حملة تجسس سيبراني تستهدف البنية التحتية في جنوب آسيا والاتصالات الأفغانية

كشف باحثو الأمن السيبراني في Acronis Threat Research Unit (TRU) في August 26, 2026، عن حملة تجسس سيبراني مستمرة تستهدف بنشاط مزودي خدمات الاتصالات في أفغانستان إلى جانب مؤسسات البنية التحتية الحيوية عبر جنوب آسيا. ويقوم الجهات التهديدية المسببة للعملية بنشر برمجية خبيثة عبارة عن باب خلفي مخصص وغير معروف سابقاً يسمى PATCHCORD. تمنح هذه الغرسة البرمجية المتطورة، المكتوبة بلغة C و C++ المترجمة، المهاجمين وصولاً مستمراً إلى الشبكات المخترقة، مما يسمح لهم بتنفيذ أوامر عن بُعد، وجمع المعلومات الاستخباراتية خفية، والتلاعب بالنظم الداخلية. ويسلط هذا الاكتشاف الضوء على المخاطر السيبرانية المتزايدة التي تواجه الخدمات الأساسية وقنوات الاتصال في منطقة تتسم بالتوترات الجيوسياسية المعقدة والبيئات الأمنية المتقلبة.

## Key facts - كشفت Acronis Threat Research Unit علناً عن حملة برمجية PATCHCORD الخبيثة المستمرة في August 26, 2026. - تستهدف حملة التهديد مزودي خدمات الاتصالات العاملين في أفغانستان وكيانات البنية التحتية الحيوية عبر جنوب آسيا. - حمولة التهديد الرئيسية، المسماة PATCHCORD، هي باب خلفي مخصص غير موثق سابقاً تم تجميعه بلغة C و C++. - توفر البرمجية الخبيثة وصولاً مستمراً، مما يتيح تنفيذ الأوامر والمراقبة طويلة الأمد داخل بيئات الشبكات المخترقة. - تركز آليات التسليم التي حددها الباحثون على موجهات وصول مستهدفة ومحددة بقطاعات معينة تستهدف أهدافاً مؤسسية عالية القيمة.

## What happened وفقاً للتحليل الفني الذي نشرته Acronis Threat Research Unit (TRU)، رصد محللو الأمن السيبراني حملة اختراق نشطة تستهدف كيانات اتصالات وبنية تحتية بلدية رئيسية. والعنصر الأساسي لمجموعة الاختراق هو غرسة خبيثة جديدة تُعرف باسم PATCHCORD.

تم تطوير PATCHCORD باستخدام لغتي البرمجة C و C++، وتم تجميعه خصيصاً للتهرب من أنظمة كشف نقاط النهاية القياسية مع إنشاء موطئ قدم خفي داخل شبكات الأهداف عالية القيمة. وبمجرد نشرها، تعمل البرمجية الخبيثة المخصصة كباب خلفي إداري، مما يمنح مشغليها قدرات التحكم والسيطرة عن بُعد على الأجهزة المضيفة المصابة. وهذا يتيح للجهات التهديدية تحميل حمولات ثانوية، واستخراج الوثائق الداخلية الحساسة، وجمع بيانات هيكلية الشبكة، والحفاظ على وجود مستمر طويل الأجل دون إثارة تنبيهات أمنية روتينية.

لاحظ باحثو Acronis أن المهاجمين ركزوا نشرهم بشكل انتقائي على مزودي خدمات الاتصالات العاملين داخل أفغانستان، بالإضافة إلى مؤسسات البنية التحتية الحيوية الأكثر اتساعاً عبر دول جنوب آسيا. وتضمن موجه الدخول استهدافاً مخصصاً ومحدداً بالقطاع صُمم لاستغلال نقاط الدخول الضعيفة في شبكات المؤسسات. وتكشف الطبيعة المستمرة للحملة أن مجموعة التهديد المسؤولة تواصل تنفيذ العمليات بنشاط، مع تحسين أدواتها للحفاظ على الوصول إلى الأهداف ذات الأولوية العالية عبر المنطقة.

