هجوم WebDAV كشف بنية تصيد احتيالي متكاملة بعد ترك خادم مفتوح يضم 1048 ملفاً، بينها أدوات إسقاط واختبارات تنفيذ وسجلات هجوم حي.
ما قصة هجوم WebDAV الذي كُشف مؤخراً؟
اللافت في هذه الواقعة أن الباحثين لم يعثروا على ملف خبيث فقط، بل على بيئة عمل شبه كاملة للمهاجم. الخادم المفتوح احتوى قوالب رسائل إغراء، وتجارب لتزوير أسماء الملفات، وملاحظات بناء، وسلاسل هجوم جاهزة للنشر.
إحدى السلاسل كانت تعمل بالفعل ضد مستخدمي ويندوز في المكسيك، عبر موقع مزيف لفحص بيانات هوية حكومية. ومن هناك، كان يتم توصيل برمجية سرقة معلومات باستخدام مشاركة WebDAV للتحايل على آليات الحماية التقليدية.
لماذا يعد هذا التسريب مهماً؟
عادةً ما يرى المدافعون النتيجة النهائية فقط، أما هنا فقد ظهرت مراحل التطوير والاختبار والفشل والتوثيق في مكان واحد. وهذا يمنح فرق الأمن الرقمي رؤية نادرة عن طريقة تفكير المهاجم وخطواته العملية.
- 1048 ملفاً داخل الخادم المكشوف
- قوالب تصيد ورسائل إغراء جاهزة
- برامج إسقاط وتجارب تنفيذ متعددة
- سجلات تشغيل لحملة حية تستهدف ويندوز
كيف استُخدم الذكاء الاصطناعي في بناء الحملة؟
الآثار الرقمية داخل الملفات تشير إلى استخدام أداة برمجة مفتوحة المصدر مدعومة بالذكاء الاصطناعي لتسريع كتابة الشيفرات وتوثيق التجارب. هذا يعني أن المهاجم لم يعتمد على التشغيل اليدوي فقط، بل استفاد من الأتمتة لتوليد سيناريوهات متعددة بسرعة أكبر.
وفقاً لقراءة تيكبامين، فإن الخطورة هنا لا ترتبط بالبرمجية نفسها فقط، بل بسهولة تكرار الفكرة. عندما يدخل الذكاء الاصطناعي في دورة تطوير التصيد، يصبح اختبار عشرات المسارات الخبيثة أسرع وأقل تكلفة.
كيف تعمل ثغرة WebDAV في استهداف ويندوز؟
تركزت أكثر الاختبارات نضجاً على الثغرة CVE-2025-33053 بتقييم خطورة 8.8، وهي ثغرة تتعلق باختطاف دليل العمل عبر WebDAV. الفكرة تقوم على ملف اختصار من نوع URL يشغّل أداة ويندوز موقعة، لكن مع توجيه مسار العمل إلى مشاركة يتحكم بها المهاجم.
عندها يحاول النظام تحميل ملف تنفيذي من المشاركة البعيدة بدلاً من النسخة الشرعية داخل System32. وبهذه الطريقة، يبدو التشغيل طبيعياً للمستخدم بينما يجري تمرير ملف خبيث في الخلفية.
- استغلال ملف .url كوسيلة تشغيل أولية
- الاعتماد على أدوات ويندوز موقعة وشرعية
- تحميل ملف تنفيذي من WebDAV بدلاً من المسار المحلي
- استهداف سرقة البيانات دون تنبيهات واضحة للمستخدم
المثير أن ملاحظات المهاجم زعمت تنفيذ الهجوم دون تحذيرات SmartScreen أو Mark-of-the-Web. لكن مايكروسوفت أصدرت تصحيحاً لهذه الثغرة في يونيو 2025، ما يجعل تحديث ويندوز خطوة أساسية لتقليل الخطر.
هل كان المهاجم يوسّع هجوم WebDAV إلى أدوات أخرى؟
نعم، فالخادم احتوى على حزمة اختبار موسعة تضم 59 ملف URL موجهة نحو أدوات ويندوز موقعة أخرى، بينها أدوات .NET وعناصر معروفة ضمن أساليب LOLBAS، وحتى سيناريوهات مرتبطة بتجاوز صلاحيات UAC.
كما ظهرت إشارات إلى اختبار ثغرات أخرى مثل CVE-2026-21513 وCVE-2025-24054، لكن هجوم WebDAV ظل المحور الرئيسي. ويبدو أن هذا التوسع جاء لأن الحيلة الأصلية لم تعد فعالة بالطريقة نفسها على Windows 11 24H2 بعد اختفاء Internet Explorer وبعض مكوناته.
ماذا يعني ذلك للمستخدمين والشركات؟
الدرس الأهم هو أن حملات التصيد الحديثة لم تعد بدائية، بل أصبحت أقرب إلى مشاريع تطوير كاملة تستخدم التوثيق والاختبار والأتمتة. لذلك تنصح تيكبامين بالتركيز على تحديث ويندوز، وتعطيل فتح الاختصارات غير الموثوقة، ومراقبة أي اتصالات غير معتادة عبر WebDAV داخل الشبكات المؤسسية.
ومع تصاعد هذا النوع من الهجمات، فإن الجمع بين التصيد والبرمجيات الخبيثة والذكاء الاصطناعي يرفع مستوى التهديد بشكل واضح. لهذا السبب يجب التعامل مع هجوم WebDAV كمؤشر على مرحلة أكثر تطوراً في مشهد الأمن الرقمي، لا كحادثة معزولة فقط.
