كشفت شركة كاسبرسكي أن هجمات برمجيات الفدية التي استهدفت مؤخراً بيئات المحاكاة الافتراضية ESXi وProxmox اعتمدت على استغلال ثغرات في الضوابط الإدارية وضعف ممارسات تأمين بيانات الاعتماد، بدلاً من اختراق حدود أنظمة المحاكاة الافتراضية نفسها.

وأوضحت الشركة، استناداً إلى أبحاث فريق الاستجابة للطوارئ العالمية، أن المهاجمين تمكنوا من الوصول إلى البنية التحتية الافتراضية وتشفيرها من خلال استغلال كلمات مرور مشتركة لحسابات ذات صلاحيات واسعة، وضعف العزل بين الشبكات، وانكشاف الخدمات الإدارية، إلى جانب الممارسات الأمنية الضعيفة في أنظمة المراقبة ومحطات عمل مسؤولي الأنظمة.

ثغرات إدارية مكنت المهاجمين من اختراق الخوادم

وأشارت كاسبرسكي إلى أن نتائج التحقيق في هجوم نفذته مجموعة BlackNevas على بيئة ESXi في أكتوبر 2025، وهجوم آخر نفذته مجموعة The Gentlemen على بيئة Proxmox في أغسطس 2026، كشفت أن الهجومين استندا إلى أخطاء في إعدادات الأنظمة وانكشاف بيانات الاعتماد، وليس إلى اختراق تقني لبرنامج مراقبة الأجهزة الافتراضية (Hypervisor).

وفي حادثة BlackNevas، رصد الخبراء استخدام أدوات للوصول عن بُعد وفحص أنشطة النظام، إلى جانب منصة PRTG Network Monitor لمراقبة البنية التحتية، والتي كانت تمتلك صلاحيات وصول واسعة إلى خوادم ESXi المضيفة.

وكشف التحقيق أن كلمة مرور حساب المستخدم الجذر، الذي يمتلك أعلى الصلاحيات الإدارية، استُخدمت عبر عدة عقد في الشبكة. وبعد اختراق بيئة المراقبة، استغل المهاجم بيانات الاعتماد للاتصال بالخوادم عبر بروتوكول SSH، ومحاولة تشغيل برمجيات خبيثة، قبل أن يتمكن من تجاوز آلية منع تشغيل الملفات غير المثبتة من خلال الصلاحيات الإدارية التي حصل عليها.

كما تضمنت أنشطة الهجوم حذف سجلات الأحداث (Logs)، بهدف تقليل فرص تتبع نشاط المهاجمين وتعقيد عمليات التحقيق الجنائي الرقمي.

وفي حادثة أخرى استهدفت بيئة Proxmox، تمكنت مجموعة The Gentlemen من الحصول على بيانات اعتماد إدارية وتفاصيل الوصول من ملاحظات مخزنة على محطة عمل مخترقة لأحد مسؤولي الأنظمة.

واستغل المهاجمون هذه البيانات لتسجيل الدخول باستخدام حساب المستخدم الجذر، وتفعيل وحدة التحكم عن بُعد VNC عبر المتصفح، ثم تثبيت برمجية الفدية وتشغيلها على مستوى مجموعة الخوادم المتصلة (Cluster)، ما أدى إلى تشفير البيئة الافتراضية.

كاسبرسكي تحدد إجراءات حماية البنية التحتية الافتراضية

وقال رؤوف جوهري، خبير فريق الاستجابة للطوارئ العالمية في كاسبرسكي، إن هذه الحوادث تؤكد ضرورة التعامل مع منصات المراقبة ومحطات عمل المسؤولين وشبكات الإدارة باعتبارها جزءاً من سطح الهجوم المحتمل في البيئات الافتراضية.

وأضاف أن تثبيت التحديثات الأمنية وحده لا يكفي لحماية هذه البيئات، إذ يمكن للمهاجمين استغلال كلمات المرور المشتركة، وحسابات المراقبة ذات الصلاحيات المرتفعة، ومسارات SSH المفتوحة، وواجهات الإدارة المتاحة عبر الشبكات العامة.

وشدد على أهمية إحكام صلاحيات الوصول الإداري، وعزل أنظمة الإدارة، وتقليل انكشاف بيانات الاعتماد ذات الصلاحيات الواسعة، باعتبارها عناصر أساسية لحماية البنية التحتية الافتراضية.

وفي هذا السياق، أوصت كاسبرسكي المؤسسات بعزل أنظمة إدارة المحاكاة الافتراضية ومنصات المراقبة عن الشبكات العامة، واستخدام شبكات منفصلة لواجهات الإدارة، إلى جانب تجنب تخزين كلمات مرور الحسابات ذات الصلاحيات المرتفعة أو إعادة استخدامها.

كما دعت إلى تطبيق مبدأ الحد الأدنى من الصلاحيات على حسابات المراقبة ومحطات عمل المسؤولين، وتعزيز تأمين الخوادم ومسارات الوصول عن بُعد، مع المراقبة المستمرة واكتشاف الأنشطة المشبوهة مبكراً.

وأوصت الشركة بالاعتماد على حلول أمنية متخصصة ومتعددة الطبقات، من بينها Kaspersky Cloud Workload Security وKaspersky Next، إلى جانب خدمات الاستجابة للحوادث والاكتشاف والاستجابة المدارة وتقييم الاختراقات، فضلاً عن توفير معلومات استخباراتية محدثة عن التهديدات السيبرانية لفرق الأمن.

ودعت كاسبرسكي المؤسسات إلى الاطلاع على التقرير الكامل عبر موقع Securelist.com.