خادم مكشوف يعود إلى المهاجمين يكشف هجمات QuickLaunch على الجامعات

اكتشف باحثو Cybernews خادماً مكشوفاً يعود إلى المهاجمين، وكشف هذا الخادم محاولات الوصول إلى أنظمة تسجيل الدخول في الجامعات والوصول إلى بيانات الطلاب والمعلمين. وقال الفريق إن المهاجمين استغلوا ثغرات معروفة في QuickLaunch لإنشاء حسابات مستخدمين وسرقة معلومات خاصة. وQuickLaunch أداة مدعومة بالذكاء الاصطناعي تساعد الكليات والجامعات على إدارة كيفية تسجيل دخول الطلاب والموظفين إلى أنظمة المؤسسة والوصول إلى الخدمات عبر الإنترنت. وتم تحديد 42 جامعة على الأقل كأهداف محتملة، بينما أُدرجت 40 جامعة أخرى على أنها تستخدم نوعاً آخر من إعدادات تسجيل الدخول.

ما احتوى عليه الخادم

احتوى الخادم المكشوف على ما هو أكثر من ملاحظات الهجوم. فقد وجد الباحثون 373 سكريبت Python يُعتقد أنها دعمت العملية، و43 ملف Markdown تحدد مسارات الهجوم وتقدم تقارير عن النتائج. وكانت بعض التقارير مكتوبة بالصينية الماندرين ومصممة على غرار تقييمات الفريق الأحمر الحقيقية، مما يشير إلى أن المشغل قد يكون ناطقاً بالصينية. وقال الباحثون إن ذلك وحده لا يؤكد أن المهاجم كان مقره في الصين.

واحتوى الخادم أيضاً على ملفات JSON وCSV ونصوص تضم نتائج مؤقتة ونهائية، بالإضافة إلى ملفين للبيئة يكشفان مفتاح API لـ DeepSeek، مما يشير إلى أن بعض أجزاء سير العمل ربما كانت مؤتمتة بمساعدة ذكاء اصطناعي صيني الصنع. كما تُرك على الخادم مفتاح SSH عام يُرجح أنه مرتبط بالمهاجم. وخزّن الخادم نحو 32,400 سجل مستخدم فريد عبر 1,079 نطاقاً، مع الأسماء وعناوين البريد الإلكتروني ومعرفات المستخدم.

كيف عمل هجوم تسجيل الدخول

أشارت السجلات على الخادم إلى أن المهاجم ربط بين نقاط ضعف في QuickLaunch وبرنامج الهوية الأساسي WSO2. وأتاحت CVE-2024-7097 إنشاء حسابات مستخدمين غير مصرح بها عبر واجهة برمجة تطبيقات QuickLaunch، مما منح المهاجم موطئ قدم. وكشفت CVE-2025-5605 عن معلومات داخلية في النظام، بما في ذلك إحصائيات الذاكرة، وهو ما قد يساعد في رسم خريطة النظام المستهدف.

وأشارت السجلات أيضاً إلى ضعف خاص بإعادة تعيين كلمة المرور في QuickLaunch سمح للمهاجمين بالسيطرة على حساب جامعي حقيقي واحد على الأقل إذا لم يكن قد تم تسجيل أسئلة الأمان مسبقاً. وبدا أيضاً أن المهاجم استغل مشكلة غير موثقة في خدمة WSO2 WS-Federation Passive STS للحصول على رمز تسجيل دخول صالح حتى مع كلمة مرور خاطئة. واستخدم المهاجم هذا الرمز كدليل على المصادقة للوصول إلى بيانات المستخدمين الداخلية، وفي حالة واحدة على الأقل إلى محتويات علبة البريد.

واستهدف المهاجمون أيضاً 40 جامعة تستخدم ADFS المستضاف ذاتياً، وهو نظام تسجيل دخول آخر في الحرم الجامعي. وأظهرت السجلات 36 حالة من البيانات الوصفية للاتحاد المكشوفة، بما في ذلك نقاط النهاية والشهادات. ولم يثبت ذلك بحد ذاته حدوث اختراق، لكنه أعطى المهاجمين معلومات استخبارية مفيدة لرسم خريطة الأنظمة والتخطيط لهجمات لاحقة.

المخاطر والجدول الزمني

وقال الباحثون إن المؤسسات التعليمية المتأثرة تواجه مخاطر تتجاوز اختراق الحسابات. فالجامعات تتعامل مع كميات كبيرة من البيانات الشخصية والمالية للطلاب والموظفين، ويمكن استخدامها في سرقة الهوية والاحتيال المالي والهندسة الاجتماعية. وغالباً ما تحتفظ أيضاً بأبحاث حساسة غير منشورة وملكية فكرية.

وقال Cybernews إنه تواصل مع QuickLaunch للحصول على بيان. وتضمن الجدول الزمني للإفصاح اكتشاف خادم المهاجمين المكشوف في 17 يوليو 2026، والإفصاح الأولي إلى QuickLaunch في 5 أغسطس 2026، ورصد خادم المهاجمين مغلقاً في 2 سبتمبر 2026. واعتباراً من 2 سبتمبر، بدا أن المهاجمين أغلقوا الخادم.

المصادر: Cybernews