Midnight Blizzard تستغل Wi-Fi الفنادق لنشر CornFlake وتجسس عالمي

مقدمة تحليلية

في 31 يوليو 2026، كشفت شركة مايكروسوفت عن تفاصيل عملية تجسس سيبراني، أُطلِق عليها اسم CaptiveCrunch، تستهدف المسافرين عبر شبكات Wi-Fi فندقية مخترقة. تركز الهجمات على دفع تحديثات متصفح مزيفة لتسليم برمجية CornFlake الخبيثة، وهي Trojan للوصول عن بعد (RAT) قادرة على التقاط صور كاميرا الويب، وتسجيل الصوت من الميكروفون، واختطاف ضربات المفاتيح. تتبع مايكروسوفت هذه العملية إلى Storm-2945، وهي مجموعة فرعية تشغيلية من Midnight Blizzard، المعروفة أيضاً بـ APT29 وCozy Bear. تُنسب هذه الجهة الفاعلة الأوسع نطاقاً، Midnight Blizzard، من قِبل حكومتي الولايات المتحدة والمملكة المتحدة إلى جهاز الاستخبارات الخارجية الروسي (SVR).

رصدت ReliaQuest، التي وثّقت البنية التحتية المتداخلة قبل ثمانية أيام، نشاطاً مشابهاً، مما يؤكد توسع هذه التكتيكات منذ أوائل مايو 2026.

التحليل التقني

تعتمد عملية CaptiveCrunch على تكتيك تسميم نظام أسماء النطاقات (DNS) ضمن شبكات الضيافة المخترقة. في الشبكات التي حققت فيها ReliaQuest، عملت بوابة الشبكة المقيدة (captive portal gateway) أيضاً كمحلل DNS للأجهزة المتصلة. منح التحكم الإداري في هذه البوابة المهاجمين القدرة على تزوير إجابات DNS، وإعادة توجيه حركة المرور الناتجة. بهذه الآلية، يمكنهم إعادة توجيه فحص الاتصال التلقائي للكمبيوتر المحمول إلى صفحة تحديث مزيفة للمتصفح أو نظام التشغيل.

تستخدم بعض الصفحات إرشادات ClickFix التي توجّه الضحايا لفتح طرفية أو أداة مساعدة أخرى في Windows وتشغيل أمر يوفره المهاجم. لا تُصيب البوابة نقطة النهاية بصمت؛ بل يتوجب على الضحية تنزيل أو تنفيذ الحمولة يدوياً. لاحظت مايكروسوفت هذا التلاعب بالمرور منذ أوائل مايو عبر شبكات الضيافة في عدة بلدان، لكنها لم تسمِ فندقاً أو مكاناً أو بائع بوابة مقيدة محدداً.

آليات الاختراق وسرقة البيانات

CornFlake، وهي برمجية خبيثة مبنية بلغة Go، تنسخ نفسها إلى %APPDATA%\svchost32\svchost32.exe وتسجل خدمة svchost32 تحت اسم العرض "Cloud Sync Service". تحتفظ نافذة تقدم مزيفة بانتباه الضحية أثناء هذا التنفيذ. تحليلات مايكروسوفت تشير إلى أن هذه البرمجية يمكنها:

• التقاط لقطات شاشة يتم تشغيلها عند الخمول.
• تسجيل محتويات الحافظة مع عنوان النافذة النشطة.
• سرقة ملفات تعريف الارتباط وكلمات المرور المحفوظة من المتصفح، بما في ذلك ملفات تعريف الارتباط المحمية بواسطة Chrome App-Bound Encryption.
• فحص وسائط التخزين القابلة للإزالة.
• فتح صدفة عن بُعد (remote shell).

تستخدم CornFlake مفتاح تشغيل السجل (Registry Run key) ومهمة مجدولة لتحقيق الاستمرارية، بينما تقوم برمجية مراقبة (watchdog) باستعادة أي آلية استمرارية يزيلها المدافعون. كما حدد الباحثون ChocoShell، وهو سارق بيانات PowerShell يعمل في الذاكرة. يجمع هذا المكون رموز الوصول والتحديث الخاصة بـ Microsoft 365 وAzure Active Directory، بالإضافة إلى رموز Web Account Manager (WAM)، من ملفات.tbres الموجودة في ذاكرة التخزين المؤقت لـ Token Broker. يمكن أن تمكن الرموز المسروقة من إعادة تشغيل الجلسات دون الحاجة إلى ملفات تعريف ارتباط المتصفح.

منذ 16 يوليو 2026، أعادت بعض صفحات CaptiveCrunch توجيه الضيوف إلى تدفق مصادقة رمز الجهاز الخاص بمايكروسوفت. يمكن لإدخال الرمز الذي يوفره المهاجم على صفحة تسجيل الدخول الشرعية لمايكروسوفت منح المهاجم وصولاً مستوفياً للمصادقة متعددة العوامل (MFA). توصي مايكروسوفت بحظر هذا التدفق عبر الوصول الشرطي (Conditional Access) حيثما لا تكون هناك حاجة إليه.

