قراصنة روس يستخدمون ثغرات بدون نقرة لاختراق iOS وأندرويد عبر مواقع مخترقة

يقول باحثون أمنيون في شركة Sekoia إن مجموعة قرصنة مدعومة من الدولة الروسية استخدمت حملة واسعة النطاق من نوع «حفرة الري» (watering hole) لاستهداف مستخدمي iOS وأندرويد بسلاسل استغلال بدون نقرة، لا تتطلب أي تفاعل من الضحايا سوى زيارة موقع إلكتروني مخترق أو مزيف. وتنسب الشركة العملية بثقة متوسطة إلى عالية إلى مجموعة APT29، المعروفة أيضًا باسم Midnight Blizzard، وهي نفس المجموعة التي ربطتها مايكروسوفت باختراق SolarWinds وسلسلة من هجمات شبكات Wi-Fi في الفنادق مؤخرًا.

تعمل هجمات «حفرة الري» عبر اختراق المواقع التي يُرجّح أن يزورها الجمهور المستهدف، بدلًا من مهاجمة الأهداف مباشرة. ويكتسب هذا الأسلوب أهمية هنا لأنه يتيح لجهة فاعلة حكومية ذات موارد كبيرة نشر شبكة واسعة والانتظار حتى يأتي الضحايا إلى الاستغلال بأنفسهم، بدلًا من إرسال رابط تصيّد قد يتعرف عليه الهدف ويتجنبه. وتقول Sekoia إن الحملة جمعت بين ثلاثة أساليب منفصلة: اختراق مواقع حقيقية، وإنشاء نطاقات مزيفة مشابهة، والاستيلاء بهدوء على سكربت تحليلات ويب واسع الانتشار.

كيف عملت سلسلة الاستغلال

قام كود جافاسكريبت المحقون في الصفحات المصابة أولًا بتحديد نوع جهاز كل زائر وإصدار المتصفح الخاص به. بعد ذلك، كان خادم القيادة والتحكم يرسل سلسلة استغلال مخصصة لتلك المنصة بعينها. في نظام iOS 16.7، سلسل المهاجمون الثغرتين CVE-2025-43529 وCVE-2024-27834 لسرقة ملفات تعريف الارتباط الخاصة بمتصفح Safari. وفي iOS 18.5، جمعت سلسلة أطول تضم CVE-2025-43529 وCVE-2026-20700 وCVE-2025-14174 وCVE-2025-43510 وCVE-2025-43520 بيانات من قواعد بيانات WhatsApp وTelegram، وبيانات اعتماد Keychain، وبيانات الموقع الجغرافي، والصور. أما في متصفح Chrome على أندرويد بالإصدارات من 139 إلى 145 (باستثناء 143)، فقد استُخدمت الثغرتان CVE-2026-3910 وCVE-2025-27038 مع أداة تسميها Sekoia «AndroSnitch» لسرقة ملفات تعريف الارتباط وبيانات تسجيل الدخول المحفوظة وسجل التصفح وبيانات اعتماد شبكات Wi-Fi.

جميع هذه الثغرات من نوع «n-day»، أي ثغرات كانت لها تصحيحات متاحة بالفعل، لكنها ما زالت تعمل ضد أي جهاز لم يُثبّت آخر تحديث أمني. وترتبط الثغرة CVE-2025-43529 تحديدًا بعدة استغلال يُعرف باسم «DarkSword»، وُثّقت لأول مرة في مارس 2026، وتفيد التقارير بأنها قيد الاستخدام من قبل عدة جهات تهديد منذ نوفمبر 2025 على الأقل.

مواقع مخترقة وتطور في سلسلة التوريد

استهدفت الحملة مزيجًا من الأهداف الحقيقية والمزيفة. ووجدت Sekoia مواقع حقيقية مخترقة بشكل مباشر، من بينها شركة غاز أوكرانية، ورابطة تجارية لصناعة الكيماويات في الولايات المتحدة، وموقع مرتبط بالشأن العسكري في بلغاريا. وفي موازاة ذلك، أنشأ المهاجمون نطاقات مزيفة تنتحل صفة الموقع الرسمي لذكرى America250 وفندق Raffles London في The OWO، حيث كانت تعرض محتوى المواقع الحقيقية ضمن إعداد «الخصم في المنتصف» (adversary-in-the-middle)، بحيث لا يلاحظ الزوار أي فرق.

وكانت الخطوة الأكثر خطورة هي اختراق سلسلة التوريد الخاصة بشركة Plerdy، مزود خدمات تحليلات الويب الأوكراني. فقد عدّل المهاجمون سكربت تتبع تحسين محركات البحث (SEO) الخاص بالشركة بين أواخر أغسطس وأوائل سبتمبر، وتم تحميل الكود المعدّل على آلاف المواقع التي تضمّن أداة تتبع Plerdy، وغالبيتها العظمى في أوكرانيا.

ما الذي سيحدث لاحقًا

لم تُثبّت أي من هذه الحمولات الخبيثة وجودًا دائمًا على الأجهزة المصابة، ما يعني أن إعادة تشغيل بسيطة كانت كافية لإيقاف النشاط حتى يزور المستخدم الموقع المخترق مجددًا. وقد عالجت آبل وغوغل منذ ذلك الحين جميع الثغرات المستغَلة، بما في ذلك تصحيحات رجعية لإصدارات iOS القديمة. وتسلّط نتائج Sekoia، التي نشرها لأول مرة بيل تولاس في BleepingComputer، الضوء مجددًا على نمط حذّر منه باحثو الأمن سابقًا: تزايد لجوء المجموعات المدعومة من الدول إلى إعادة استخدام ثغرات طُوّرت في الأصل من قبل شركات تصنع برمجيات تجسس تجارية، محوّلةً ثغرات «n-day» المُصحَّحة إلى أسلحة فعّالة ضد كل من يتأخر في تحديث أجهزته.

بالنسبة لمعظم المستخدمين، فإن الخلاصة العملية واضحة: ثبّت تحديثات الأمان لنظامي iOS وأندرويد فور توفرها، لأن جميع الثغرات المستخدمة في هذه الحملة لها تصحيح متاح. كما ينبغي للمؤسسات التي تُضمّن سكربتات تحليلات أو تتبع من جهات خارجية أن تتعامل معها باعتبارها جزءًا من سطح الهجوم الخاص بها، لا مجرد أداة تسويقية؛ إذ يُظهر اختراق Plerdy كيف يمكن لمورّد موثوق واحد أن يتحول إلى قناة لتوزيع البرمجيات الخبيثة عبر آلاف المواقع غير ذات الصلة.