#

النقاط الرئيسية

• استغلت حملة مُبلّغ عنها آلية تحديث ViPNet، وليس فقط محيط الشبكة.

• يمكن لمسارات البرامج الموثوقة أن تتحول إلى مسارات هجوم عندما يفترض المدافعون أنها آمنة.

• ينبغي للفرق المغربية مراقبة أدلة التحديث وأدوات VPN وحركة المرور غير المعتادة.

• يمكن أن يؤثر مزيج اللغات والمهارات وخيارات الشراء في الاكتشاف والاستجابة.

• الحوكمة مهمة لأن برامج الأمن ما زالت تحتاج إلى المراقبة والتسجيل والمراجعة.

ما الذي يقوله التقرير

أفاد BleepingComputer في 2026-07-19 بأن جهة تهديد متقدمة تُعرف باسم HelloNet تستغل آلية التحديث الخاصة بحزمة منتجات الشبكات الخاصة ViPNet. وتشمل الأهداف المُبلّغ عنها مؤسسات روسية في قطاعات الحكومة والطاقة والنقل والتعليم والخدمات اللوجستية.

ويذكر التقرير أن الحملة نشطة منذ مايو على الأقل. كما يذكر أن المهاجم استخدم ملف DLL خبيثًا وُضع في دليل ViPNet Update System المحلي. وهذه التفاصيل مهمة لأنها تُظهر كيف يمكن تحويل مسار تحديث موثوق إلى قناة تسليم.

بالنسبة للقراء المغاربة، لا تتمثل العبرة الأساسية في منتج واحد فقط. بل في كيفية تعامل المدافعين مع أي أداة أمنية موثوقة باعتبارها نقطة اختراق محتملة إذا لم تكن خاضعة للمراقبة الدقيقة.

لماذا يهم هذا المغرب

تعتمد المؤسسات المغربية غالبًا على أدوات أمنية متعددة الطبقات، وأنظمة وصول عن بُعد، ونقاط نهاية مُدارة. في مثل هذه البيئة، قد تبدو قناة التحديث روتينية وغير ضارة. وهذا بالضبط سبب استحقاقها للاهتمام.

إذا كان منتج أمني يُحدّث نفسه من دليل محلي أو مسار موثوق، فقد يحاول المهاجمون الاختباء هناك. ينبغي لفرق الأمن المغربية التحقق من أن سلوك التحديث طبيعي، ومُسجّل، ومُراجع. ولا ينبغي افتراض أن برامج الأمن آمنة تلقائيًا.

وهذا يهم أيضًا المشتريات والعمليات. قد يكون الأداة قوية على الورق، لكن ضعف المراقبة حولها يمكن أن يخلق نقاطًا عمياء. بالنسبة لصناع القرار المغاربة ومشتري المؤسسات، فإن السؤال العملي هو ما إذا كان يمكن ملاحظة المنتج وتدقيقه والتحكم فيه بعد النشر.

حالات استخدام عملية لفرق الأمن المغربية

أول حالة استخدام هي مراقبة نقاط النهاية. يمكن للفرق مراقبة التغييرات غير المتوقعة في ملفات DLL، وعمليات الكتابة غير المعتادة إلى الملفات، والتغييرات داخل أدلة التحديث. وهذا مفيد بشكل خاص عندما يكون البرنامج موثوقًا وبالتالي أقل احتمالًا أن تتم مراجعته.

الحالة الثانية هي مراقبة الشبكة. إذا بدأ أداة VPN أو أداة شبكة خاصة في إجراء اتصالات خارجية غير معتادة، فقد يستحق ذلك المراجعة. وقد ترغب الفرق المغربية أيضًا في مقارنة حركة التحديث الطبيعية مع حركة تظهر في أوقات غير معتادة أو من مضيفين غير معتادين.

الحالة الثالثة هي فرز الحوادث. إذا كان التنبيه يتعلق بمنتج أمني، فلا ينبغي للمستجيبين رفضه بسرعة باعتباره إنذارًا كاذبًا. ينبغي لهم التحقق مما إذا كان مسار التحديث أو الدليل المحلي أو سلسلة العمليات المحيطة يبدو مختلفًا عن المعتاد.

الحالة الرابعة هي التوعية. قد يستخدم الموظفون الذين يديرون الأنظمة بالعربية أو الفرنسية أو الإنجليزية مصطلحات مختلفة للأداة نفسها. هذا المزيج اللغوي قد يبطئ الاستجابة إذا لم تكن السجلات والتذاكر وكتب الإجراءات موحدة. يمكن للأسماء الواضحة والإجراءات المتسقة أن تقلل الالتباس.

السياق المغربي: ما الذي ينبغي للفرق أخذه في الاعتبار

تواجه المؤسسات المغربية القيود الأساسية نفسها الموجودة في أماكن أخرى، لكنها قد تبدو أشد في التطبيق العملي. قد يكون توفر البيانات غير متساوٍ، خاصة عندما تكون السجلات موزعة بين أنظمة أقدم ومنصات أحدث. وإذا كانت القياسات عن بُعد غير مكتملة، يصبح من الأصعب اكتشاف إساءة الاستخدام في مسارات التحديث الموثوقة.

