كاسبرسكي: هجمات برمجيات الفدية على بيئات المحاكاة الافتراضية استغلت ثغرات إدارية روتينية

كشف فريق الاستجابة للطوارئ العالمية لدى كاسبرسكي أنّ هجمات برمجيات الفدية التي استهدفت مؤخراً بيئات ESXi وProxmox الافتراضية – أي الأنظمة التي تعتمد عليها الشركات في تشغيل عدد من الخوادم وأعباء العمل وإدارتها على بنية تحتية واحدة مشتركة – لم تستخدم أسلوب الإفلات من الآلة الافتراضية. وبدلاً من ذلك، استطاع المهاجمون الوصول إلى البنية التحتية الافتراضية وتشفيرها مستغلين ضعف الضوابط الإدارية، وتكرار استخدام بيانات اعتماد حساب المستخدم الجذر (ذي صلاحيات كاملة)، وتدنّي مستوى الممارسات الأمنية في أنظمة المراقبة ومحطات عمل مسؤولي الأنظمة.
بناء على أبحاثهم في حادثة هجوم ببرمجية فدية نفذتها مجموعة BlackNevas في بيئة ESXi في أكتوبر 2025، وحادثة أخرى نفذتها مجموعة The Gentlemen في بيئة Proxmox في أغسطس 2026، توصل خبراء كاسبرسكي إلى أن مسار الهجوم الرئيسي في هاتين الحادثتين نجم عن أخطاء في الإعدادات وتعرض بيانات الاعتماد للانكشاف، ولم يحدث جراء اختراق حدود برنامج مراقبة الأجهزة الافتراضية (hypervisor). حيث استفاد المهاجمون من ضوابط الوصول الضعيفة، وضعف العزل بين الشبكات، وانكشاف الخدمات الإدارية، والتعامل غير الآمن مع بيانات الاعتماد للحسابات ذات الصلاحيات العالية، مما أتاح لهم مساراً عملياً للانتقال من الأنظمة الداعمة إلى طبقة المحاكاة الافتراضية، فتمكنوا من التأثير على عدة خوادم مضيفة.
ثغرة في أنظمة المراقبة: حقق الخبراء في نشاط مجموعة برمجيات الفدية BlackNevas المرتبط بنظام ويندوز ضمن قطاع افتراضي لوحدات التحكم في النطاق، وهو جزء من تكنولوجيا المعلومات مسؤول عن إدارة مصادقة المستخدمين والوصول إلى الأنظمة. وأشارت آثار UserAssist الرقمية، التي تكشف عن البرامج التي تم تشغيلها على جهاز يعمل بنظام ويندوز، إلى استخدام أداة AnyDesk للوصول عن بعد، وبرنامج GMER الذي يُستخدم غالباً لفحص أنشطة النظام منخفضة المستوى. كما استخدمت هذه البيئة منصة PRTG Network Monitor لمراقبة البنية التحتية، وهي منصة تمتلك صلاحيات وصول واسعة إلى خوادم ESXi المضيفة (أي الخوادم التي تشغل الأجهزة الافتراضية).
وخلص خبراء كاسبرسكي إلى أنّ كلمة مرور حساب المستخدم الجذر ذاتها، التي تتيح أعلى مستوى من الصلاحيات الإدارية، قد استخدمت في عدة عقد ضمن الشبكة. وبعد اختراق بيئة المراقبة، استخدم المهاجم بيانات الاعتماد تلك للاتصال بخوادم ESXi المضيفة عبر SSH، وهي قناة معيارية للإدارة عن بعد، ثم رفع المهاجم ملفاً يحمل اسم esx وحاول تشغيله. ومع أنّ المحاولة الأولى انتهت برسالة خطأ هي «منع تشغيل ملف غير مثبت»، فإنّ امتلاك المهاجم لصلاحية المستخدم الجذر أتاح له تغيير إعدادات النظام وتشغيل البرمجيات الخبيثة في نهاية المطاف. وتضمن النشاط أيضاً حذف سجلات الأحداث (Logs) لتقليص إمكانية تتبعه عبر التحليل الجنائي، وزيادة صعوبة التحقيق لاحقاً في الهجوم.
بيانات اعتماد مكشوفة: رصد نمط مشابه في حادثة منفصلة في بيئة Proxmox تورطت فيها مجموعة برمجية الفدية The Gentlemen. ففي هذه الحادثة، حصل المهاجم على بيانات اعتماد إدارية وتفاصيل وصول من ملاحظات مخزنة في محطة عمل مخترقة تابعة لأحد المسؤولين، وهي نظام للموظفين يستخدم لإدارة البنية التحتية الحيوية لتكنولوجيا المعلومات. وقد استطاع المهاجم بفضل هذه المعلومات تسجيل الدخول إلى Proxmox بحساب المستخدم الجذر، الذي يمتلك أعلى الصلاحيات، وتفعيل VNC web socket، وهي وحدة تحكم عن بُعد تعمل عبر المتصفح وتُستخدم للتفاعل مع الآلات الافتراضية، ثم استغل هذا الوصول لتثبيت برمجية الفدية وتشغيلها عبر العنقود، الذي يعد مجموعة من الخوادم المتصلة التي تُدار معاً. فكانت النتيجة تشفير البيئة الافتراضية.
