ملخص تهديدات الأمن السيبراني14-04-2026

شهدت الساعات الأخيرة مزيجًا من تسريبات بيانات مؤثرة، وحملات برمجيات خبيثة وتصيّد متقدمة، إلى جانب ثغرات حرجة وتحديثات عاجلة. كما برزت مخاطر البنية السحابية وواجهات API المهجورة، مع تصاعد تهديدات تستهدف الأنظمة الصناعية.

تسريبات/اختراقات بيانات

• Rockstar Games: مجموعة ShinyHunters زعمت الوصول إلى بيانات الشركة عبر منصة Anodot باستخدام رموز مصادقة مسروقة والوصول إلى Snowflake. أكدت الشركة أن المعلومات التي تم الوصول إليها «غير حساسة» ولا تأثير على بيانات اللاعبين أو العمليات، دون تفصيل لحجم أو نوع البيانات. الهجوم جزء من حملة أوسع ضد جهات تستخدم Anodot وSnowflake، واعتمد على إعادة استخدام رموز مصادقة شرعية لا ثغرة برمجية.
• Basic-Fit: اختراق كشف بيانات نحو مليون عضو، شمل الاسم وتاريخ الميلاد ووسائل التواصل وتفاصيل الحساب البنكي، بينما لم تتسرّب كلمات المرور أو وثائق الهوية. أبرز المخاطر تتمثل في التصيّد والهندسة الاجتماعية المالية.

توصيات

• مراجعة ربط وحوكمة حسابات الطرف الثالث السحابية، وتدوير الرموز والتصاريح ومراقبة الأنشطة.
• للمتضررين من Basic-Fit: مراقبة كشوف الحساب البنكي، الحذر من اتصالات تدّعي الانتماء للشركة أو البنك، وتفعيل المصادقة الثنائية.

ثغرات وتحديثات أمنية

• أدوات المطورين على لينكس: ضعف تأمين أدوات داخلية مثل Marimo وFalkorDB وJupyter يتيح دخولًا بلا مصادقة وتنفيذ أوامر ورفع الصلاحيات حتى root. ثغرات CVE-2026-39987 وCVE-2026-6057 تهدد قواعد البيانات والشفرة ومفاتيح البنية السحابية.
• wolfSSL: ثغرة CVE-2026-5194 في التحقق من توقيعات ECDSA قد تسمح بقبول شهادات مزورة؛ تم إصلاحها في wolfSSL 5.9.1.
• Nginx وFreeNginx: إصدار Nginx 1.29.8 وتحديث FreeNginx يصحح ثغرات ويضيف دعمًا كاملًا لـ OpenSSL 4.0 وميزة «max_headers»، مع تحسينات في التوجيه ومعالجة المتغيرات.
• واجهات API المهجورة: نقاط نهاية قديمة ما تزال متاحة بلا رقابة تشكّل مسارًا لهجمات تتجاوز MFA وZero Trust؛ أمثلة واقعية شملت حوادث Optus 2022 وT‑Mobile 2023.
• Pixel 10: دمج محلل DNS بلغة Rust في برمجيات المودم لتقليل ثغرات أمان الذاكرة.

توصيات

• تأمين أدوات المطورين بمصادقة قوية (SSO/MFA)، تعطيل الواجهات غير الضرورية، عدم التشغيل بصلاحيات root، ومراقبة السجلات.
• تحديث wolfSSL إلى 5.9.1 أو أحدث.
• ترقية Nginx/FreeNginx إلى الإصدارات الأخيرة واختبار التوافق قبل النشر.
• رصد واجهات API المهجورة عبر تحليل الحركة (مثل Istio أو Linkerd)، تنفيذ إيقاف مؤقت قبل الحذف، وتفعيل ضبط مبني على الهوية مع رموز قصيرة العمر.
• تحديث أجهزة Pixel عند توفر الإصدارات الجديدة.

