باب خلفي للحشد

تمثل الأبواب الخلفية مثل Crowdoor خطرًا بالغ الأهمية على المؤسسات والأفراد في ظل المشهد المتطور باستمرار للتهديدات الأمنية السيبرانية. تسمح الأبواب الخلفية للمهاجمين بتجاوز تدابير الأمان والحصول على وصول غير مصرح به إلى الأنظمة، وغالبًا ما تمر دون أن يتم اكتشافها لفترات طويلة. يعد الباب الخلفي Crowdoor ، الذي ظهر مؤخرًا في حملة تستهدف الكيانات الحكومية في الشرق الأوسط وماليزيا، خطيرًا بشكل خاص نظرًا لقدرته على اختراق الأهداف عالية القيمة باستمرار. يعد فهم قدراته وطرق توزيعه أمرًا بالغ الأهمية لحماية الشبكات الحساسة من الخروقات المدمرة المحتملة.

تهديد سيبراني مستمر: الباب الخلفي للقراصنة

تم رصد Crowdoor لأول مرة في يونيو 2023، وهو عبارة عن نوع مختلف من الباب الخلفي SparrowDoor الذي تم توثيقه سابقًا والذي تم تحديده في عام 2021. تطور Crowdoor ، حيث لا يعمل فقط كباب خلفي ولكن أيضًا كمحمل قادر على نشر أدوات تهديد أخرى، بما في ذلك Cobalt Strike ، وهو إطار عمل شائع يستخدم لمهام ما بعد الاستغلال.

يمنح برنامج Crowdoor الخبيث المهاجمين درجة عالية من التحكم في الأنظمة المخترقة، مما يسمح لهم بتنفيذ الأوامر عن بعد، وإنشاء واجهات عكسية، وحتى إزالة الأدلة على وجودهم عن طريق حذف ملفات غير آمنة أخرى. إن تعدد استخداماته، إلى جانب قدرته على البقاء على المضيفين المصابين، يجعل Crowdoor أداة خطيرة في ترسانة مجموعات التهديدات المستمرة المتقدمة (APT).

Tropic Trooper: APT وراء حملة Crowdoor

لدى الجهة المسؤولة عن التهديد الإلكتروني Tropic Trooper - والمعروفة أيضًا بأسماء مستعارة مثل APT23 و Earth Centaur و KeyBoy و Pirate Panda - تاريخ طويل في استهداف الحكومة وقطاعات الرعاية الصحية والتكنولوجيا الفائقة، وخاصة في شرق آسيا. منذ عام 2011، شنت هذه المجموعة الناطقة بالصينية هجمات ضد كيانات في تايوان وهونج كونج والفلبين. ومع ذلك، توسعت أنشطتها مؤخرًا لتشمل أهدافًا في الشرق الأوسط وماليزيا.

تشتهر Tropic Trooper باستخدام تكتيكات وأدوات متطورة، بما في ذلك البرامج الضارة المشتركة مثل China Chopper Web shell، والتي توفر الوصول عن بُعد إلى الخوادم المخترقة. تم تصميم الحملة الأخيرة للمجموعة، التي تم اكتشافها في عام 2024، لنشر Crowdoor على الأنظمة المعرضة للخطر. وبينما تم إحباط جهودهم في النهاية، فإن اكتشاف Crowdoor يؤكد على الطبيعة المستمرة والمتطورة لتهديدات APT.

سلسلة هجمات الحشد: نهج متطور

تبدأ سلسلة الهجوم التي تولد Crowdoor باستغلال نقاط الضعف في خوادم الويب التي يمكن الوصول إليها علنًا، وغالبًا ما تكون تلك التي تعمل بنظام إدارة المحتوى مفتوح المصدر مثل Umbraco . ومن خلال اختراق هذه الأنظمة، يمكن للمهاجمين تحميل أدوات تهديد مثل غلاف الويب China Chopper للحفاظ على الوصول عن بُعد. وبمجرد دخول الشبكة، ينشر المهاجمون الباب الخلفي Crowdoor ، والذي يعمل كمحمل وتهديد مستمر، مما يتيح تنزيل وتنفيذ برامج ضارة إضافية، مثل Cobalt Strike ، لتحقيق مستويات أعمق من الاختراق.

بالإضافة إلى تسهيل تنفيذ الأوامر عن بعد واستخراج البيانات، يتمتع Crowdoor بالقدرة على إنهاء عملياته الخاصة، ومحو ملفات البرامج الضارة الأخرى، والتهرب من الاكتشاف، مما يجعل من الصعب للغاية على المدافعين التعرف عليها وتحييدها.

تكتيكات التوزيع المشكوك فيها: كيف يتسلل برنامج Crowdoor إلى الأنظمة

غالبًا ما تنجح الأبواب الخلفية مثل Crowdoor بسبب تكتيكات التوزيع المعقدة والمضللة. في حالة حملة Crowdoor ، استغل المهاجمون منصات إدارة المحتوى المخترقة كنقطة دخول. قد تحتوي هذه المنصات مفتوحة المصدر على ثغرات غير مُرقعة تسمح للمهاجمين بتحميل ملفات تالفة، بما في ذلك واجهات الويب مثل China Chopper . ومن هناك، يمكن تثبيت الباب الخلفي بهدوء على النظام المستهدف دون إثارة الإنذارات.

تتضمن طريقة أخرى شائعة لتوزيع البرامج الخبيثة مثل Crowdoor حملات التصيد الاحتيالي. في هذه الحملات، يرسل المهاجمون رسائل بريد إلكتروني تبدو شرعية تحتوي على روابط أو مرفقات احتيالية. بمجرد فتحها، قد يتم تثبيت البرامج الضارة بصمت على النظام، مما يسمح للمهاجم بتجاوز ضوابط الأمان والحصول على وصول طويل الأمد إلى الشبكة.

إن الجمع بين استغلال الويب والهندسة الاجتماعية يؤكد على تنوع الجهات الفاعلة في مجال التهديد مثل Tropic Trooper ، الذين يكيفون تكتيكاتهم مع نقاط الضعف في دفاعات هدفهم.

الدفاع ضد الباب الخلفي للحشد

تتطلب الوقاية من العدوى عن طريق البرامج الخلفية المعقدة مثل Crowdoor اتباع نهج أمني متعدد الطبقات. وفيما يلي بعض التدابير الحيوية التي يمكن للمؤسسات اتخاذها:

1. إدارة التصحيحات : قم بتحديث وتصحيح جميع البرامج بانتظام، بما في ذلك منصات إدارة المحتوى مفتوحة المصدر، لإغلاق الثغرات الأمنية المعروفة التي قد يستغلها المهاجمون.
2. مراقبة الشبكة : قم بتنفيذ مراقبة قوية للشبكة للكشف عن أي نشاط غير عادي، مثل الوصول غير المصرح به أو تحميل الملفات، والذي قد يشير إلى محاولة تسلل.

يمثل الباب الخلفي Crowdoor تهديدًا ضارًا ومستمرًا، خاصة عندما يستخدمه جهات تهديد متمرسة مثل Tropic Trooper . إن قدرته على توصيل برامج ضارة إضافية، والحفاظ على الوصول الخفي، واستخراج البيانات الحساسة يؤكد على أهمية الحفاظ على اليقظة وممارسات الأمن السيبراني القوية. من خلال فهم أساليب التسلل واستخدام تدابير السلامة الاستباقية، يمكن للمؤسسات تقليل خطر الوقوع ضحية لهذا وغيره من التهديدات السيبرانية المتقدمة.