في الأسبوع الماضي، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA)، ومكتب التحقيقات الفيدرالي (FBI)، ووكالة الأمن القومي (NSA)، ووكالة حماية البيئة (EPA)، ووزارة الطاقة (DOE)، والقيادة السيبرانية الأمريكية، ووزارة الخزانة إرشادات مشتركة محدثة بشأن الأمن السيبراني. وتفصّل هذه الإرشادات العمليات السيبرانية العدوانية والمستمرة التي تنفذها جهات تهديد تابعة لإيران ضد البنية التحتية الحيوية في الولايات المتحدة.

وقد تم الإبلاغ في البداية عن هذا التهديد المشترك في أبريل 2026، وهو يسلط الضوء على توسيع نطاق استهداف التكنولوجيا التشغيلية (OT) وأنظمة التحكم الصناعي (ICS) عبر قطاعات المياه وأنظمة مياه الصرف الصحي (WWS)، والطاقة، والمرافق الحكومية، والرعاية الصحية، والتصنيع. وتستغل جهات التهديد المرتبطة بإيران - بما في ذلك المجموعات المرتبطة بفيلق القدس التابع للحرس الثوري الإسلامي (IRGC) والاستخبارات الإيرانية - بنشاط وحدات التحكم المنطقية القابلة للبرمجة (PLCs) المكشوفة للإنترنت، وواجهات الآلة البشرية (HMIs)، وأنظمة التحكم الإشرافي وتحصيل البيانات (SCADA)، والاتصالات الميدانية عن بُعد.

بينما ركزت الإصدارات السابقة من هذه الحملة بشكل كبير على أجهزة Rockwell Automation القديمة أو المتصلة بالإنترنت ووحدات التحكم المنطقية القابلة للبرمجة Unitronics ذات الأصل الإسرائيلي، تؤكد الاستخبارات المحدثة أن الخصوم وسعوا قدراتهم لاستهداف أنظمة التحكم من Schneider Electric وSiemens. وقد أدت الهجمات إلى اضطرابات تشغيلية، والتلاعب بشاشات عرض بيانات HMI/SCADA، وتغيير ملفات مشاريع وحدات التحكم، وخسائر مالية مباشرة للمرافق المتضررة.

نظرة عامة

تتمحور الحملة حول الاستغلال الانتهازي والمستهدف لأجهزة التحكم الصناعي التي يمكن الوصول إليها عبر الإنترنت في أمريكا الشمالية، مع تداعيات استراتيجية أوسع على الدول الحليفة. ويستغل الخصوم الاستخبارات مفتوحة المصدر (OSINT)، والمسح الشامل للمنافذ، والبيانات الاعتمادية الافتراضية/المخترقة، وثغرات تجاوز المصادقة المحددة للحصول على وصول مباشر إلى شبكة وحدات التحكم المنطقية القابلة للبرمجة (PLCs) وأجهزة المودم الخلوية التي تربط الأجهزة الميدانية بالشبكات الخارجية.

بمجرد الدخول، يتفاعل المهاجمون مباشرة مع ملفات مشاريع وحدات التحكم، ويعدلون المنطق التشغيلي، ويغيرون نقاط الضبط، ويتلاعبون بموجزات البيانات المعروضة للمشغلين على شاشات SCADA.

[إنترنت / تهديد خارجي]

       │

       ├── المنافذ 44818, 502, 102, 2222, 22

       ▼

[مودم خلوي / موجه المحيط]  ── (نفق Dropbear SSH)

       │

       ▼

[الشبكة الميدانية / بوابة غير آمنة]

       │

       ├── ملفات المشروع المعدلة / تنزيل المنطق القسري

       ▼

[وحدات التحكم المنطقية القابلة للبرمجة (PLCs)]

  ├── Rockwell Automation Logix (CVE-2021-22681)

  ├── Schneider Electric Modicon M340 / BMX P34

  └── Siemens S7-1200 Series

       │

       ▼

[شاشات عرض HMI / SCADA] (قراءات مخادعة وبيانات متلاعب بها)

الجدول الزمني

• الكشف عن CVE-2021-22681 (عام 2021): تم اكتشاف ثغرة أمنية في برنامج Studio 5000 Logix Designer من Rockwell Automation، مما يسمح للتطبيقات غير التابعة لشركة Rockwell باكتشاف المفاتيح التشفيرية السرية والتواصل مع وحدات تحكم Logix.

