ملخص تهديدات الأمن السيبراني02-04-2026

يوم حافل بثغرات حرجة وتحديثات عاجلة، إلى جانب حملات تصيّد وهندسة اجتماعية وبرمجيات خبيثة عبر منصات متعددة. فيما يلي خلاصة موجزة ومرتّبة لأبرز التهديدات مع توصيات عملية مباشرة.

ثغرات وتحديثات أمنية حرجة

• ثغرة خطيرة في ImageMagick تتيح تنفيذ أوامر عن بُعد عبر صور معدّلة بتقنية «magic byte shift»، حتى مع سياسات أمان مفعلة بسبب تمرير إلى GhostScript؛ معظم توزيعات لينكس متأثرة ولا حل رسمي بعد.
• nginx-ui: استغلال منشور لثغرة CVE-2026-33026 في آلية استعادة النسخ الاحتياطي يسمح بتعديل النسخ المشفرة وتنفيذ أوامر؛ الإصدارات قبل 2.3.4 متأثرة.
• Vim: ثغرة CVE-2026-34982 في «modeline» تتيح تنفيذ أوامر بمجرد فتح ملف خبيث؛ تؤثر على الإصدارات قبل 9.2.0276.
• TrueConf: ثغرة يوم الصفر CVE-2026-3502 في التحديثات من 8.1.0 حتى 8.5.2 استُغلت لتوزيع برمجيات خبيثة على جميع العملاء عبر خوادم مركزية، مع تقنيات DLL sideloading ويُشتبه باستخدام Havoc C2. مؤشرات: poweriso.exe، 7z-x64.dll، %AppData%\Roaming\Adobe\update.7z، iscsiexe.dll.
• iOS: تحديث أمني عاجل لسد استغلال «DarkSword» على iOS 18؛ الزيارة لموقع مخترق قد تكفي للاستهداف، والتحديث يجلب حماية موازية لما في iOS 26.
• ويندوز 11: تحديث خارج الجدول KB5086672 يعالج فشل تثبيت التحديث السابق KB5079391 وخطأ 0x80073712 مع تضمين إصلاحات الأمان.
• حوكمة المصدر المفتوح: تحذير من اعتماد مشاريع قواعد البيانات في لينكس (مثل MySQL وPostgreSQL وSQLite) على عدد محدود من المطورين الأساسيين، ما يبطئ تصحيح الثغرات ويزيد مخاطر الاستغلال؛ مثال: CVE-2024-3094 في XZ Utils.

توصيات

• عطّل الرفع أو اعزل ImageMagick مؤقتًا وحدثه يدويًا فور صدور إصلاح.
• حدّث nginx-ui إلى 2.3.4 أو أحدث، وVim إلى 9.2.0276 (أو استخدم set nomodeline كحل مؤقت).
• حدّث TrueConf إلى 8.5.3 وافحص الأجهزة بحثًا عن المؤشرات المذكورة.
• ثبّت تحديث iOS الأخير فعليًا، وثبّت KB5086672 على ويندوز 11.
• قيّم مشاريعك مفتوحة المصدر من حيث توزيع المعرفة والمساهمين الأساسيين، وتابع تحديثات الأمان بسرعة.

برمجيات خبيثة وفدية وبِنى C2

• مجرمو الفدية يستغلون أدوات شرعية معتمدة توقيعيًا (مثل IOBit Unlocker وProcess Hacker وProcessKO) لتعطيل الحماية ضمن حملات LockBit Black 3.0 وDharma وPhobos وMakop وMedusaLocker؛ تُستخدم أيضًا أدوات لرفع الصلاحيات وجمع كلمات المرور مثل Mimikatz. مؤشرات: IOBit Unlocker، Process Hacker، ProcessKO، 0th3r_av5.exe، Mimikatz، Unlock_IT.
• EtherRAT: برمجية تجسس Node.js تستخدم EtherHiding على بلوكشين إيثريوم لجلب عناوين C2 من عقد ذكي وتوزَّع عبر هندسة اجتماعية وأدوات دعم مزيفة؛ قدرات تنفيذ أوامر وسرقة محافظ وبيانات دخول. مؤشرات: 0xe26c57b7fa8de030238b0a71b3d063397ac127d3، aeJ8aMT9ogQtKEb.dat، 2htgIPQLUYA3aWq.cfg، TLHA1IlxoF.bin.
• NoVoice: برمجية أندرويد خبيثة في أكثر من 50 تطبيقًا على Google Play مع 2.3 مليون تثبيت؛ تستغل ثغرات قديمة للحصول على الجذر، تبقى بعد إعادة الضبط، وتركز على سرقة بيانات واتساب. مؤشرات: com.facebook.utils، حمولة مشفرة داخل صور PNG، استغلال ثغرات kernel وMali GPU.
• حملة عبر مرفقات واتساب على ويندوز: ملفات VBS خبيثة تستخدم تقنيات LOTL وأيضًا خدمات سحابية (AWS وTencent Cloud وBackblaze) لجلب حمولة إضافية تنتهي بـ RAT يمنح تحكمًا كاملاً.