## Why it matters يمثل استهداف مزودي خدمات الاتصالات والبنية التحتية الحيوية تهديداً بالغ الخطورة للأمن القومي والاستقرار الاقتصادي والسلامة العامة عبر جنوب آسيا. إذ تشكل شبكات الاتصالات العمود الفقري للاتصالات الحديثة، حيث تيسر الإدارة الحكومية والمقاصات المالية والاتصالات العسكرية وتبادل البيانات المدنية. وعندما تخترق المجموعات المعادية بنية الاتصالات، فإنها تحصل على إمكانية الوصول المحتمل إلى سجلات تفاصيل المكالمات (CDRs)، وحركة الرسائل القصيرة (SMS)، وبيانات تتبع المواقع، والتغذية الصوتية الخام، مما يتيح جمع معلومات استخباراتية شاملة عن الأفراد الرئيسيين والمسؤولين في الدولة.

وفي قطاعات البنية التحتية الحيوية—مثل شبكات الطاقة وتوزيع المياه وشبكات النقل والمؤسسات المالية—تخلق أبواب التجسس الخلفية المستمرة مخاطر تتجاوز التجسس. وبينما يبدو الهدف الرئيسي لـ PATCHCORD متوافقاً مع جمع المعلومات الاستخباراتية، فإن الأبواب الخلفية المستمرة بلغة C/C++ في الشبكات التشغيلية أو الإدارية تمنح المهاجمين الوصول الهيكلي اللازم لنشر حمولات مدمرة أو تعطيل الخدمات العامة الأساسية خلال فترات التوتر الجيوسياسي المرتفع.

بالنسبة لجنوب آسيا وأفغانستان، حيث تعمل البنية التحتية الرقمية غالباً تحت قيود الموارد وبنية تقنية مختلطة، فإن اكتشاف مجموعة برمجيات خبيثة مخصصة يؤكد الاهتمام المستمر لمجموعات التجسس السيبراني المتقدمة. ويعد اختراق مزودي الاتصالات الأفغان أمراً ذا أهمية خاصة نظراً لاعتماد البلاد على الشبكات اللاسلكية في الحوكمة المحلية والنشاط الاقتصادي والاتصال الدولي.

## The background طالما كانت شبه القارة الهندية في جنوب آسيا وأفغانستان ساحتين رئيسيتين للتجسس السيبراني المشفوع من الدول وجمع المعلومات الاستخباراتية الاستراتيجية. وعلى مدى العقد الماضي، عملت العديد من مجموعات التهديد المرتبطة بقوى إقليمية وأطراف دولية باستمرار عبر المنطقة، مستهدفة بشكل روتيني الوزارات الحكومية ومقاولي الدفاع العسكري وكيانات الاتصالات والقطاعات الصناعية الحيوية.

أصبح مشغلو الاتصالات على مستوى العالم أهدافاً مفضلة بشكل متزايد لمجموعات التهديد المتقدم المستمر (APT). وأظهرت الحملات التاريخية—مثل تلك التي تضمنت الجهة التهديدية LightBasin أو عمليات Soft Cell التي استهدفت شبكات الهاتف المحمول العالمية—كيف تستغل الجهات التهديدية بنية الاتصالات المخترقة لإجراء مراقبة مستهدفة عبر الحدود الدولية دون الحاجة إلى إصابة أجهزة المحمول الفردية. ومن خلال إدراج الأبواب الخلفية عميقاً داخل شبكات التبديل الرئيسية أو وحدات التحكم في النطاق، يمكن للمهاجمين عكس حركة المرور سلبياً ومراقبة قواعد المستخدمين بأكملها.

وفي أفغانستان، شهدت بيئة الاتصالات الرقمية اضطراباً وتحولاً شديدين في أعقاب التحولات السياسية وتغير الحكومة في August 2021. وتعتمد البنية التحتية للاتصالات في البلاد، المكونة من مشغلي المحمول الخاصين وشبكات الألياف الضوئية المدارة من قبل الدولة، بشكل كبير على مسارات الترانزيت الدولية والمعدات القديمة. وتخلق هذه البيئة المجزأة ثغرات أمنية فريدة، مما يجعل مشغلي الاتصالات الأفغان أهدافاً جاذبة لوكالات الاستخبارات التي تسعى للحصول على رؤى حول ديناميكيات الأمن الإقليمي وعمليات مكافحة الإرهاب والتحركات عبر الحدود.

تظل الأبواب الخلفية المخصصة بـ C و C++ الأداة المفضلة لوحدات التجسس السيبراني المتطورة. وخلافاً لتروجانات الوصول عن بُعد (RATs) التجارية الجاهزة أو أطر العمل مفتوحة المصدر المتاحة على نطاق واسع، تتطلب البرمجيات الخبيثة الخاصة مثل PATCHCORD موارد تطوير مخصصة وقدرات هندسة عكسية لاكتشافها. ومن خلال بناء غرسات مخصصة من الصفر، يمكن للجهات التهديدية تجاوز برامج مكافحة الفيروسات التقليدية القائمة على التوقيع والحفاظ على وجود تشغيلي غير مكتشف لشهور أو سنوات.