• أواخر 2023 - أوائل 2024: تستغل مجموعة CyberAv3ngers (التابعة للحرس الثوري الإيراني) وحدات تحكم Unitronics Vision Series PLCs المتصلة بالإنترنت في مرافق المياه الأمريكية في أعقاب اندلاع الصراع بين إسرائيل وحماس، مما أدى إلى تعطيل الأنظمة وتشويه واجهات HMI.

• مارس 2026: تقوم Rockwell Automation بتحديث إرشاداتها بشأن CVE-2021-22681، وتحث المشغلين على إزالة وحدات التحكم من الإنترنت المفتوح، وفرض حماية صارمة لمفتاح تبديل الأوضاع، وتطبيق تقوية البرمجيات.

• 7-8 أبريل 2026: تنشر وكالات CISA وFBI وNSA وEPA وDOE والقيادة السيبرانية الأمريكية إرشادات أمن سيبراني مشتركة أولية تحذر من أن جهات التهديد الإيرانية تستغل وحدات تحكم Rockwell Automation PLCs المتصلة بالإنترنت عبر مرافق المياه والطاقة والبلديات، مما يؤدي إلى التلاعب بالبيانات وخسائر مالية. وتحدد شركة Censys الآلاف من وحدات تحكم Rockwell المكشوفة على عناوين IP العامة.

• يونيو 2026: تعلن جهة التهديد الموالية لإيران "Handala" مسؤوليتها عن اختراق استهدف شركة خدمات المياه في كاليفورنيا (Cal Water). وتؤكد التحقيقات أن النشاط كان محدوداً بالحسابات داخل منصات مقدمي الخدمات من الطرف الثالث.

• 22 يوليو 2026: تصدر الوكالات الفيدرالية إرشادات مشتركة محدثة AA26-097A، مما يوسع مشهد التهديدات ليشمل الاستهداف النشط لوحدات تحكم Schneider Electric وSiemens PLCs، وتفصيل استهداف المودم الخلوي عبر SSH/Dropbear، والتوصية بإجراءات تخفيف فورية لقفل المفاتيح المادية للأجهزة.

تحليل جهات التهديد

النسبة والمسؤولية

تنسب الإرشادات الحكومية النشاط المستمر إلى مجموعات التهديد المتقدم المستمر (APT) التي ترعاها الدولة الإيرانية والوكلاء المتحالفين مع الدولة. وتتضمن الكيانات الرئيسية المرتبطة بهذا النشاط ما يلي:

• CyberAv3ngers: مرتبطة بالقيادة السيبرانية الإلكترونية للحرس الثوري الإسلامي (IRGC-CEC). تشتهر بتشويه المواقع العامة، والمسح الشامل، والاستهداف المباشر المدمر أو المعطل لأجهزة التكنولوجيا التشغيلية (OT).

• Handala: مجموعة من جهات التهديد الموالية لإيران مرتبطة بأجهزة الاستخبارات الإيرانية، وهي متخصصة في العمليات النفسية بأسلوب النشاط السيبراني، ونشر برمجيات التدمير (wiper)، واختراق سلاسل التوريد/مقدمي الخدمات من الطرف الثالث.

• المقاولون المرتبطون بوزارة الاستخبارات والأمن (MOIS): فرق أوسع تدعمها الدولة تقوم بجمع المعلومات الاستخباراتية وأنشطة التموضع المسبق عبر شبكات الطاقة والبلديات.

الدوافع

توازن الاستراتيجية السيبرانية للدولة الإيرانية بين الردع غير المتكافئ، والانتقام الجيوسياسي، والعمليات النفسية. ومن خلال استهداف البنية التحتية الحيوية مثل توزيع المياه في البلديات وشبكات الطاقة الإقليمية، تسعى الجهات الإيرانية إلى إظهار قدرتها على الوصول، وبث الذعر العام، وتعطيل الخدمات اليومية الأساسية، وتكبيد خسائر اقتصادية دون تجاوز عتبة الحرب الحركية الصريحة.