توصيات

• لا تثق بالأدوات حتى لو كانت موقعة؛ راقب التطبيقات غير المعروفة وحصّن إعدادات الحماية وفعّل تحديثات ويندوز ومضاد الفيروسات.
• عطّل mshta.exe وpcalua.exe إن أمكن، واستخدم حلول NGAV/EDR القادرة على رصد برمجيات Node.js.
• على أندرويد: احذف أي تطبيق مشبوه، افحص الجهاز، وحدّثه لآخر إصدار أمني أو استبدله إذا لزم.
• لا تفتح مرفقات غير متوقعة، فعّل إظهار امتدادات الملفات، نزّل البرامج من المصادر الرسمية، وافحص الجهاز عند أي سلوك شاذ.

تصيّد وهندسة اجتماعية واحتيال

• لينكدإن: رسائل توظّف إشعارات مزيفة تقود لصفحات تسجيل دخول وهمية باستخدام نطاقات مشبوهة. مؤشرات: inedin.digital، khanieteam.com، 104.21.80.1.
• احتيال حجوزات الفنادق: استغلال بيانات حجز حقيقية لإرسال طلبات دفع مزيفة عبر واتساب/البريد/منصات الحجز.
• خدمة EvilTokens: تصيّد متقدم لحسابات مايكروسوفت عبر روابط/ملفات/رموز QR لسرقة رموز دخول مؤقتة ودائمة والوصول إلى البريد والملفات وTeams. مؤشر: https://hubs.li/Q048zztN0.
• واتساب مزيف على آيفون: حوالي 200 ضحية نزّلوا تطبيقًا غير رسميًا يحتوي على برمجيات تجسس؛ تم الترويج له عبر هندسة اجتماعية خارج المتجر.

توصيات

• تحقق من عناوين المرسلين وروابط الصفحات قبل الإدخال؛ مرّر المؤشر لمعاينة الوجهة، ولا تُدخل رموز تحقق إلا في المواقع الرسمية.
• عند الاشتباه، غيّر كلمات المرور وفعّل المصادقة المتعددة، وابلغ الفريق الأمني.
• للتيار الفندقي: تحقق من طلبات الدفع عبر القنوات الرسمية فقط، ودرّب الطاقم على كشف التصيّد.
• احذف أي تطبيق واتساب غير رسمي وثبّت التطبيق من المتجر الرسمي فقط.

تسريبات وسلاسل توريد وحوادث منصات

• تسريب شفرة Claude Code: تضمين غير مقصود لملف source map في إصدار npm (2.1.88) كشف ميزات داخلية؛ لا بيانات عملاء متأثرة وأكدت الشركة أن السبب بشري.
• هجوم سلسلة توريد على LiteLLM: اختراق حساب PyPI ونشر شيفرة خبيثة أدى لتأثر شركات بينها Mercor، مع ادعاء Lapsus$ الحصول على بيانات ضخمة؛ تم إصدار نسخة نظيفة لاحقًا.
• منصة Drift: إيقاف الإيداع والسحب بعد سرقة قُدّرت بين 130 و285 مليون دولار وتحويلات متكررة للأموال المسروقة؛ التحقيقات مستمرة.

توصيات

• لـ Claude Code: استخدم المُثبّت الرسمي من موقع الشركة وتجنّب التحديث عبر npm حتى إشعار آخر.
• لـ LiteLLM: حدّث إلى آخر إصدار، وراجع الأنظمة التي اعتمدت على الحزمة وافحص أي نشاط غير معتاد.
• لـ Drift: لا تُجرِ إيداعات جديدة وتابع التحديثات الرسمية، واحذر رسائل استرداد مزيفة.

تجسس وحملات موجهة

• TA416 (Mustang Panda): منذ مارس تستهدف جهات حكومية ودبلوماسية في الشرق الأوسط بعد تصاعد النزاع في إيران، عبر تصيّد وتحميل باب خلفي PlugX بتقنيات DLL sideloading.

توصيات

• عزّز ضوابط البريد والويب، فعّل المصادقة المتعددة، حدّث الأنظمة، وراقب الشبكات لأي نشاط شاذ.