السياق وتأثير السوق

تؤكد هذه العملية على تحول مستمر في تكتيكات التجسس السيبراني، بعيداً عن الثغرات المعقدة مباشرةً ونحو استغلال البنية التحتية الشائعة والثقة البشرية. بدلاً من استثمار موارد ضخمة في استغلال يوم الصفر، يعمد الفاعلون المرتبطون بالدول، مثل Storm-2945، إلى اختراق الأنظمة ذات الإدارة الضعيفة – كبوابات الشبكات المقيدة في الفنادق. هذا يسمح لهم بشن حملات واسعة النطاق بتكلفة منخفضة نسبياً. إن تقييم ReliaQuest بثقة منخفضة إلى متوسطة، والذي يشير إلى أن "واجهات الإدارة المكشوفة وبيانات الاعتماد الإدارية الضعيفة أو المعاد استخدامها" قد تكون قد وفرت الوصول الأولي، يؤكد على ضعف شائع في أمن البنية التحتية مقارنةً بالتدابير الدفاعية التقليدية التي تركز على الثغرات البرمجية. هذا التوجه الجديد يحوّل مسؤولية الكشف والدفاع بشكل كبير نحو المستخدم النهائي ومقدمي خدمات البنية التحتية.

في حين تُعزى Midnight Blizzard (APT29) بشكل عام إلى جهاز الاستخبارات الخارجية الروسي (SVR) من قِبل حكومات الولايات المتحدة والمملكة المتحدة، فإن ربط CaptiveCrunch بـ Storm-2945 يظل تقييم مايكروسوفت الخاص، ولم تُصدر أي تقارير تقنية عامة مستقلة تدعمه بشكل مباشر. وثّقت ReliaQuest، قبل مايكروسوفت بثمانية أيام، نفس النطاقات التي تنتحل شخصية مايكروسوفت والبنية التحتية المتداخلة، مشيرةً إلى تشابه في أساليب APT28 (GRU، المعروفة أيضاً باسم Fancy Bear وForest Blizzard)، على الرغم من أنها لم تُنسب الهجوم بشكل مباشر بسبب الاعتماد على تداخل التكتيكات لا على رابط تقني مباشر. تعترف مايكروسوفت بالتشابه مع اختراق جهاز التوجيه Forest Blizzard الذي كشفت عنه في أبريل 2026. المشكلة الأكبر تكمن في النطاق غير المحدد. التقارير توثق إعادة التوجيه النشطة وتسليم البرمجيات الخبيثة، لكنها "لا تحدد كميتها أو معدل التحويل". بدون "أعداد عمليات التنفيذ الناجحة، أو الموافقات على رمز الجهاز، أو الحسابات المسروقة"، لا يُظهر السجل العام عدد المرات التي أدت فيها عملية إعادة التوجيه إلى اختراق فعلي. هذا الغياب للبيانات الكمية يعوق الفهم الكامل لمدى انتشار العملية وتأثيرها. لم تذكر مايكروسوفت أي مزود متأثر، لكنها وجدت "معدات وأنظمة إدارة مشتركة عبر الشبكات المتأثرة"، مما قد يشير إلى الوصول إلى "خدمات مشتركة ضمن أجزاء من نظام البوابة المقيدة البيئي". هذا يعني أن الاختراقات قد لا تكون مقتصرة على أماكن فردية، بل قد تمتد عبر سلسلة التوريد لخدمات Wi-Fi الفندقية.

رؤية Glitch4Techs

تمثل عملية CaptiveCrunch تحولاً خطيراً في استراتيجيات التجسس السيبراني المدعومة من الدول، مستغلة نقاط ضعف أساسية في البنية التحتية لشبكات الضيافة. إن ربطها بـ Midnight Blizzard، المعروفة بتكتيكاتها المعقدة، يؤكد على مستوى التهديد. إن الاعتماد على تسميم DNS واستغلال تدفق مصادقة رمز الجهاز من مايكروسوفت، إلى جانب برمجيات مثل CornFlake وChocoShell القادرة على سرقة أعمق أشكال الاعتمادات والوصول، يعني أن هذا ليس مجرد هجوم تصيد احتيالي بسيط. إنه استغلال مُحكم للثقة في بيئة يرتادها أهداف عالية القيمة.

ومع ذلك، فإن الفشل في "تحديد كمية أو معدل التحويل" لأعداد الاختراقات الناجحة يظل ثغرة حرجة في الفهم العام للتهديد. في غياب "أعداد عمليات التنفيذ الناجحة، أو الموافقات على رمز الجهاز، أو الحسابات المسروقة"، تظل قدرة الجهات المستهدفة على تقييم المخاطر الحقيقية ووضع استراتيجيات دفاع فعالة محدودة بشكل كبير. هذا النقص في القياس هو فشل في الاستخبارات الدفاعية بقدر ما هو نجاح تكتيكي للمهاجمين، مما يسمح للتهديد بالانتشار تحت غطاء من الغموض الكمي، ويترك الشركات والمؤسسات دون رؤية واضحة لمدى تعرضها الفعلي.