يعلق على هذه المسألة رؤوف جوهري، خبير في فريق الاستجابة للطوارئ العالمية في كاسبرسكي: «تكشف هذه الحالات أنه ينبغي للمدافعين أن يعاملوا منصات المراقبة، ومحطات عمل المسؤولين، وشبكات الإدارة باعتبارها جزءاً من سطح الهجوم في البيئات الافتراضية. وتوضح هذه الحوادث أنّه لا يكفي تثبيت التحديثات الأمنية؛ فحتى مع التحديث الكامل، قد يتعرض برنامج مراقبة وإدارة الأجهزة الافتراضية للاختراق إذا اعتمد المهاجم على كلمة مرور مشتركة، أو حساب مراقبة ذي صلاحيات عالية، أو مسار SSH مفتوح، أو واجهة إدارة يمكن الوصول إليها من شبكة خادم عامة. وفي حالة ESXi، أدت الآلية المدمجة للتحكم في تشغيل الملفات دورها كما يفترض، لكن المهاجم امتلك صلاحيات كافية لتعطيلها. وبالنسبة للشركات، يجب أن يكون تشديد صلاحيات الوصول الإداري، وعزل أنظمة الإدارة، وتقليل انكشاف بيانات الاعتماد ذات الصلاحيات الواسعة جزءاً رئيسياً من حماية البنية التحتية الافتراضية.»
للمحافظة على الأمان، توصي كاسبرسكي المؤسسات بالإجراءات التالية:
• اعزل أنظمة إدارة المحاكاة الافتراضية عن الشبكات العامة. كما ينبغي عزل واجهات الإدارة، ومنصات المراقبة، وشبكات الإدارة ضمن قطاعات منفصلة، بحيث لا يتاح الوصول إليها إلّا من أنظمة خاضعة لرقابة شديدة.
• توقف عن الاستخدام والتخزين الروتينيَّين لبيانات الاعتماد المشتركة أو القابلة لإعادة الاستخدام للحسابات ذات الصلاحيات الواسعة. وينبغي تطبيق مراقبة صارمة على حساب المستخدم الجذر والحسابات الأخرى ذات الصلاحيات العالية، واستبدالها بشكل دوري، والامتناع كلياً عن تخزينها على شكل نص عادي أو في أنظمة داخلية يسهل الوصول إليها.
• احرص على تقييد الوصول الإداري إلى الحد الأدنى الضروري، وقم بتطبيق مبدأ الصلاحيات الدنيا على حسابات المراقبة، ومحطات عمل المسؤولين، والوصول إلى الخدمات، وبذلك لا يؤدي اختراق أحد الأنظمة الداعمة إلى اختراق مباشر للخوادم المضيفة لبرنامج مراقبة الأجهزة الافتراضية.
• عزّز أمان الأنظمة التي يمكنها الوصول إلى خوادم المحاكاة الافتراضية المضيفة، ومراقبتها. ويجب معاملة خوادم المراقبة، والأجهزة الطرفية للمسؤولين، ومسارات SSH كجزء من سطح الهجوم، مع الحرص على تطبيق ضوابط وصول أقوى، والمراقبة المستمرة، والاكتشاف السريع للأنشطة المشبوهة.
• استخدم حلاً أمنياً متخصصاً؛ ويُعد منتج Kaspersky Cloud Workload Security حلاً مثالياً لمواجهة مخاطر البيئات الافتراضية، إذ يجمع بين مزايا منتجين رئيسيين هما: Kaspersky Hybrid Cloud Security وKaspersky Container Security.
• استخدم حلولاً أمنية متعددة الطبقات مثل Kaspersky Next، فهي توفر حماية موحدة في الوقت الفعلي، وتضمن رؤية شاملة للتهديدات، وتقدم قدرات الاكتشاف والاستجابة للنقاط الطرفية (EDR) وقدرات الاكتشاف والاستجابة الموسعة (XDR).
• استعن بحلول الاستجابة للحوادث (Incident Response)، والاكتشاف والاستجابة المدارة (Managed Detection and Response)، وتقييم الاختراقات من كاسبرسكي (Kaspersky Compromise Assessment)؛ إذ تحمي من الهجمات السيبرانية المتطورة والخفية، وتحقق في الحوادث، وتوفر خبرات إضافية إذا افتقرت شركتك إلى اختصاصيي الأمن السيبراني.
• زود مختصي الأمن السيبراني بإمكانية الوصول إلى معلومات استخباراتية عن التهديدات السيبرانية، مثل خدمات استخبارات التهديدات، مما يبقيهم على اطلاع دائم على أحدث أساليب المهاجمين، وتقنياتهم، وإجراءاتهم.