أفادت وكالة الاستخبارات العسكرية والأمنية (MIVD) في هولندا، أن مجموعة صينية للتجسس الإلكتروني نجحت في اختراق وزارة الدفاع الهولندية العام الماضي ونشرت برمجيات خبيثة على الأجهزة المتضررة.
ومع ذلك، على الرغم من توصلها إلى فتح باب للأنظمة المخترقة، فإن الأضرار الناتجة عن الاختراق كانت محدودة بسبب تقسيم الشبكة.
وقالت MIVD وجهاز الاستخبارات والأمن العام (AIVD) في تقرير مشترك: “كانت آثار الاختراق محدودة لأن شبكة الضحية كانت مفصولة عن شبكات وزارة الدفاع الواسعة النطاق”.
“كان لشبكة الضحية أقل من 50 مستخدمًا. وكانت الغرض منها البحث والتطوير (R&D) لمشاريع غير مصنفة والتعاون مع معهدين للبحث. وقد تم إخطار هذه المنظمات بالحادث”.
برمجية الفأر الطارئ تنجو من الترقيات في البرمجيات الثابتة
خلال التحقيق التكميلي، تم اكتشاف سلالة برمجية غير معروفة سابقًا تُعرف باسم Coathanger، وهي برمجية فأر طارئ عن بُعد مصممة للإصابة بجهاز أمان الشبكة Fortigate.
“من الجدير بالذكر أن زرع COATHANGER ثابت، حيث يتعافى بعد كل إعادة تشغيل عن طريق حقن نسخة احتياطية من نفسه في العملية المسؤولة عن إعادة تشغيل النظام. علاوة على ذلك، تبقى الإصابة بعد الترقيات في البرمجيات الثابتة”، حذرت الوكالتان الهولنديتان.
“حتى الأجهزة FortiGate المُحدثة بشكل كامل قد تكون مصابة، إذا كانت قد تم اختراقها قبل تطبيق التحديث الأخير”.
البرمجية تعمل بشكل متخفٍ وثابت، حيث تخفي نفسها بالتلاعب بمكالمات النظام لتجنب الكشف عن وجودها. كما أنها تستمر في العمل بعد إعادة تشغيل النظام وترقيات البرمجيات الثابتة.
بالرغم من عدم تحديد المسؤولية عن الهجمات لمجموعة تهديد محددة، فإن MIVD ربطت هذا الحادث بثقة عالية بمجموعة صينية مدعومة من الدولة، وأضافت أن هذا النشاط الخبيث جزء من نمط أوسع للتجسس السياسي الصيني المستهدف لهولندا وحلفائها.
أجهزة FortiGate تحت الهجوم
نشر القراصنة الصينيون برمجية Coathanger لأغراض التجسس الإلكتروني على أجهزة حماية الشبكة FortiGate الضعيفة التي اخترقوها باستغلال الثغرة CVE-2022-42475 في FortiOS SSL-VPN.
تم استغلال CVE-2022-42475 أيضًا كنقطة صفراء في هجمات استهدفت منظمات الحكومة والأهداف ذات الصلة، كما كشفت Fortinet في يناير 2023.
تشترك هذه الهجمات أيضًا في العديد من الشبهات مع حملة قرصنة صينية أخرى استهدفت أجهزة SonicWall Secure Mobile Access (SMA) غير المُحدثة ببرمجية تجسس إلكتروني مصممة أيضًا للبقاء بعد الترقيات في البرمجيات الثابتة.
يُحث المنظمات على تطبيق التحديثات الأمنية من الموردين لجميع الأجهزة التي تعمل على الإنترنت بأسرع ما يمكن بمجرد توفرها،