الأمن التقني

مجموعة صينية تستغل ثغرة BeyondTrust كـ Zero-Day منذ أغسطس

أعلنت BeyondTrust عن إصدار تصحيح عاجل لثغرة حرجة استُغلّت بشكل نشط من قبل مجموعة تجسس صينية مرتبطة بالدولة، في عملية بدأت قبل أسابيع من الكشف العلني.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 16 أكتوبر 2026 · آخر تحديث: 16 أكتوبر 2026 · 4 دقائق قراءة

مجموعة صينية تستغل ثغرة BeyondTrust كـ Zero-Day منذ أغسطس — الصورة: SecurityWeek

استغلال صامت لثغرة حرجة

كشفت التحقيقات الأمنية الأخيرة عن أن مجموعة التهديدات المتقدمة الصينية المعروفة باسم Armory Castle استغلت ثغرة أمنية حرجة في منتجات BeyondTrust منذ شهر أغسطس الماضي، دون أن يتم الإعلان عنها علنياً في ذلك الوقت. الثغرة، المسجلة برقم CVE-2026-102764، تحمل درجة خطورة عالية تبلغ 9.3 على مقياس CVSS، وتتمثل في فشل في التحقق من صحة مصدر الرسائل، مما يسمح للمهاجمين بتنفيذ عمليات ملفات غير مصرح بها على أجهزة Remote Support (RS).

وفقاً لما أعلنته BeyondTrust، فإن جميع إصدارات أجهزة RS حتى الإصدار 26.2.3 معرضة لهذا العيب. وقد شمل التصحيح الذي أصدرته الشركة تحت مسمى BT26-05-RS الإصدارات من 24.3.1 إلى 26.2.3، مع نصيحة للعملاء الذين يستخدمون إصدارات أقدم بترقية نظامهم أولاً قبل تطبيق التصحيح لضمان الأمان الكامل.

تسلسل الأحداث وإصدار التصحيح

رغم أن الاستغلال الأولي للثغرة وقع في 29 أغسطس ضد جهازين (واحد مضاف من قبل BeyondTrust وآخر مضاف ذاتياً)، إلا أن الشركة لم تحدد العيب الأمني إلا في 28 سبتمبر، أي بعد يوم واحد فقط من تسرب معلومات عن الاستغلال ضد مزود أمني. توضح BeyondTrust أنها أنتجت التصحيح بحلول 30 سبتمبر، لكنها تأخرت في إصداره النهائي حتى 8 أكتوبر لإجراء اختبارات شاملة ومعالجة مسارات استغلال إضافية قد تكون موجودة.

أكدت الشركة أن التصحيح تم تطبيقه تلقائياً على جميع عملاء خدمة SaaS بحلول 9 أكتوبر 2026، مع تنبيه العملاء الذين يضيفون الأجهزة ذاتياً (Self-hosted) بتطبيق التصحيح يدوياً إذا لم تكن لديهم تحديثات تلقائية مفعلة.

هوية المهاجمين وأهدافهم

أشارت تقارير من Mandiant ومجموعة استخبارات التهديدات في Google (GTIG) إلى أن الفاعل المسؤول هو Armory Castle، وهي مجموعة مرتبطة بالصين وتُعرف أيضاً بأسماء UNC5221 وWarp Panda. تُصنف هذه المجموعة كفاعل تجسس مدعوم من الدولة، يركز على جمع المعلومات الاستخباراتية طويلة المدى. وتستهدف المجموعة بشكل رئيسي مزودي خدمات SaaS، والشركات التقنية، والجهات الحكومية، وخدمات القانون، ومقاولي عمليات الأعمال.

يُظهر نشاط Armory Castle نمطاً متسقاً في استهداف البنية التحتية الرقمية الحساسة، حيث سبق رصد نشاطها منذ أكتوبر 2023 عبر مجموعة واسعة من الدول والقطاعات الصناعية المختلفة.

آلية الهجوم والأدوات المستخدمة

وثّق المحللون الأمنيون كيف استهدفت المجموعة جهاز BeyondTrust للحصول على وصول أولي، ثم نشرت أدوات مخصصة للتفاعل مع الجهاز. من بين هذه الأدوات Webshell خفيف الوزن يسمى Sawfly، الذي يتميز بقدرات اتصال مشفرة ثنائية الاتجاه بين مركز القيادة والتحكم (C&C)، مما جعله نقطة الارتكاز الرئيسية للمهاجمين داخل البيئة المستهدفة.

بالإضافة إلى Sawfly، استخدم المهاجمون نفقاً مخصصاً يسمى Bareclaw، وهو وكيل SOCKS5 يدعم تشفير البيانات، وسلسلة المرور عبر وكيل صاعد، والمصادقة. ساهمت هذه الأدوات في تسهيل حركة المهاجمين داخل الشبكة وتجنب الكشف.

تصعيد الصلاحيات وسرقة البيانات

بعد نشر Webshell، حصلت Armory Castle على تحكم جذري (Root-level) في مضيف الجهاز، وقامت بحصاد بيانات الاعتماد، واكتسبت صلاحيات جذرية بدون كلمة مرور لحساب الخدمة الموقعي. كما قامت المجموعة بمسح منهجي لسجلات النظام، وخادم الويب، ومستوى التطبيق لإخفاء آثارها.

استغل المهاجمون بيانات اعتماد مديرين مخترقين للتحويل إلى تطبيق RS، وعدّلوا صلاحيات الحساب للتحكم في الأنظمة البعيدة، وبدأوا باستهداف نقاط النهاية الداخلية. استخدمت المجموعة أدوات الدعم المدمجة في الجهاز للحصول على وصول كامل لنظام الملفات، واستخدمت خدمة نقل الملفات الأصلية في BeyondTrust Remote Support لتنزيل وسرقة وثائق داخلية حساسة، مثل جرد البرمجيات، مباشرة من بيئة سطح المكتب للمستخدمين.

سجل سابق من الاستغلال

لم تكن هذه الحادثة الأولى من نوعها لهذه المجموعة؛ فقد سبق لـ GTIG أن أبلغ عن استغلال Armory Castle لعدة ثغرات في أجهزة الحواف (Edge Appliances) ونشر مجموعة واسعة من الأدوات المخصصة لدعم أهدافها، بما في ذلك أبواب خلفية سلبية، وWebshells، ومكونات خبيثة لأجهزة الحواف.

ومن بين الثغرات التي استغلتها المجموعة سابقاً: ثغرة Citrix NetScaler (CVE-2023-4966) المعروفة باسم CitrixBleed، وثغرات Ivanti Connect Secure (CVE-2023-46805، CVE-2024-21887، وCVE-2025-0282)، بالإضافة إلى ثغرة Dell RecoverPoint for Virtual Machines (CVE-2026-22769).