باب خلفي TinyRCT ظهر في هجمات سيبرانية استهدفت جهات حكومية وبنية تحتية حرجة بجنوب شرق آسيا، مع نشاط متواصل منذ 2022 وتوسع ملحوظ خلال 2025.
ما هو باب خلفي TinyRCT ولماذا يثير القلق؟
تكشف الحملة عن تصعيد جديد في مشهد التهديدات المتقدمة، بعدما جرى ربط جهة ناطقة بالصينية بتطوير أداة اختراق مخصصة تحمل اسم TinyRCT. اللافت أن الهجمات لم تقتصر على التجسس التقليدي، بل ركزت على مؤسسات حكومية وشركات مملوكة للدولة في قطاعي الطاقة والإدارة العامة.
وبحسب المعطيات التي راجعتها تيكبامين، فإن هذا الباب الخلفي لم يكن موثقاً سابقاً، ما يجعله أكثر خطورة على فرق الدفاع التي تعتمد غالباً على مؤشرات معروفة لاكتشاف البرمجيات الخبيثة.
أبرز قدرات TinyRCT
- تنفيذ أوامر عشوائية على الأجهزة المخترقة.
- استعراض الملفات وسحبها خارج الشبكة.
- التقاط صورة للشاشة لجمع معلومات حساسة.
- حذف نفسه من النظام لإخفاء آثار الاختراق.
كيف نُفذت الهجمات على المؤسسات الحكومية؟
تشير التفاصيل إلى أن المهاجمين استخدموا مزيجاً من الأدوات مفتوحة المصدر والبرمجيات المخصصة. هذا الأسلوب يمنحهم مرونة أكبر، لأن الأدوات الشائعة قد تبدو أحياناً كبرامج إدارية عادية داخل الشبكات المستهدفة.
وفي إحدى العمليات التي رُصدت خلال سبتمبر 2025، تم اختراق جهة حكومية في جنوب شرق آسيا عبر زرع Web Shell، ثم استخدامه لسحب بيانات من خادم MS SQL. وخلال العملية نفسها، نُفذ استطلاع شبكي على جهة حكومية أخرى داخل البلد ذاته لفتح مسارات تحرك إضافية.
- الاختراق الأولي: عبر ملفات ASPX خبيثة مزروعة على خوادم الويب.
- التحرك داخل الشبكة: جمع معلومات عن الأنظمة والخوادم.
- الهدف النهائي: سرقة البيانات وتوسيع الوصول إلى أنظمة أخرى.
الأخطر أن المهاجمين تمكنوا في إحدى الحالات من تجهيز مجلد كامل يحوي الشفرة المصدرية لخادم ويب حكومي ثم تهريبه خارج الشبكة.
ما القطاعات المستهدفة في حملة TinyRCT؟
الاستهداف لم يكن عشوائياً. الحملة ركزت على قطاعات استراتيجية تشمل الطاقة، الهيئات الحكومية، والبنية التحتية الحرجة، وهي قطاعات يرتبط تعطيلها أو اختراقها بتأثيرات سياسية واقتصادية مباشرة.
البيانات المتاحة تشير أيضاً إلى رصد اختراق ما لا يقل عن 10 مؤسسات مختلفة بين أكتوبر وديسمبر 2025، ما يعكس حملة واسعة ومنظمة وليست حوادث منفصلة.
- جهات حكومية مركزية ومحلية.
- شركات مملوكة للدولة في قطاع الطاقة.
- مؤسسات بنية تحتية حساسة في شرق وجنوب شرق آسيا.
ما الأدوات التي استخدمها المهاجمون بجانب TinyRCT؟
اعتمدت الحملة على أدوات معروفة مثل SoftEther VPN وMimikatz وVNT، إلى جانب أرشيفات RAR تحتوي على عدة Utilities تساعد في الاتصال والتحرك داخل الشبكات. كما جرى تمويه بعض الملفات لتبدو كأنها أدوات نظام أو تطبيقات موثوقة مثل VMware وعميل XDR.
هذا النوع من التمويه يرفع فرص النجاح، لأن الموظفين أو حتى بعض حلول الحماية قد تتعامل معها كملفات تشغيل اعتيادية. وهنا تظهر قيمة المراقبة السلوكية وليس الاكتفاء بفحص الأسماء والتواقيع فقط.
كيف يجب أن تتعامل المؤسسات مع باب خلفي TinyRCT؟
تحتاج المؤسسات المستهدفة إلى مراجعة خوادم الويب، وتعقب أي ملفات ASPX غير معروفة، ومراقبة الاتصالات الخارجة غير المعتادة، خصوصاً من الشبكات الحكومية والحساسة. كما يُنصح بتدقيق صلاحيات الحسابات الإدارية وعزل الخوادم الحرجة عن بقية الأجزاء الأقل أهمية.
في النهاية، يؤكد باب خلفي TinyRCT أن الهجمات المتقدمة باتت أكثر تخصصاً وهدوءاً، وأن حماية البنية التحتية الحرجة تتطلب استجابة استباقية ومستمرة، وهو ما تتابعه تيكبامين عن قرب مع تصاعد تهديدات الأمن الرقمي في المنطقة.