برمجيات خبيثة وتكتيكات هجومية

• APT37: حملة تصيّد عبر فيسبوك وتليجرام تدفع الضحايا لتثبيت نسخة مزيفة من Wondershare PDFelement، مع حقن في %windir%\System32\dism.exe وقناة تحكم عبر Zoho WorkDrive لجمع معلومات النظام والملفات والصوتيات. مؤشرات: Wondershare_PDFelement_Installer(PDF_Security).exe، 1288247428101.jpg.
• اختراق CPUID: تحويل روابط التنزيل بين 9 و10 أبريل لتوزيع STX RAT بسرقة بيانات الاعتماد ومحافظ العملات، عبر DLL Sideloading باستخدام CRYPTBASE.dll. مؤشرات: supp0v3[.]com، ai.supp0v3.com، CRYPTBASE.dll.
• Storm: برمجية جديدة تسرق كلمات المرور والكوكيز وجلسات الخدمات (مثل Google وMicrosoft 365) بإرسال ملفات المتصفح المشفرة للخادم لفك التشفير. مؤشرات: Forum handle: StormStealer، Forum ID: 221756، Windows only | v0.0.2.0.
• MSBuild بدون ملفات: استغلال ملفات .csproj لتنفيذ شيفرات ضارة من الذاكرة ونشر PlugX عبر أرشيف ZIP، ما يصعّب الاكتشاف كون الأداة موقعة من مايكروسوفت.

توصيات

• تجنب تثبيت برمجيات من روابط غير رسمية، ومراقبة أي نشاط غير معتاد خاصة عمليات dism.exe، واستخدام حلول EDR سلوكية.
• عدم فتح ملفات مشاريع أو أرشيفات مجهولة المصدر، ورصد تشغيل MSBuild.exe وما يتفرع عنه.
• لمن حمّل برامج من موقع CPUID خلال 9‑10 أبريل: فحص الجهاز، حذف الملفات المحمّلة، تغيير كلمات المرور، ومراجعة سجلات DNS للمؤشرات المذكورة.

التصيّد والهندسة الاجتماعية

• إشعارات GitHub وJira: إساءة استخدام أنظمة التنبيهات لإرسال رسائل تبدو شرعية وتتجاوز SPF/DKIM/DMARC، مع روابط تتعلق بفواتير أو مشكلات حساب. سُجل أن 2.89% من رسائل GitHub بيوم واحد ارتبطت بهذا النمط.
• تصيّد موجه بملفات PDF: استغلال OpenAction لفتح صفحات سرقة بيانات تلقائيًا، ورموز QR تعبئ بريد الضحية مسبقًا، واستضافة على خدمات سحابية موثوقة، إضافة إلى إدراج بريد مشابه ضمن CC في سلاسل فواتير لتحويل الردود.

توصيات

• التحقق يدويًا من مصدر الإشعار ومحتواه وعدم النقر على الروابط المشبوهة حتى لو بدا البريد رسميًا، وتفعيل المصادقة الثنائية.
• مراجعة حقول To/CC، عدم الاعتماد على الفحص الآلي فقط، تجنب مسح رموز QR غير المتوقعة، وتفعيل تنبيهات تغييرات بيانات الدفع عبر قناة مستقلة.

البنية الصناعية والقطاعات الحرجة

• CyberAv3ngers: تكثيف الهجمات على مرافق المياه وأنظمة التحكم الصناعي، مع استهداف PLCs من Rockwell وUnitronics واستغلال CVE-2021-22681 وتوظيف برمجية IOCONTROL عبر بروتوكولات مثل MQTT وEtherNet/IP، ما أدى إلى تعطيلات وتلاعب بملفات المشاريع. مؤشرات: TCP 44818، TCP 8883، CVE-2021-22681، IOCONTROL.

توصيات

• عزل وحدات التحكم عن الإنترنت، تفعيل وصول آمن متعدد العوامل، فصل محطات العمل الهندسية، نسخ الإعدادات احتياطياً، مراقبة الحركة على المنافذ المذكورة، وتطبيق مؤشرات اختراق CISA AA26-097A.