كما أن البنية التحتية مهمة. قد تحتوي بعض البيئات على نطاق ترددي محدود، أو نقاط نهاية أقدم، أو إعدادات مختلطة بين الأنظمة المحلية والوصول عن بُعد. في مثل هذه الحالات، قد يكون من الصعب وضع خط أساس لسلوك التحديث. وقد تحتاج الفرق إلى تحديد ما هو الطبيعي قبل أن تتمكن من اكتشاف ما هو غير طبيعي.

المهارات قيد آخر. ليس لدى كل فريق قدرة عميقة على التحليل الجنائي لنقاط النهاية أو تحليل البرمجيات الخبيثة. وهذا يعني أن الضوابط البسيطة مهمة: فحوصات سلامة الملفات، والتنبيه على الأدلة الحساسة، ومراجعة التغييرات ذات الامتيازات. هذه خطوات عملية للمشغلين المغاربة ذوي الموارد المحدودة.

كما يمكن للمشتريات أن تشكل المخاطر. إذا تم اختيار منتج أساسًا بسبب الميزات، وليس بسبب التسجيل أو التكامل، فقد يفقد المدافعون الرؤية لاحقًا. ينبغي للمشترين المغاربة أن يسألوا ما إذا كانت الأداة تدعم مسارات التدقيق، وتصدير التنبيهات، والمراقبة المركزية. هذه الأسئلة لا تقل أهمية عن قائمة الميزات.

المخاطر والحوكمة

تسلط الحملة المُبلّغ عنها الضوء على مشكلة حوكمة أساسية. غالبًا ما يُفترض أن أدوات الأمن موثوقة افتراضيًا، لكن الثقة يجب أن تُكتسب باستمرار. إذا تمكن مهاجم من وضع DLL خبيث في دليل تحديث محلي، فإن عملية التحديث نفسها تصبح جزءًا من سطح الهجوم.

كما أن الخصوصية والامتثال مهمان. قد تتطلب مراقبة مسارات البرامج الموثوقة جمع المزيد من بيانات نقاط النهاية والشبكة. ستحتاج المؤسسات المغربية إلى الموازنة بين الرؤية والسياسة الداخلية والالتزامات القانونية. الهدف ليس جمع كل شيء. الهدف هو جمع ما يكفي لاكتشاف الإساءة والاستجابة بسرعة.

ينبغي أن تشمل حوكمة الأمن السيبراني أيضًا التحكم في التغيير. إذا تغيرت آلية التحديث، فيجب أن تعرف الفرق من وافق عليها ومتى. وإذا بدأ منتج أمني في التصرف بشكل مختلف، فيجب أن يؤدي ذلك إلى مراجعة. وهذا مهم بشكل خاص للقطاعات الحيوية التي لا تستطيع تحمل تأخيرات طويلة في الاكتشاف.

ما الذي يمكن للفرق المغربية فعله بعد ذلك

ابدأ بجرد بسيط. أدرج أدوات VPN والأمن والوصول عن بُعد التي تحتوي على ميزات التحديث التلقائي. ثم حدد أين تُخزن هذه التحديثات، وكيف تُسجل، ومن يمكنه تعديلها.

بعد ذلك، أضف آليات كشف حول المسارات الموثوقة. راقب إنشاء ملفات DLL أو استبدالها أو تنفيذها بشكل غير متوقع داخل أدلة التحديث. راقب أيضًا حركة المرور غير المعتادة الصادرة من أدوات الأمن، خاصة إذا ظهرت خارج نوافذ الصيانة المعتادة.

ثم راجع كتب إجراءات الاستجابة. إذا اشتُبه في أداة موثوقة، ينبغي للمستجيبين عزل المضيف، والحفاظ على السجلات، ومقارنة الحالة الحالية بخط أساس معروف بأنه سليم. كما ينبغي لهم التحقق مما إذا كانت المشكلة محلية أم منتشرة عبر عدة أنظمة.

وأخيرًا، حسّن الحوكمة. اسأل الموردين والفرق الداخلية كيف يتم التحقق من سلامة التحديثات. اسأل ما إذا كان يمكن تصدير التنبيهات إلى نظام مركزي. اسأل ما إذا كان يمكن مراقبة المنتج دون إضعاف الأداء. هذه أسئلة عملية للمؤسسات المغربية التي تريد المرونة، وليس مجرد البرمجيات.

الخلاصة

تذكّر حملة HelloNet المُبلّغ عنها بأن المهاجمين غالبًا ما يستهدفون الثقة نفسها. بالنسبة لفرق الأمن المغربية، الدرس واضح. راقب الأدوات التي تثق بها أكثر، خاصة تلك التي تُحدّث نفسها.

هذا النهج ليس لامعًا، لكنه فعّال. في المغرب، حيث قد تواجه الفرق بنى تحتية مختلطة، ورؤية محدودة، ومهارات متفاوتة، يمكن للمراقبة المنضبطة أن تحدث فرقًا حقيقيًا. ينبغي التعامل مع مسارات التحديث الموثوقة باعتبارها أصولًا بالغة الأهمية للأمن، لا عمليات خلفية غير مرئية.