## Reaction في أعقاب الكشف العلني من قبل Acronis، يُتوقع من فرق عمليات الأمن، وفرق الاستجابة لطوارئ الحاسوب الإقليمية (CERTs)، ومنظمي الاتصالات عبر جنوب آسيا إجراء عمليات تدقيق جنائي داخلي لتحديد ما إذا كانت شبكاتهم تحتوي على مؤشرات اختراق مرتبطة بـ PATCHCORD.

ويتوقع محللو القطاع أن تصدر سلطات الأمن السيبراني في الولايات القضائية المستهدفة إرشادات فنية تنصح مشغلي البنية التحتية بتحديث توقيعات الدفاع عن الشبكة، وتدقيق حسابات المستخدمين المتميزين، ومراجعة جدران الحماية المحيطية. ولم يصدر المسؤولون الحكوميون في أفغانستان ولا السلطات التنظيمية في الدول المجاورة في جنوب آسيا بيانات علنية تسمي بشكل مباشر كيانات محددة متأثرة، مما يعكس بروتوكولات السرية القياسية التي يُحافظ عليها عادةً خلال التحقيقات النشطة المتعلقة بالأمن القومي والتي تتضمن اختراقات البنية التحتية الحيوية.

## What we don't know yet لا تزال عدة أبعاد حاسمة لحملة PATCHCORD غير معلنة أو قيد التحقيق. ولا يعزو تقرير Acronis صراحةً البرمجية الخبيثة إلى جهة تهديدية معروفة بالاسم أو مجموعة APT متبناة من دولة. وتتطلب المنسوبية القاطعة ربطاً جنائياً واسع النطاق، بما في ذلك تحليل تداخل الشفرة، ورسم خرائط البنية التحتية لخوادم التحكم والسيطرة، وفحص الآثار اللغوية، والتي لا تزال مستمرة.

بالإضافة إلى ذلك، لم يُكشف بالتفصيل للعلن عن العدد الدقيق للمؤسسات المخترقة، والتوزيع الجغرافي الدقيق للأهداف خارج أفغانستان، والمدى الكامل للبيانات المسربة خلال الحملة. كما أنه لا يزال غير واضح بدقة كيفية تنفيذ موجهات الاختراق الأولية عبر جميع الأهداف المتأثرة، وبشكل خاص ما إذا كان المهاجمون قد اعتمدوا بشكل أساسي على رسائل التصيد الاحتيالي الموجه، أو استغلال ثغرات البرمجيات، أو سلاسل توريد البائعين الموردين المخترقين.

## What to watch في الأسابيع والأشهر القادمة، ينبغي لباحثي الأمن السيبراني ومسؤولي الشبكات مراقبة عدة تطورات رئيسية لتقييم تطور بيئة تهديد PATCHCORD: - مؤشرات الاختراق الفنية (IOCs): سيؤدي إصدار تجزئات الملفات التفصيلية وعناوين IP الخاصة بـ C2 ومؤشرات النطاق من قبل موردي الأمن السيبراني إلى تمكين المؤسسات من البحث عن نشاط PATCHCORD داخل بيئات مؤسساتهم. - الإسناد الرسمي للتهديد: قد تنشر شركات أبحاث الأمن ووكالات الاستخبارات الحكومية تحليلات متابعة تربط بناء كود PATCHCORD أو بنيته التحتية بمجموعات APT الراسخة التي تعمل في آسيا. - إرشادات المعالجة والتخفيف: التوجيهات الأمنية الصادرة عن مراكز CERTs الوطنية ومنظمي الاتصالات التي تفصل بروتوكولات دفاعية محددة لتعزيز موجهات الأبواب الخلفية بـ C/C++. - تطور البرمجيات الخبيثة: التحولات المحتملة في تكتيكات المهاجم وتقنياته وإجراءاته (TTPs) حيث يتكيف الفاعلون التهديديون مع بنيتهم التحتية استجابة للانكشاف العلني.

يستند هذا التقرير إلى معلومات استخبارات التهديدات والأبحاث الأصلية التي نشرتها Acronis Threat Research Unit (TRU) في August 26, 2026.