برمجية RustDuck الخبيثة تعود بإصدار أكثر تطوراً لاستهداف الراوترات والكاميرات والخوادم الضعيفة، تمهيداً لتنفيذ هجمات DDoS واسعة.
ما هي برمجية RustDuck ولماذا تثير القلق؟
ظهرت RustDuck كعائلة برمجيات خبيثة من مرحلتين، هدفها النهائي ضم الأجهزة المصابة إلى شبكة بوت نت قادرة على إغراق المواقع والخدمات بطلبات وهمية حتى تتعطل. الخطير هنا ليس حجم الانتشار الحالي فقط، بل السرعة التي تتطور بها آليات الهجوم والتخفي.
وبحسب ما تتابعه تيكبامين، فإن الحملة تركز على أجهزة منزلية وخوادم مكشوفة للإنترنت، ما يجعل الخطر واسع النطاق ويمس المستخدمين الأفراد والشركات الصغيرة في الوقت نفسه.
كيف تنتشر برمجية RustDuck بين الأجهزة المتصلة؟
لا تعتمد البرمجية على ثغرة واحدة، بل تستخدم عدة مسارات تقليدية لكنها فعالة. البداية غالباً تكون عبر كلمات مرور ضعيفة أو افتراضية في خدمات Telnet وSSH، ثم تنتقل إلى استغلال ثغرات قديمة لم تُرقع بعد.
أبرز الأهداف التي تركز عليها الحملة
- راوترات منزلية ضعيفة الحماية.
- كاميرات IP وأجهزة DVR المتصلة بالإنترنت.
- Android Box وواجهات تصحيح أندرويد المكشوفة.
- خوادم سيئة الإعداد وتشغيلات مكشوفة من ThinkPHP وJenkins وHadoop YARN.
كما تستهدف الحملة تجهيزات من شركات مثل TP-Link وZTE وRuijie، إلى جانب أجهزة مراقبة رقمية من TVT، ما يوسع دائرة الضحايا من المنازل إلى الشبكات التجارية.
لماذا انتقال RustDuck إلى لغة Rust مهم؟
النسخ الأحدث من RustDuck يجري إعادة بنائها بلغة Rust بدلاً من C، وهي نقطة مهمة لأن تحليل برمجيات Rust غالباً يكون أصعب وأكثر تعقيداً للباحثين الأمنيين. هذا التحول يشير إلى تطوير نشط وليس مجرد إعادة تدوير لكود قديم.
البنية نفسها تعمل على مرحلتين: مُحمّل صغير يفك التشفير ويطلق وحدة أساسية أكبر، وفي هذه الوحدة تظهر تقنيات أكثر تقدماً لإدارة المفاتيح والتواصل مع خوادم التحكم والسيطرة.
كيف تتخفى البرمجية قبل تنفيذ هجمات DDoS؟
أحد أخطر جوانب RustDuck هو اعتمادها على فحوصات مكثفة قبل التنفيذ. فهي تبحث عن أدوات تحليل مثل Wireshark وgdb، وتتحقق من وجود مصححات أخطاء أو بيئات افتراضية أو حتى مؤشرات على أجهزة فخ أمنية.
ما الذي يجعل اكتشافها أصعب؟
- تقسيم الحمولة إلى مرحلتين.
- استخدام التشفير وفك الحزم أثناء التشغيل.
- منح كل مؤشر خطر نقاطاً ضمن آلية تقييم قبل التنفيذ.
- تجنب التشغيل الكامل إذا اشتبهت بوجود مختبر تحليل.
هذا السلوك يمنح المهاجمين وقتاً أطول للإبقاء على الأجهزة المصابة داخل شبكة البوت نت، ويصعب مهمة التعطيل السريع من قبل فرق الحماية.
كيف تحمي الراوترات والخوادم من RustDuck؟
الخطوة الأولى هي تغيير كلمات المرور الافتراضية فوراً، ثم إغلاق Telnet متى أمكن، وتقييد SSH بعناوين موثوقة فقط. كذلك يجب تحديث البرامج الثابتة للراوترات والكاميرات وسد الثغرات في الخوادم والتطبيقات المكشوفة.
- تعطيل الخدمات غير الضرورية على الإنترنت العام.
- تحديث الراوترات والكاميرات إلى آخر إصدار ثابت.
- مراقبة الاتصالات الصادرة غير المعتادة.
- فصل الأجهزة القديمة التي لم تعد تتلقى تحديثات أمنية.
في النهاية، يوضح هذا التهديد أن برمجية RustDuck ليست مجرد حملة عابرة، بل نموذج متصاعد في عالم هجمات DDoS يستهدف أضعف حلقات إنترنت الأشياء، وهو ما يستدعي استجابة أسرع من المستخدمين والشركات، كما تؤكد تيكبامين.
