ملخص تهديدات الأمن السيبراني04-11-2025

يوم حافل باستغلالات نشطة لثغرات حرجة وحملات برمجيات خبيثة تستهدف المستخدمين والمؤسسات على نطاق واسع. الأبرز: ثغرة يوم صفر في كروم، ثغرات RCE في منصات خوادم وأجهزة شبكية، وتقنيات التفاف على الحماية وسرقة وصول. كما صدرت تحديثات أمنية مهمة ويستمر الضغط على البيئات غير المدعومة.

ثغرات واستغلالات نشطة

• كروم ويوم صفر مرتبط بحملة تجسس: استغلال «CVE-2025-2783» لتثبيت برامج مراقبة تجارية مثل «Dante» واستهداف جهات حكومية وبحثية؛ يتضمن تجاوز الحماية وتثبيت «LeetAgent» عبر «COM hijacking».
• WSUS على Windows Server: ثغرة RCE «CVE-2025-59287» مع استغلال نشط؛ تحديث عاجل «KB5070881» تلاه بديل «KB5070893» لتفادي مشاكل «Hotpatch».
• UniFi OS من Ubiquiti: ثغرة حرجة «CVE-2025-52665» تسمح بتنفيذ أوامر دون مصادقة عبر واجهة نسخ احتياطي (منفذ 9780) بسبب تمرير «dir» مباشرة لأوامر النظام.
• XWiki: محاولات استغلال RCE في «SolrSearch» مع كود إثبات مفهوم منشور؛ الاستهداف يشمل تحميل وتنفيذ سكريبتات شل عن بُعد. المؤشرات: «74.194.191.52»، «CVE-2025-24893».
• أندرويد/Pixel: ضعف في KASLR بنواة لينكس على arm64 يسهل حساب عناوين الذاكرة ويخفض عتبة استغلال الثغرات المحلية.

برمجيات خبيثة وحملات توزيع

• باب خلفي «SesameOp» يستغل OpenAI كقناة C2: يستهدف ويندوز عبر حقن .NET في أدوات Visual Studio مع تقنيات إخفاء مثل «AppDomainManager»؛ لا ثغرة في OpenAI بل إساءة استخدام للواجهة، وتم تعطيل مفتاح المهاجم. المؤشرات: «Trojan:MSIL/Sesameop.A»، «Backdoor:MSIL/Sesameop.A»، «Netapi64.dll»، «OpenAIAgent.Netapi64»، «api.openai.com».
• شبكة «Ghost» عبر يوتيوب: استغلال قنوات مخترقة وروابط سحابية لتوزيع «Lumma Stealer» و«Rhadamanthys» وسرقة كلمات المرور وملفات تعريف الارتباط ومحافظ العملات.
• SleepyDuck يتخفى في إضافة Open VSX: حزمة «juan-bianco.solidity-vlang» حملت أكثر من 53,000 مرة، تجمع بيانات النظام وتنفذ أوامر عن بعد وتحدث عنوان C2 عبر عقد ذكي. المؤشرات: «sleepyduck[.]xyz»، «juan-bianco.solidity-vlang».
• تهديدات LLM-مدمجة: عينات تولد الشيفرة الضارة لحظياً (أمثلة: «PromptLock»، «LameHug/PROMPTSTEAL») مع آلاف مفاتيح API وتعليمات مضمنة تُستغل كمنارات صيد.
• تطبيقات ذكاء اصطناعي مزيفة على الهواتف: انتحال أسماء خدمات شهيرة ونشر برامج تجسس وإعلانات مزعجة. المؤشرات: «com.openai.dalle3umagic»، «com.wkwaplapphfm.messengerse»، «Android/Trojan.Agent.SIB0185444803H262».

تقنيات تجاوز وسرقة وصول

• EDR-Redir V2: إعادة توجيه مجلدات نظام مثل «Program Files» و«ProgramData» عبر روابط ملتوية لتمكين «DLL Hijacking» وتجاوز EDR/AV.
• سرقة محادثات Teams: «teams-cookies-bof» تستخرج كوكيز Teams داخل العملية وتفك تشفيرها بمفتاح DPAPI الخاص بالمستخدم للحصول على رموز وصول إلى Teams/Skype/Microsoft Graph.
• تصيد عبر «Device Code» في OAuth 2.0: إرسال رمز جهاز شرعي وإقناع الضحية بإدخاله في صفحة رسمية يمنح المهاجم وصولاً للحساب حتى مع MFA، خصوصاً على Azure. المؤشرات: «https://microsoft.com/devicelogin»، «client_id=d3590ed6-52b3-4102-aeff-aad2292ab01c»، «resource=https://graph.microsoft.com».

فدية وخرق منصات

• Conti: تسليم مشغل أوكراني من إيرلندا إلى الولايات المتحدة بعد مشاركة في هجمات فدية ضد أكثر من 1000 ضحية وفرض فدى تجاوزت 150 مليون دولار.
• وثائق التأمين السيبراني هدف للابتزاز: مهاجمون يبحثون عن وثائق التغطية لتحديد مبالغ الفدية والضغط في التفاوض (مثال: مجموعة «Qilin» ضد شركة محاماة).
• اختراق Balancer V2: خسائر تفوق 128 مليون دولار باستغلال على مجمعات «Compostable Stable» رجح أنه متعلق بالتقريب/التفويض؛ مجمعات V3 غير متأثرة.

تحديثات أمنية وحالة المنصات

• macOS Tahoe 26.1: 75 إصلاحاً أمنياً بينها 11 في WebKit، وتحديثات للبرامج الثابتة؛ مستخدمو «OpenCore Legacy Patcher» غير متوافق حالياً.
• تحديث أمني لكروم: 20 إصلاحاً لثغرات غير مفصلة؛ ينصح بالتحديث وإعادة التشغيل.
• انتهاء دعم ويندوز: توقف دعم ويندوز 10 في 14 أكتوبر 2025 مع خيار «ESU» وامتيازات عبر Windows 365/Azure لبعض السيناريوهات؛ اقتراب نهاية خدمة ويندوز 11 «23H2» (Home/Pro) في 11 نوفمبر 2025.

توصيات

• تحديث كروم فوراً ومعالجة بيئات ماك إلى «Tahoe 26.1».
• تثبيت تصحيح WSUS «KB5070893» ومعالجة ثغرات «CVE-2025-52665» على UniFi و«CVE-2025-24893» على XWiki.
• مراجعة السجلات لرصد اتصالات «api.openai.com» غير المتوقعة ومؤشرات «SesameOp»، وإزالة إضافة «juan-bianco.solidity-vlang» إن وُجدت.
• مراقبة إنشاء روابط المجلدات في «Program Files/ProgramData»، وتقييد تدفق «Device Code» وتوعية المستخدمين بعدم إدخال رموز من رسائل غير موثوقة.
• تجنب تحميل برامج مقرصنة أو إضافات من مصادر غير رسمية، وتثبيت تطبيقات الهواتف فقط من المتاجر الرسمية مع تدقيق صلاحياتها.
• حصر الوصول إلى وثائق التأمين السيبراني وتخزينها مشفرة مع نسخ احتياطية غير متصلة.