أساليب الهجوم بسرعة الآلة: ما فعله المهاجمون على أنظمة Deception في جدر

هذا المقال موجّه لفرق مراكز العمليات الأمنية (SOC) وفرق استخبارات التهديدات السيبرانية (CTI) وفرق الدفاع. يلخّص ما فعله المهاجمون فعلًا على حسّاسات وأنظمة Deception التي شغّلتها جدر داخل المملكة العربية السعودية بين 29 أغسطس و23 أكتوبر 2026، ويعطيك ما تحتاجه لتكتشف السلوك نفسه في سجلاتك. التصنيف هو TLP:CLEAR، يعني تقدر تشاركه بحرية.

من أين جاءت البيانات

وضعنا أربعة أنواع من الحسّاسات أمام منصة ويب حية تديرها جدر في المملكة، وهي ليست بنكًا ولا جهة حكومية. النوع الأول مسارات ويب ضمن بيئة Deception، والثاني حسّاسات خدمات، والثالث حسّاسات على الحافة وجدار تطبيقات الويب (WAF)، والرابع حسّاسات شبكة. خلال 56 يومًا سجّلت هذه الحسّاسات 450,908 طلبات من 22,924 عنوانًا. واعتبرنا العنوان مهاجمًا إذا أكّدت جدر أنه عدائي، أو إذا أرسل طلبًا يطابق نمط استغلال منشورًا أو طلب ملف أسرار. بهذا التعريف وصل العدد إلى 2,207 مهاجمين من 84 دولة، والدولة هنا هي مكان الاستضافة وليست نسبة الهجوم إلى أحد.

التوقيت: كل شيء يحدث في الثانية الأولى

أرسل 906 مهاجمين طلبًا واحدًا فقط ثم اختفوا، وأرسل 646 مهاجمًا عشرة طلبات أو أكثر. وأرسل 416 مهاجمًا خمسة طلبات أو أكثر في ثانية واحدة، ووصل أعلى معدل من عنوان واحد إلى 286 طلبًا في الثانية. ومن بين 173 مهاجمًا استخدموا ثغرة معروفة، استخدمها 110 خلال الثانية الأولى من وصولهم، أي 64%، و146 خلال عشر ثوانٍ، أي 84%. أما الذين بحثوا عن الأسرار فكان الوسيط لأول طلب ملف أسرار 0.75 ثانية من أول طلب لهم.

هذه الأرقام محسوبة من الطوابع الزمنية في سجلات الويب، من أول طلب مسجّل لكل مهاجم. وننبّه بوضوح إلى أن السجلات وحدها لا تثبت أن المهاجم استخدم الذكاء الاصطناعي. ما تثبته هو أن الهجوم آلي بالكامل، وأن نافذة الاستجابة اليدوية غير موجودة عمليًا.

عائلات الاستغلال والثغرات

الجدول التالي يعرض عائلات الاستغلال التي رأيناها، ونمط الطلب، والثغرة، وتقنية MITRE ATT&CK، وعدد المهاجمين. المهاجم الواحد قد يظهر في أكثر من عائلة.

اللافت أن أغلب هذه الثغرات قديمة ولها إصلاحات منشورة منذ سنوات. المهاجمون لا يحتاجون ثغرة جديدة ما دامت الثغرات القديمة ما زالت تفتح الأبواب.

التقنيات بلغة MITRE ATT&CK

عند ربط السلوك بمصفوفة ATT&CK، ظهرت تقنية استغلال التطبيقات المكشوفة على الإنترنت (T1190) عند 770 مهاجمًا، وهي الأكثر انتشارًا بفارق كبير. تلتها بيانات الدخول غير المحمية (T1552) عند 293 مهاجمًا، وهي مجموعة أوسع من صيّادي الأسرار الـ 261. ثم محاولات تشغيل أوامر على الخادم (T1059) عند 145 مهاجمًا، واستكشاف الحاويات عبر واجهة Docker (T1613) عند 59، ومحاولات زرع أو استدعاء web shell (T1505.003) عند 39، وتسجيل الدخول ببيانات مسروقة أو مخمّنة (T1078 وT1110) عند 25. أما المسح الآلي النشط (T1595) فكان حاضرًا في كل مكان تقريبًا، ولهذا لم نعدّه كرقم مستقل.

من هاجم؟ وماذا التقطت القوائم؟

لم يطابق أي من المهاجمين الـ 2,207 مجموعة معروفة مرتبطة بدولة، وعدم المطابقة ليس دليلًا على الغياب. نصف المهاجمين، أي 1,102، لم يكونوا في أي من 34 قائمة حظر عامة، وما طابقناه جاء من قوائم تجارية عامة. وظهر 76% منهم في يوم واحد فقط. ومن بين 220 مهاجمًا مستضافًا داخل المملكة، لم يكن 194 في أي قائمة. وتنكّر بعض الزوار في هيئة روبوتات محركات بحث من شبكات لا تستخدمها تلك المحركات. تقديرنا أن هؤلاء غالبًا مهاجمون آليون انتهازيون، ولذلك يجب الحكم عليهم بسلوكهم لا بسمعتهم.