التطور في أساليب هجمات التكنولوجيا التشغيلية (OT)

تاريخياً، اعتمدت الجهات السيبرانية الإيرانية على عمليات تشويه الويب البسيطة، وحشو البيانات الاعتمادية، والوصول الإداري غير المصادق عليه إلى واجهات HMI الأساسية أو أنظمة إدارة المباني. وتشير الحملة الحالية إلى تحول في النضج التشغيلي:

• الاستغلال الواعي بالبروتوكولات: تستخدم جهات التهديد البرمجيات الهندسية الرسمية لوحدات التحكم PLC والبروتوكولات الصناعية الأصلية (EtherNet/IP، Modbus TCP، Siemens S7) لدفع التعديلات المنطقية مباشرة.

• العيش على خيرات الأرض (LotL) في التكنولوجيا التشغيلية: بدلاً من نشر برمجيات خبيثة صناعية مخصصة (مثل PIPEDREAM أو Industroyer)، يستغل الفاعلون أدوات التكوين والبروتوكولات الشرعية للشركات المصنعة الأصلية (OEM) للتفاعل مع ملفات المشاريع وتجاوز الضوابط وتغيير سلوك وقت التشغيل.

• اختراق البوابات على المستوى الميداني: استهداف أجهزة المودم الخلوية في المواقع الميدانية عبر SSH (Dropbear) لإنشاء أنفاق مشفرة ومستمرة مباشرة إلى مناطق التحكم من المستوى الأول، متجاوزين جدران الحماية الخاصة بالمؤسسة.

التحليل الفني

الوصول الأولي ومسارات الوصول عن بُعد

• الأجهزة الميدانية المواجهة للإنترنت: يستغل الخصوم Shodan وCensys وأدوات المسح المخصصة لتحديد مواقع عناوين IP العامة التي تكشف منافذ الاتصال الصناعية أو واجهات الإدارة عن بُعد.

• أجهزة المودم الخلوية غير الآمنة: غالباً ما تعتمد المواقع الميدانية البعيدة (مثل محطات الضخ، ومواقع الطاقة الشمسية، والمحطات الفرعية) على أجهزة المودم الخلوية للنقل الخلفي. ويستهدف الفاعلون واجهات SSH المفتوحة (المنفذ 22)، أو Telnet (المنفذ 23)، أو واجهات HTTP التي تعمل ببيانات اعتماد افتراضية أو ضعيفة. وفي عدة حالات، قام الفاعلون بتثبيت أو استغلال نسخ خفيفة من Dropbear SSH للحفاظ على وصول مستمر.

• الخدمات المدارة من طرف ثالث والموردين: يتم الحصول على الوصول عبر بيانات اعتماد مخترقة تخص مقاولين خارجيين، أو مدمجي أنظمة، أو منصات خدمات مدارة تحافظ على اتصال مباشر من موقع إلى موقع في بيئات التكنولوجيا التشغيلية (OT).

تقنيات وثغرات أنظمة التحكم الصناعي والتكنولوجيا التشغيلية المستهدفة

مخطط MITRE ATT&CK

إطار عمل MITRE ATT&CK لأنظمة التحكم الصناعي (ICS)

• الوصول الأولي: T0886 (الخدمات عن بُعد)، T0865 (الخدمات الخارجية عن بُعد)، T0883 (الأجهزة التي يمكن الوصول إليها عبر الإنترنت).

• التنفيذ: T0807 (واجهة سطر الأوامر)، T0855 (رسالة أمر غير مصرح بها).

• الاستمرارية: T0889 (تعديل البرنامج).

• التهرب: T0820 (استغلال التطبيقات المواجهة للإنترنت)، تجاوز البروتوكولات.

• إضعاف التحكم في العمليات: T0831 (التلاعب بالتحكم)، T0858 (تغيير وضع التشغيل)، T0833 (تعديل منطق التحكم).

