تكشف برمجية LONGLEASH عن تصعيد جديد في نشاط شبكة ORB، بعدما استهدفت جهة تهديد مرتبطة بالصين أجهزة شبكية مكشوفة لتعزيز البنية الهجومية.
ما هي برمجية LONGLEASH ولماذا تهم خبراء الأمن؟
تشير المعطيات الجديدة إلى أن المجموعة المعروفة باسم UAT-7810 تواصل تطوير أدواتها الخاصة، وهذه المرة عبر نسخة أحدث من البرمجية السابقة ShortLeash تحت اسم LONGLEASH. الهدف الواضح هو توسيع شبكة ORB، وهي بنية تعتمد على أجهزة مخترقة تعمل كنقاط ترحيل واختفاء للعمليات الهجومية.
هذا النوع من الشبكات يمنح المهاجمين قدرة أكبر على إخفاء المصدر الحقيقي للهجمات، كما يفتح المجال أمام جهات أخرى للاستفادة من البنية نفسها لاحقاً ضد أهداف مرتفعة القيمة. ووفقاً لقراءة تيكبامين، فإن الخطر هنا لا يتعلق بجهاز واحد، بل ببناء منصة هجومية موزعة يصعب تتبعها بسرعة.
كيف توسع UAT-7810 شبكة ORB عبر أجهزة الإنترنت؟
اعتمدت الحملة على اختراق أجهزة شبكية متصلة بالإنترنت، خصوصاً الموجهات اللاسلكية غير المحدثة. وبعد الوصول الأولي، يتم زرع أدوات خلفية تسمح بالإدارة عن بعد، وتشغيل خوادم مصغرة، وربط الجهاز بمنظومة القيادة والسيطرة.
أبرز الأدوات التي ظهرت في الحملة
- LONGLEASH: نسخة أكثر تطوراً من ShortLeash مع وظائف إضافية.
- DOGLEASH: نسخ فرعية استُخدمت للنشر على الأجهزة المخترقة.
- JARLEASH: باب خلفي مبني بلغة Java لأعمال الإدارة ونقل الملفات.
- LEASHTEST: أداة اختبار تشير إلى استمرار تطوير الوظائف على منصات MIPS.
الأخطر أن هذه الأدوات لا تُستخدم فقط للوجود الخفي داخل الشبكة، بل يمكنها أيضاً تحويل الجهاز المصاب إلى نقطة وسيطة تنفذ أو تمرر هجمات لاحقة. وهذا ما يجعل شبكة ORB تهديداً عملياً للبنية التحتية والجهات الحساسة.
ما الثغرات التي استُغلت في الهجمات الأخيرة؟
توضح المؤشرات أن المهاجمين استغلوا ثغرات معروفة في أجهزة Ruckus اللاسلكية، إلى جانب اهتمام بأجهزة ASUS AiCloud خلال 2025. المشكلة هنا ليست في اكتشاف ثغرات صفرية جديدة، بل في استغلال أنظمة لم تحصل على التحديثات الأمنية المطلوبة.
- CVE-2020-22653 في بعض موجهات Ruckus.
- CVE-2020-22658 ضمن سلسلة الثغرات القديمة غير المعالجة.
- CVE-2023-25717 في أجهزة شبكية مكشوفة على الإنترنت.
- CVE-2025-2492 في موجهات ASUS AiCloud.
هذا النمط يؤكد أن تحديث الأجهزة الطرفية لم يعد إجراءً ثانوياً، لأن الراوتر أو وحدة الشبكة قد تتحول سريعاً إلى أصل هجومي نشط داخل شبكة ORB إذا تُركت دون تصحيح.
ما الذي يميز LONGLEASH عن الإصدارات السابقة؟
النسخة الجديدة لا تكتفي بالاتصال بخادم خارجي، بل تدعم تشغيل خادم ويب محلي والعمل كعميل وخادم ضمن منظومة القيادة والسيطرة. هذا التطور يعكس دورة تطوير نشطة، ويعني أن الأداة لم تعد مجرد باب خلفي بسيط بل إطار عمل متكامل نسبياً.
لماذا يهم ذلك المؤسسات؟
- يزيد من صعوبة اكتشاف مصدر الهجوم الحقيقي.
- يمنح المهاجمين قدرة على إعادة استخدام الأجهزة لفترات أطول.
- يرفع احتمالات استهداف بنى تحتية حساسة عبر وسطاء متعددين.
كيف يمكن الحد من خطر برمجية LONGLEASH؟
الخطوة الأولى هي جرد الأجهزة الشبكية المكشوفة على الإنترنت والتأكد من تحديثها فوراً، ثم تعطيل الواجهات الإدارية غير الضرورية ومراجعة سجلات الاتصال غير المعتادة. كما يُنصح بعزل الأجهزة القديمة التي لم تعد تتلقى تحديثات منتظمة.
في النهاية، لا تمثل برمجية LONGLEASH مجرد تطور تقني محدود، بل إشارة واضحة إلى أن شبكة ORB تتوسع بهدوء عبر نقاط ضعف معروفة. ولهذا ترى تيكبامين أن الاستجابة السريعة للثغرات وإدارة أجهزة الشبكة بصرامة أصبحتا خط الدفاع الأول أمام هذا النوع من التهديدات.
