Volt Typhoon تستخدم إطار Silent Train لاستهداف الأنظمة الحساسة

Volt Typhoon: هجمات خفية بإطار Silent Train

كشفت الأبحاث أن مجموعة Volt Typhoon، المدعومة من الدولة الصينية، تستخدم إطار عمل جديداً يُدعى Silent Train. هذا الإطار يعتمد على سلاسل متغيرة من الأجهزة المخترقة، ويستخدم في هجمات Zero-Day التي تستهدف الأنظمة ذات القيمة العالية.

باحثون في Black Lotus Labs، وهي قسم أبحاث التهديدات في شركة الاتصالات Lumen، تتبعوا Silent Train لثلاث سنوات. أكدوا أن Volt Typhoon استغلت أربع ثغرات Zero-Day على الأقل في هجماتها، التي استهدفت البنية التحتية الطرفية والإدارية.

يعمل Silent Train كبنية تحتية لإخفاء مصدر الهجمات. يقوم المهاجمون بتوجيه نشاطهم عبر بنية تحتية لـ VPS خارج الولايات المتحدة، ثم يمررونها عبر أجهزة مخترقة، مثل أجهزة التوجيه (routers)، التي تعمل كمحطات وسيطة قبل شن الهجمات.

على سبيل المثال، استخدمت مودمات Intelbras كمحطات ترحيل في الخارج، بينما عملت أجهزة Netgear Orbi كنقاط وصل داخل الولايات المتحدة.

تتضمن عمليات Volt Typhoon باستخدام Silent Train استغلال الثغرات، وسرقة بيانات الاعتماد، واستخراج البيانات، والحفاظ على وصول عن بعد للأنظمة المخترقة.

بعد انتهاء الجلسة، والتي تستغرق عادة أقل من 8 ساعات، يقوم المهاجمون بإزالة جميع أدواتهم ومفاتيحهم وملفات التكوين من الأجهزة المؤقتة.

بحلول أوائل عام 2025، لاحظ الباحثون أن الإطار أصبح هجيناً، مستخدماً أجهزة ترحيل مؤقتة إلى جانب أنظمة مؤسسية مخترقة يتم الاحتفاظ بها لمدة تتراوح بين شهر وثلاثة أشهر.

يعتقد Black Lotus Labs أن Silent Train مخصص للأهداف ذات القيمة العالية والعمليات الدقيقة التي تتم يدوياً، وغالباً ما تُنفذ بتوقيت الصين القياسي (CST). استخدام ثغرات Zero-Day ضد هذه الأهداف يعزز هذا الافتراض.

ماذا يعني إطار Silent Train وكيف يعمل؟

إطار Silent Train سُمي بهذا الاسم لأنه يستخدم ضد أهداف مختارة بعناية، ويتم تنظيفه بعد كل عملية، وتحديثه باستمرار. تخيل قطاراً يدخل ويخرج بهدوء شديد، لا يترك وراءه أي أثر. هذا هو بالضبط ما يحاول المهاجمون فعله.

هو في الأساس بنية تحتية لترحيل الهجمات، تتكون من أجهزة تم اختراقها مسبقاً. تستخدمها مجموعة Volt Typhoon لإخفاء مصدر هجماتها الحقيقي.

يقوم المهاجمون باستغلال واجهات الويب المكشوفة في أجهزة SOHO و IoT وأجهزة الترحيل الأخرى. ثم يقومون بنشر الأدوات اللازمة فقط لتمكين الوصول المتسلسل عبر SSH من خلال العقدة المخترقة.

يتضمن ذلك خدمات SSH المؤقتة، ومفاتيح الوصول، وملفات التكوين، وأدوات "العيش من الأرض" (live off the land) التي تستخدم أدوات النظام الموجودة أصلاً.

ربما تتساءل: ما هي ثغرات Zero-Day؟ ببساطة، هي عيوب أو نقاط ضعف في البرامج أو الأجهزة تكون غير معروفة للمطورين أو الشركات المصنعة. هذا يعني أنه لا يوجد تحديث أو تصحيح متاح لإصلاحها بعد، مما يجعلها خطيرة جداً.

جزئياً، تم دفع نشر Silent Train بسبب قيام مكتب التحقيقات الفيدرالي (FBI) بتعطيل KV-Botnet، وهي شبكة روبوتات كانت Volt Typhoon تستخدمها سابقاً لتجنب الكشف عند مهاجمة البنية التحتية الحيوية في الولايات المتحدة. هذا يوضح كيف يتكيف المهاجمون مع الجهود الدفاعية.

لماذا يهمنا هذا الخبر وماذا يعني لنا؟

تستهدف هذه الهجمات قطاعات حيوية جداً، مثل شركات الاتصالات، والوكالات الحكومية، ومقاولي الدفاع، والمؤسسات التعليمية، والمرافق والبنية التحتية الحيوية، ومقدمي خدمات الأقمار الصناعية، وشركات تكنولوجيا المعلومات، ومقدمي الخدمات المدارة (MSPs)، وقطاعات النقل والطيران وخدمات الطوارئ.

هل تتخيل ماذا قد يحدث لو توقفت إحدى هذه الخدمات؟ قد يؤثر ذلك على حياتنا اليومية بشكل مباشر، من الاتصالات إلى الكهرباء وحتى خدمات الطوارئ.

تشير ملاحظات Black Lotus Labs إلى أن المناطق الأكثر استهدافاً هي كاليفورنيا وتكساس وهاواي، مما يوحي بالتركيز على الشؤون المتعلقة بمنطقة المحيطين الهندي والهادئ.

حذرت CISA سابقاً من أن Volt Typhoon تسعى لإنشاء وصول محتمل لتعطيل الخدمات خلال أزمة أو صراع مستقبلي. هذا لا يتعلق بسرقة البيانات فقط، بل بالقدرة على إحداث شلل.

اختراق هذه المنصات يمنح المهاجمين سيطرة إدارية واسعة، مما يمكنهم من سرقة بيانات الاعتماد، والوصول عن بعد، والوصول إلى العملاء النهائيين دون الحاجة إلى "الحركة الجانبية الصاخبة" التي قد تؤدي إلى كشفهم.

توصي Black Lotus Labs بتقوية الأمن حول أنظمة الإدارة المركزية، وتقييد الوصول إلى الإنترنت للواجهات الإدارية، وتصحيح الثغرات بسرعة، ومركزة السجلات مع الاحتفاظ بها لفترة أطول.

كما تنصح بمراقبة أي نشاط إداري غير عادي، ومراجعة الاتصالات الموثوقة التي قد تعرض شبكات العملاء أو الشركاء للخطر، واتباع إرشادات CISA و NCSC بشأن Volt Typhoon. تذكر، الوقاية هي خط الدفاع الأول، ولكن ما يحدث بعد الاختراق الأولي هو الأهم.