• التأثير: T0826 (فقدان التوافر)، T0836 (تعديل المعلمات)، T0856 (تزييف رسائل التقارير).

إطار عمل MITRE ATT&CK للمؤسسات

• الاستطلاع: T1595 (النشاط النشط - مسح المنافذ/عناوين IP)، T1592 (جمع معلومات المضيف الضحية).

• الوصول الأولي: T1190 (استغلال التطبيقات المواجهة للإنترنت)، T1078 (الحسابات الصالحة - الموردون/الطرف الثالث).

• القيادة والسيطرة: T1572 (إنشاء أنفاق البروتوكول عبر SSH/Dropbear)، T1105 (نقل أدوات الدخول).

الاستهداف الخاص بالقطاعات: المياه والطاقة

أنظمة المياه ومياه الصرف الصحي (WWS)

لا يزال قطاع المياه ومياه الصرف الصحي عرضة للخطر بسبب ميزانيات البلديات المحدودة، ودورات حياة المعدات القديمة، والاعتماد الكبير على الإدارة الآلية عن بُعد للمواقع المتباعدة جغرافياً (مثل محطات التعزيز، ومضخات الرفع، ومستويات الخزانات). تفتقر العديد من المرافق الصغيرة والمتوسطة إلى موظفي أمن سيبراني متخصصين في التكنولوجيا التشغيلية (OT)، مما يؤدي إلى كشف وحدات التحكم PLC المتصلة مباشرة عبر أجهزة المودم الخلوية دون شبكات VPN أو مصادقة متعددة العوامل (MFA).

قطاع الطاقة

في قطاع الطاقة، تقوم الأجهزة الميدانية مثل وحدات الطرف البعيد (RTUs) ووحدات التحكم PLC بتنظيم محطات التوزيع الفرعية، ومجمعات توليد الطاقة الشمسية/الرياح، ومحطات ضغط خطوط الأنابيب. ويؤدي التعرض في هذا القطاع إلى مخاطر حدوث انخفاضات محلية في الطاقة، أو حالات تعطل، أو تلاعب غير صحيح بالصمامات مما قد يؤدي إلى تلف البنية التحتية المادية أو زعزعة استقرار توازن الشبكة.

تقييم الأثر التشغيلي

توصيات دفاعية شاملة

الإجراءات ذات الأولوية الفورية (خلال 24-72 ساعة)

1. القضاء على التعرض المباشر للإنترنت [CPG 3.S]:

   • افصل جميع وحدات التحكم PLC، ووحدات RTU، وواجهات HMI عن رؤية الإنترنت العام المباشرة على الفور.

   • قم بإجراء تدقيق لنطاقات عناوين IP العامة باستخدام أدوات مثل Shodan/Censys للتحقق من عدم وجود منافذ تكنولوجيا تشغيلية (OT) مفتوحة (44818, 502, 102, 2222, 20256, 22).

2. فرض مفاتيح الأوضاع المادية للأجهزة:

   • بالنسبة لوحدات التحكم PLC المجهزة بمفاتيح أوضاع مادية (مثل ControlLogix/CompactLogix)، قم بتحويل أقفال المفاتيح يدوياً إلى وضع "RUN".

   • شرط مسبق بالغ الأهمية: قبل التحول إلى وضع "RUN"، راجع بدقة وتحقق من ملفات المشاريع قيد التشغيل مقارنة بالنسخ الاحتياطية القياسية دون اتصال بالإنترنت، حيث إن القفل في وضع RUN يحفظ حالة المشروع النشط. ويمنع التغيير إلى وضع RUN التنزيل عن بُعد غير المصرح به أو تعديل المنطق الأساسي للمخطط السلمي.

3. تقوية أجهزة المودم الخلوية الميدانية:

   • قم بتدقيق موجهات/أجهزة المودم الخلوية بحثاً عن منافذ الإدارة المفتوحة. قم بتغيير جميع بيانات الاعتماد الافتراضية للمصنع على الفور.