جمعنا 18 عنوانًا مؤكدًا في مستويين. المستوى A يضم 16 عنوانًا ظهرت في قائمتين عامتين أو أكثر، وأطلقت تنبيهًا حقيقيًا لدى جدر، وأظهرت سلوك استغلال، وتراوحت طلباتها بين 5 و1,752 طلبًا. والمستوى B يضم عنوانين لم يكونا في أي قائمة، لكنهما لمسا أنظمة Deception وحاولا الاستغلال. أحدهما أرسل 152 طلبًا متنكّرًا في هيئة روبوت بحث ومسح ملفات الإعدادات والأسرار، والآخر مسح خمسة عشر شكلًا أو أكثر من ملف ‎.env. العناوين تتقادم بسرعة، لذلك راجعها قبل الحظر. الحزمة الكاملة متاحة عند الطلب عبر نموذج التواصل.

قواعد الكشف

كتب وكلاء الذكاء الاصطناعي في جدر 163 قاعدة كشف، ونشرنا ثمانية منها بصيغة YARA لتعمل على سجلات خوادم الويب والوكيل العكسي وجدار الحماية، وليس على فحص الملفات. هذا مثال على قاعدة حقن الوسائط في PHP-CGI التي اكتشفت 81 مهاجمًا:

rule PHP_CGI_Argument_Injection
{
    meta:
        author = "JODOR Technologies"
        mitre  = "T1190"
        tlp    = "CLEAR"
    strings:
        $a  = "allow_url_include" ascii nocase
        $b  = "auto_prepend_file" ascii nocase
        $c  = "php://input" ascii nocase
        $c2 = "php%3A//input" ascii nocase
    condition:
        $a and $b and ($c or $c2)
}

شغّلها بأمر مثل yara rules.yar exported_access_log.txt. وقاعدة مسح ملفات الأسرار تحتاج أن تجمع السجلات حسب العميل أو العنوان أولًا، لأن شرطها يتطلب أربعة مسارات أسرار أو أكثر من المصدر نفسه. باقي القواعد تغطي تجاوز Apache CGI، وThinkPHP، وواجهة Docker، وSpring Actuator، وLaravel Ignition، وقائمة البنية العدائية المؤكدة.

ماذا تفعل اليوم

ابدأ بحظر مسارات الاستغلال المذكورة على الحافة، وأطلق تنبيهًا على أي طلب لملفات الأسرار أو لمسارات Deception، لأن المستخدم الحقيقي لا يطلبها. رقّع الثغرات CVE-2021-41773 وCVE-2021-42013 وCVE-2024-4577 وCVE-2012-1823 وCVE-2021-3129 وCVE-2017-9841 خلال أربعة عشر يومًا على الأكثر للأنظمة المكشوفة. وغيّر أي مفتاح كان موجودًا في مجلد ويب في أي وقت، حتى لو حذفته، واحفظ الأسرار في خزنة مخصصة. وامنع عمليات خادم الويب من تشغيل أي shell، وراقب مجلدات الويب لأي ملف جديد. وفعّل التحقق متعدد العوامل وحدّد معدل محاولات الدخول. واجعل حظر العناوين ينتهي بعد 30 إلى 90 يومًا، وتحقق من روبوتات البحث بالاستعلام العكسي قبل أن تثق بها.

وقبل أن تعتمد على أي من هذا، اختبره. أعد إرسال مسارات الاستغلال على بيئة تجريبية وليس على الإنتاج، وتأكد أن التنبيه يظهر خلال عشر ثوانٍ من أول طلب، وأن مسارات الأسرار ترجع 404 وتطلق تنبيهًا، وأن الحظر ينتهي فعلًا في التاريخ الذي حددته. ثم شغّل قواعد جدر على يوم واحد من سجلاتك وراجع كل نتيجة.

المشتركون في خدمة JODR Managed Deception يحصلون على هذا المستوى من التفصيل كل شهر، لكن عن المهاجمين الذين يستهدفونهم هم تحديدًا.

المصادر: حسّاسات وأنظمة Deception في جدر داخل المملكة العربية السعودية، من 29 أغسطس إلى 23 أكتوبر 2026، وهي بيانات جمعتها جدر ولم تُنشر خامًا. ملف قواعد جدر web_exploitation_rules_2026Q3.yar بتصنيف TLP:CLEAR. مصفوفة MITRE ATT&CK للمؤسسات، وهي المرجع العام لتصنيف أساليب المهاجمين. سجلات الثغرات CVE المذكورة أعلاه في قاعدة بيانات CVE العامة، وهي المصدر الرسمي لوصف كل ثغرة.