---
title: قراصنة يخترقون خوادم تحديثات شركة أومي لنشر برمجيات خبيثة سرًا
url: https://www.dataloco.com/ar/krasn-ykhtrkon-khoadm-thdythat-shrk-aomy-lnshr-brmgyat-khbyth-sra
published: 2026-10-22T11:22:03+00:00
language: ar
section: الأمن
source: https://www.bleepingcomputer.com/news/security/hackers-hijack-aomei-update-servers-to-secretly-spread-malware/
organizations: AOMEI, ManageEngine, Google, Mandiant
publisher: Dataloco
---

# قراصنة يخترقون خوادم تحديثات شركة أومي لنشر برمجيات خبيثة سرًا

قام مهاجمون إلكترونيون باختراق خوادم التحديث التابعة لشركة أومي لاستغلال ميزة ترويجية مدمجة في برنامج النسخ الاحتياطي الخاص بها، مما سمح بنشر برمجيات خبيثة سرًا قبل استعادة ملفات التكوين إلى حالتها الأصلية لإخفاء آثار الهجوم. وقعت هذه الهجمات على سلسلة التوريد بين شهري أبريل ويوليو من عام 2026، واستهدفت أنظمة التحديث والإشعارات المستخدمة في تطبيق أومي باكابر المخصص لنظام ويندوز، والذي يقوم بمهام نسخ البيانات واستنساخ الأقراص واستعادة الأنظمة.

كشف باحثون في مختبر تحليل التهديدات التابع لشركة مانج إنجن، بالتعاون مع مجموعة استخبارات التهديدات من جوجل وفريق مانديانت، عن هذه الحملة ووصفوا النشاط بأنه يعود لفاعل تهديد يُعرف باسم يو إن سي 7017. استخدم هذا الفاعل البنية التحتية المخترقة لتوزيع أداة تنزيل برمجيات خبيثة غير معروفة سابقًا تسمى كروس رود، بالإضافة إلى باب خلفي يُدعى شايني رود. حدد الباحثون منظمات متأثرة في عدة دول شملت الولايات المتحدة وأستراليا والهند وسنغافورة وإسبانيا وسويسرا، عبر قطاعات متنوعة مثل خدمات تكنولوجيا المعلومات والاتصالات والتعليم العالي.

حذرت جوجل من أن الهجمات كانت انتهازية وقد تكون أثرت على منظمات إضافية تحققت من وجود تحديثات للبرمجيات خلال الفترات الزمنية القصيرة التي تم فيها توزيع الملفات الخبيثة. رُصدت الهجمات لأول مرة في الثامن والعشرين من مايو، عندما لاحظ برنامج الأمان الخاص بنقاط النهاية التابع لشركة مانج إنجن تثبيت أداة الإدارة عن بعد الشرعية المسماة رادمين فجأة على أجهزة حاسوب في شركتين غير مرتبطتين في دولتين مختلفتين. كان تثبيت رادمين مثيرًا للشكوك لأن عمليات الترويج المدمجة في برنامج أومي هي التي أطلقته، وهي عمليات تتعامل عادةً مع تنزيل وعرض المحتوى الترويجي والإشعارات.

عندما حاول الباحثون إعادة إنتاج السلوك على أنظمتهم الاختبارية الخاصة، لم يجدوا أي شيء خبيث في البداية، حيث اتصل البرنامج بخوادم أومي ونزل ملف التكوين الشرعي. أظهرت الاختبارات الإضافية أن المهاجمين لم يستبدلوا الملفات على خوادم أومي بشكل دائم، بل عدلوا مؤقتًا ملفي تكوين يستخدمهما نظاما الترويج والإشعارات. الملف الأول المسمى داون إتش تي إم إل دوت آي إن آي يخبر برنامج أومي باكابر بمكان تنزيل حزم التحديث، بينما يتحكم الملف الثاني المسمى نوتيفي كونفيج دوت آي إن آي في الإشعارات ويمكنه تشغيل محتوى على الحاسوب. من خلال تعديل هذين الملفين، أعاد المهاجمون توجيه البرنامج لتنزيل أرشيف مضغوط خبيث ثم استخدموا آلية الإشعارات لتنفيذ البرمجيات الخبيثة دون الحاجة إلى تفاعل المستخدم.

أكد باحثون في جوجل لاحقًا تدفق التنفيذ هذا في اختبارات خاصة بهم، وبعد فشل محاولة إعادة إنتاج الهجوم الأصلي، بدأت شركة مانج إنجن مراقبة خوادم أومي بشكل مستمر. في السادس عشر من يوليو، نجحت هذه المراقبة في رصد التعديلات الخبيثة أثناء حدوثها، مما أكد أن أنظمة أومي كانت تقدم المحتوى الخبيث. وجد الباحثون أيضًا أن المهاجمين عدلوا مجموع الاختبار المتوقع في تكوين التحديث، مما سمح للأرشيف الخبيث بالمرور من فحوصات التحقق من صحة الملفات الخاصة بالبرنامج. حددت جوجل ومانج إنجن ثلاث نوافذ زمنية تم خلالها إرسال ملف التكوين الخبيث من خوادم أومي، حيث استغرقت النافذة الأولى عشر دقائق في الثامن والعشرين من مايو، بينما استغرقت النافذة الثانية ست دقائق في السادس عشر من يوليو، والثالثة خمس دقائق في العشرين من يوليو.

استعاد المهاجمون ملفات التكوين إلى شكلها الأصلي خلال دقائق، مما جعل اكتشاف الاختراق أمرًا صعبًا. خلال هذه النوافذ الزمنية، استُخدم ملف التكوين الخبيث لتثبيت برمجيتي كروس رود وشايني رود. عند التشغيل، قامت أداة تنزيل كروس رود بإجراء استطلاع على الحاسوب المصاب، ونزلت مكونات إضافية، وأثبتت استمراريتها من خلال مهمة مجدولة. أما شايني رود فهو باب خلفي استخدم مكونات رادمين الشرعية لتحميل كود خبيث وإنشاء اتصال صادر إلى خادم تحكم وسيطرة يديره المهاجمون، مما سمح بتنفيذ أوامر وأحمال إضافية محتملة على الأجهزة المخترقة. خلال هجوم العشرين من يوليو، لاحظت جوجل تقنية ثانية حاولت سرقة تجزئات مصادقة ويندوز من خلال إجبار نظام إشعارات البرنامج على الوصول إلى مورد ويب داف يديره المهاجمون عبر نافذة منبثقة غير مرئية، وهي تقنية قد تعرض تجزئات إن تي إل إم للسرقة.

## This story in other languages

- [Indonesia](https://www.dataloco.com/id/peretas-bajak-server-pembaruan-aomei-untuk-menyebarkan-perangkat-lunak-berbahaya-secara-rahasia)
- [ไทย](https://www.dataloco.com/th/aomei)
- [Français](https://www.dataloco.com/fr/hijacking-des-serveurs-de-mise-a-jour-aomei-pour-diffuser-secretement-des-malwares)
- [Español](https://www.dataloco.com/es/ciberdelincuentes-manipulan-servidores-de-aomei-para-distribuir-malware)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-aomei-guncelleme-sunucularini-gizlice-kotu-amacli-yazilim-yaymak-icin-ele-gecirdi)
- [עברית](https://www.dataloco.com/he/aomei)