   • قم بتعطيل بروتوكولات Telnet وHTTP وبروتوكولات الإدارة غير المشفرة. قم بتقييد الوصول إلى SSH (المنفذ 22) لنطاقات عناوين IP الإدارية المحددة فقط. افحص أجهزة المودم بحثاً عن خدمات SSH غير المصرح بها (مثل Dropbear).

4. فرض المصادقة متعددة العوامل (MFA) الإلزامية وتحديث كلمات المرور:

   • تطلب المصادقة متعددة العوامل (MFA) على جميع مسارات الوصول عن بُعد إلى مجال التكنولوجيا التشغيلية (OT) (شبكات VPN، وأجهزة الانتقال، وبوابات الموردين).

   • قم بتغيير كلمات المرور الافتراضية عبر جميع برامج PLC، والأدوات الهندسية، ولوحات الويب.

التحسينات على المدى القصير (خلال 30-90 يوماً)

• تمكين الحماية على مستوى وحدة التحكم والبرمجيات: قم بتكوين مفاتيح البرامج وحماية البرمجة داخل البرامج الهندسية (مثل حماية الكتل في TIA Portal، وكلمات مرور المشاريع في Studio 5000) لتقييد عمليات نقل المنطق غير المصرح بها.

• تقسيم الشبكة وقوائم التحكم في الوصول (ACLs): قيد الاتصالات الواردة إلى وحدات التحكم PLC عبر قواعد جدار الحماية/قوائم ACL الصارمة، وفرض ربط صريح من عنوان IP إلى عنوان IP بين واجهات HMI المعروفة، ومحطات العمل الهندسية، ووحدات التحكم PLC.

• عزل البنية التحتية الخلوية: انقل أجهزة المودم الميدانية البعيدة إلى بنيات شبكات معزولة، مثل أسماء نقاط الوصول الخاصة (APN)، أو شبكات الجيل الخامس الخاصة غير العامة (PNI-NPN)، أو شبكات SD-WAN الخلوية مع وصول الشبكة القائم على ثقة معدومة (ZTNA).

• مركزيّة السجلات ومراقبة الأنشطة غير الطبيعية: اجمع وراقب سجلات النظام من جدران الحماية، وأجهزة المودم الخلوية، وبوابات VPN، وسجلات أحداث PLC للكشف عن محاولات الاتصال غير الطبيعية من نطاقات عناوين IP الأجنبية أو الخاصة بمزودي الاستضافة.

إجراءات المرونة على المدى الطويل

• بنية الثقة المعدومة للوصول عن بُعد للتكنولوجيا التشغيلية (OT): تخلص من أنفاق الوصول عن بُعد الواردة والمستمرة من موقع إلى موقع لصالح نماذج التحكم في الوصول القائمة على الهوية والمؤقّتة والوسيطة.

• أتمتة التحقق من السلامة: قم بتطبيق أدوات مراقبة التكوين المستمر التي تقارن المجاميع التدقيقية (checksums) لمنطق وحدة التحكم النشطة بالنسخ المرجعية المعتمدة للكشف عن التغييرات غير المصرح بها في الوقت الفعلي.

• حوكمة سلسلة التوريد والجهات الخارجية: افرض متطلبات سيبرانية صارمة وحقوق تدقيق لمدمجي الأنظمة الخارجيين، ومقدمي الخدمات السحابية، وموردي الصيانة عن بُعد.

الالتزام بأطر الأمن ذات الصلة

تحليل إضافي وتداعيات استراتيجية

ما تكشفه هذه الحملة عن الاستراتيجية السيبرانية الإيرانية

تظهر العمليات السيبرانية الإيرانية استراتيجية براغماتية ومنخفضة التكلفة. وبدلاً من استهلاك ثغرات يوم الصفر ذات القيمة العالية أو تطوير أطر عمل برمجيات خبيثة مخصصة ومعقدة (والتي تتطلب دورات تطوير طويلة)، تمنح مجموعات التهديد الإيرانية الأولوية للكثافة، والسرعة، والانتهازية. ومن خلال البحث عن الأجهزة المكشوفة علناً واستغلال البروتوكولات الهندسية المعروفة، فإنهم يحققون وصولاً تشغيلياً واسعاً بأقل قدر من استهلاك الموارد.

