره يُحدَّد بما يستطيع الوصول إليه، لا بمقدار العناية التي صغت بها توجيهات النظام.
لذا لم يعد سؤال التصميم «هل هذا الشيء يتصرف بشكل سليم». بل «ماذا يحمل هذا الشيء، ومن يستطيع الوصول إليه، وبأي سرعة نستطيع إثبات أنه لم يُلمس، وبأي سرعة نستطيع إعادة بنائه من حالة سليمة معروفة».
ما تقوله aratech لعملائها هذا الأسبوع
نوصي بتمرين قصير وممل وعالي القيمة: اجرد كل جهاز وكل وكيل وكل تكامل يحمل صلاحية دائمة، ثم أجب عن أربعة أسئلة لكل منها. هل هو متاح من الإنترنت؟ وما بيانات الاعتماد التي يخزنها؟ وما الذي يستطيع الوصول إليه؟ وكيف نثبت أنه نظيف؟
تكتشف معظم المؤسسات ما بين خمسة وعشرين من هذه العناصر. ولا تكاد أي منها تملك الإجابات الأربع مكتوبة.
ستُذكر قصة BeyondTrust كحملة تجسس مرتبطة بالصين استهدفت منتج دعم عن بُعد واسع الانتشار. أما الدرس الباقي فأصغر وأحدّ. أغلى ما في شبكتك لم يكن قاعدة البيانات يومًا. بل الأداة التي كانت تستطيع الوصول إليها أصلًا، وكانت متاحة من الإنترنت، وبداخلها كل المفاتيح.
ثبّت تحديث الجهاز. ثم اذهب وأحصِ البقية.