استغلال ثغرة في مركز برمجيات سيمنز ضمن هجمات خبيثة
أكدت شركة سيمنز تعرض ثغرة أمنية في مركز البرمجيات التابع لها للاستغلال الفعلي في هجمات خبيثة مرتبطة بحملة رومولوس.
رضوان عبدالهاديمحرر وكاتب تقني
تفاصيل الثغرة الأمنية واستغلالها
كشفت شركة سيمنز يوم الاثنين عن تعرض ثغرة أمنية في مركز برمجيات سيمنز للاستغلال الفعلي من قبل جهات خبيثة ضمن حملة برمجيات خبيثة. يُستخدم مركز البرمجيات لتنفيذ عمليات تنزيل وتثبيت وتنشيط وتحديث البرمجيات التي يشتريها العملاء، بالإضافة إلى إمكانية استخدامها لبدء الفترات التجريبية المجانية. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.
توجد الثغرة، التي تم تتبعها بالمعرف CVE-2026-110936، نتيجة عدم تقييد البرنامج بشكل صحيح للمواقع التي يبحث فيها عن ملفات DLL. ويمكن لمهاجم محلي مصادق عليه زرع ملف DLL خبيث في أحد تلك المجلدات لتنفيذ تعليمهات برمجية بنفس صلاحيات البرنامج. وقد أعلنت سيمنز عن هذه الثغرة في منتصف شهر أكتوبر من خلال وثيقة إرشادية منحتها تقييم خطورة بلغ 8.4 عبر نظام CVSS الإصدار الرابع. ويمكن الرجوع إلى advisory للاطلاع على التفاصيل الأصلية للمصدر.
تحديثات المعالجة والإجراءات الأمنية
بعد يومين من الإعلان الأول، قامت الشركة بتحديث الوثيقة الإرشادية لإعلام العملاء بأن الإصدار 4.0.9.8 يعالج هذه المشكلة تماماً. ويتلقى المستخدمون الذين ثبّتوا التطبيق مسبقاً التحديث تلقائياً عند تشغيله للمرة التالية، بينما لم تشر الوثيقة إلى الاستغلال الفعلي في البرية حتى أضافت سيمنز رابطاً لمدونة جديدة توضح تفاصيل الهجمات.
أوضحت الشركة أن برمجياتها لم تتعرض لأي عبث، وأن الحزمة الضارة لم تنتشر عبر قنوات التوزيع الخاصة بالشركة. وأكدت سيمنز عدم اختراق أي نظام أو منتج أو قناة تحديث تابعة لها حسب علمها، مشيرة إلى أنها تشارك معلومات التهديدات مع السلطات ومزודי أمان نقاط النهاية.
طبيعة الهجمات والبرمجيات المستخدمة
قام المهاجمون بربط نسخة شرعية من برنامج سيمنز تحمل توقيعاً رقمياً صالحاً مع ملفات DLL ضارة من إنتاجهم. وعند بدء تشغيل البرنامج، قام بتحميل تلك الملفات المساعدة من مجلده الخاص نظراً لأن الإصدار 3.5.8.7 لم يتحقق من صحة هذه الملفات قبل تحميلها.
نظراً لأن ملف سيمنز المستخدم في هذه الهجمات شرعي تماماً، توصي الشركة الجهات الدفاعية بالتركيز على السلوك المشبوه والمجلدات المرتبطة بالبرمجيات الخبيثة بدلاً من الاعتماد على تجزئة الملفات وحدها. وقد تم نسب الفضل في إبلاغ الشركة عن هذه الثغرة إلى الباحث الأمني خوسيه أوريغون من شركة هانترنتش.
الارتباط بحملة رومولوس وهجمات كليك فيكس
ربطة سيمنز هذه الهجمات بحملة رومولوس، وهي منصة متعددة المنصات لتسليم برمجيات كليك فيكس. تعتمد هجمات كليك فيكس على مطالبات وهمية مثل عمليات التحقق المزيفة من اختبارات كابتشا لتوجيه المستخدمين نحو نسخ ولصق وتنفيذ أوامر خبيثة على أجهزتهم الشخصية.
نشرت شركة فورسكوتاً أبحاثاً تتعلق بمنصة رومولوس التي يمكنها توزيع حمولات برمجية خبيثة متعددة، حيث رصدتها تعمل على عدة خوادم تشمل الخادم الذي حددته سيمنز باعتباره خادم التوزيع الخاص بالحزمة الضارة. كما رصدت المنصة وهي توزع برمجيات لجيون لودر وبرمجيات تثبيت أخرى استفادت من تطبيقات شرعية لتنفيذ هجمات تحميل الجانب لملفات DLL.
سياق أوسع ونطاق التهديد السيبراني
وصفت تقارير سابقة صادرة عن شركات أمنية حملات مشابهة استخدمت برامج موقعة من شركات أخرى لجذب المستخدمين نحو صفحات خبيثة، مما يشير إلى احتمال إساءة استخدام برمجيات موقعة من جهات متعددة ضمن نفس الأدوات الهجومية. وعلى الرغم من عدم ذكر مركز برمجيات سيمنز في التقارير المبكرة، إلا أن البنية التحتية المتداخلة وتقنيات التحميل المشابهة توحي بإضافته إلى نفس المجموعة.
تواصل المنصات التقنية والأمنية متابعة هذه التطورات عن كثب، حيث أصدرت مصادر مثل سيكيوريتي ويك تقارير تفصيلية حول تداعيات هذه الثغرات وتأثيرها المحتمل على البنى التحتية والأنظمة التقنية المختلفة.
المصادر
- SecurityWeekSiemens Software Center Vulnerability Exploited in ClickFix Malware Attacks
تابع التسلسل الزمني
أخبار مرتبطة
CISA تحذر من استغلال ثغرات Plex2Shell في خوادم الوسائط
تحذير عاجل من CISA حول استغلال نشط لثغرات Plex2Shell في Plex Media Server، مما يتيح للمهاجمين تنفيذ أكواد خبيثة ورفع صلاحيات الوصول.
استغلال ثغرات AhsayCBS غير المُرقّعة لتعدين العملات الرقمية
تستغل جماعات تهديد ثغرتين في منصة AhsayCBS لتثبيت شيفرات ويب ومعدّات عملات رقمية، مع تحذيرات من شركة Huntress حول استمرار الخطر في الإصدار الأخير.
استغلال ثغرات AhsayCBS غير المُرقّعة لتنفيذ أوامر عن بُعد
حذّرت شركة Huntress من استغلال ثغرتين في نظام AhsayCBS للأكواد الخبيثة، مما يتيح للمهاجرين تجاوز المصادقة وتنفيذ أوامر نظام التشغيل دون تصحيح.
تسريب ثغرات حرجة في لغة PHP والتحذير من هجمات واسعة النطاق
تسريب تفاصيل ثغرتين خطيرتين في لغة PHP تسمح بتنفيذ تعليمات برمجية عن بعد ودون مصادقة، مع تحذيرات أمنية من استغلال واسع النطاق فور صدور التحديثات.