التطور في أساليب هجمات التكنولوجيا التشغيلية (OT)

على الرغم من أن آلية الاستهداف تظل انتهازية إلى حد كبير، إلا أن الأساليب التشغيلية قد تقدمت. وتظهر جهات التهديد فهماً محسناً لمنصات التحكم الصناعي - متجاوزة مجرد تشويه واجهة الويب البسيطة لتتفاعل مع منطق السلم لوحدات التحكم، وتغير نقاط الضبط، وتنفذ أوامر على مستوى البروتوكول عبر العديد من الشركات المصنعة الأصلية الكبرى (Rockwell, Schneider Electric, Siemens, Unitronics).

تداعيات أوسع للمشغلين العالميين

بمثابة تحذير بالغ الأهمية للمشغلين على مستوى العالم، بما في ذلك المشغلين في أوروبا والشرق الأوسط وآسيا والمحيط الهادئ. ويستخدم وكلاء إيران أدوات مسح OSINT المتاحة عالمياً لاكتشاف أجهزة التكنولوجيا التشغيلية (OT) المكشوفة في أي مكان في العالم. وأي مؤسسة تعرض أجهزة التحكم الصناعية غير المقسمة للإنترنت العام - بغض النظر عن موقعها الجغرافي أو حجمها - تكون عرضة للاكتشاف التلقائي والتعطيل المحتمل.

نقاط الضعف الدفاعية الشائعة التي تم استغلالها بشكل منهجي

• الرؤية المباشرة للإنترنت العام: وحدات التحكم المتصلة مباشرة بأجهزة المودم الخلوية دون جدران حماية محيطية أو أسماء نقاط وصول (APN) خاصة.

• الاعتماد المفرط على التكوينات الافتراضية للموردين: كلمات المرور الإدارية غير المتغيرة ومنافذ الإدارة المفتوحة.

• عدم كفاية إدارة مخاطر الطرف الثالث: مسارات الصيانة غير الآمنة عن بُعد المقدمة للمقاولين الخارجيين.

• الافتقار إلى مفاتيح أمان الأجهزة المادية: الفشل في ضبط أقفال مفاتيح PLC المادية على وضع "RUN"، مما يترك منافذ البرمجة عن بُعد مفتوحة بشكل دائم.

رؤى استراتيجية لمدراء أمن المعلومات وقادة أمن التكنولوجيا التشغيلية (OT)

خطة عمل لمدراء أمن المعلومات وقادة التكنولوجيا التشغيلية:

• افترض وجود تعرض حتى يتم التدقيق: قم بإجراء عمليات مسح فورية للتعرض الخارجي عبر جميع مساحات عناوين IP الخاصة بالشركة والميدانية للتحقق من عدم وجود منافذ تكنولوجيا تشغيلية (OT) أو واجهات إدارة مرئية للإنترنت العام.

• قم بقفل وحدات التحكم مادياً: أرسل فنيين ميدانيين لتدقيق وحدات التحكم PLC الحيوية؛ وتأكد من التحقق من ملفات المشاريع وتحويل المفاتيح المادية إلى وضع RUN.

• اعزل النقل الخلوي الميداني: انقل جميع الاتصالات الخلوية الميدانية إلى أسماء نقاط وصول (APN) خاصة، أو شبكات VPN آمنة، أو بنيات الثقة المعدومة.

• افرض ضوابط صارمة على وصول الطرف الثالث: فرض المصادقة متعددة العوامل (MFA) والوساطة عبر أجهزة الانتقال لجميع جلسات الوصول عن بُعد للموردين ومدمجي الأنظمة.

• جسر الفجوة التشغيلية: عزز التعاون المباشر بين فرق أمن تكنولوجيا المعلومات ومهندسي التكنولوجيا التشغيلية الميدانيين لضمان عدم إضرار سياسات الأمن بالسلامة التشغيلية أو استمرارية العمليات.