قراصنة APT29 يستغلون ثغرة Apple المصححة لسرقة البيانات

مقدمة تحليلية

أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) بتاريخ الأربعاء، 4 نوفمبر 2026، ثغرة أمنية متوسطة الخطورة (CVE-2024-27834) تؤثر على أنظمة تشغيل Apple متعددة إلى قائمة الثغرات المعروفة والمستغلة (KEV)، وذلك بعد تقارير عن استغلال نشط. تحمل الثغرة تصنيف CVSS يبلغ 5.5 وتُصنف ضمن حالات المصادقة غير الصحيحة التي تسمح للمهاجمين بتجاوز مصادقة المؤشر (Pointer Authentication) بقدرات قراءة وكتابة عشوائية. كانت Apple قد عالجت هذه الثغرة في مايو 2024 بتحسينات في أنظمة iOS 16.7.8 وiPadOS 16.7.8، بالإضافة إلى إصدارات iOS 17.5 وiPadOS 17.5، وmacOS Sonoma 14.5، وtvOS 17.5، وwatchOS 10.5، ومتصفح Safari 17.5. ومع ذلك، تم ربط الاستغلال النشط بمجموعة APT29 (المعروفة أيضاً باسم Cozy Bear وMidnight Blizzard)، وهي جماعة قرصنة ترعاها الدولة وتُنسب إلى جهاز الاستخبارات الخارجية الروسي، مع "ثقة معتدلة إلى عالية".

التحليل التقني

تتمحور الثغرة CVE-2024-27834 حول آلية المصادقة غير السليمة، ما يتيح تجاوز حماية مصادقة المؤشر (Pointer Authentication) ضمن أنظمة Apple. هذا التجاوز يسمح للمهاجم الذي يمتلك قدرة القراءة والكتابة العشوائية بتنفيذ تعليمات برمجية ضارة. تم إثبات هذه الثغرة كـ"صفر يوم" في مسابقة Pwn2Own Vancouver للقرصنة التي أقيمت في مارس 2024، قبل شهرين من إصدار Apple لتحديثات التصحيح في مايو 2024. وقد استهدفت هذه التحديثات:

• iOS 16.7.8 وiPadOS 16.7.8
• iOS 17.5 وiPadOS 17.5
• macOS Sonoma 14.5
• tvOS 17.5
• watchOS 10.5
• Safari 17.5

تضمنت الهجمات التي نفذتها مجموعة APT29 ثلاث طرق رئيسية للوصول الأولي. الأولى كانت عبر مواقع ويب شرعية مخترقة، والثانية من خلال مواقع وهمية تتنكر كمواقع ويب شائعة، والثالثة عبر هجوم سلسلة التوريد استهدف Plerdy SEO Tracker. هدفت هذه الطرق إلى تقديم شيفرات JavaScript ضارة تؤدي إلى تفعيل الثغرة ونشر حمولة برمجيات خبيثة لسرقة المعلومات بعد تحديد خصائص جهاز الزائر. تعتمد سلسلة الاستغلال التي لا تتطلب أي نقرة على مجموعتين من الثغرات، إحداهما هي CVE-2025-43529، وهي عيب في تنفيذ التعليمات البرمجية عن بُعد في WebKit. وتُدمج هذه مع CVE-2025-43529 أخرى – كما ورد في التقرير – لتجاوز رموز مصادقة المؤشر (PACs)، بهدف تنفيذ حمولة JavaScript مصممة خصيصاً لسرقة ملفات تعريف الارتباط (cookies) من المتصفح.

السياق وتأثير السوق

تضيف إضافة CVE-2024-27834 إلى كتالوج CISA للثغرات المستغلة المعروفة في 4 نوفمبر 2026 طبقة إضافية من الجدية لتهديد كانت Apple قد ادعت معالجته قبل عامين في مايو 2024. هذا النمط من الاستغلال اللاحق للتصحيح يسلط الضوء على فجوة حرجة، إما في معدلات تبني التحديثات من قبل المستخدمين والمؤسسات، أو في عدم كفاية التصحيح الأولي ضد الفاعلين المتقدمين مثل APT29. تُعد APT29، المعروفة أيضاً باسم Cozy Bear أو Midnight Blizzard، مجموعة قرصنة مدعومة من الدولة ومرتبطة بجهاز الاستخبارات الخارجية الروسي، مما يرفع مستوى التهديد إلى نطاق التجسس السيبراني واسع النطاق. إن استغلالهم لثغرات مصححة مسبقاً في Safari ومتصفح Google Chrome يؤكد على استمرار فعالية التكتيكات المتطورة في مواجهة دفاعات الشركات الرائدة، مما يشير إلى أن تحديثات البرامج ليست ضمانة كافية بحد ذاتها دون تطبيق صارم وفوري. توصية CISA العاجلة للوكالات التنفيذية المدنية الفيدرالية (FCEB) بتطبيق التصحيحات اللازمة بحلول 18 نوفمبر 2026، بعد عامين ونصف من التصحيح الأولي، تكشف عن تحدٍ مؤسسي واسع النطاق في إدارة الثغرات، يتجاوز مجرد الكشف والتصحيح التقني.