A massive brute-force attack hit Apache Tomcat Manager

295 عنوان IP خبيث ينفذ هجمات منسقة بالقوة الغاشمة على واجهات Apache Tomcat Manager

حذّرت شركة الاستخبارات الأمنية GreyNoise من "نشاط منسق لهجمات بالقوة الغاشمة" تستهدف واجهات Apache Tomcat Manager.

وقالت الشركة إنها رصدت زيادة مفاجئة في محاولات تسجيل الدخول والهجمات بالقوة الغاشمة بتاريخ 5 يونيو 2025، مما يشير إلى أنها جهود متعمدة لـ"تحديد خدمات Tomcat المكشوفة والوصول إليها على نطاق واسع."

تم تحديد 295 عنوان IP فريد شارك في هذه المحاولات في ذلك اليوم، وقد تم تصنيفها جميعًا على أنها خبيثة. وفي آخر 24 ساعة فقط، تم تسجيل 188 عنوان IP فريد، أغلبها من الولايات المتحدة، المملكة المتحدة، ألمانيا، هولندا، وسنغافورة.

وفي السياق ذاته، تم رصد 298 عنوان IP فريد آخر يجري محاولات تسجيل دخول على مثيلات Tomcat Manager. ومن بين 246 عنوان IP تم الإبلاغ عنها خلال الـ 24 ساعة الأخيرة، تم تصنيفها جميعًا كعناوين خبيثة، وجميعها جاءت من نفس المواقع الجغرافية.

شملت أهداف هذه الهجمات كلاً من الولايات المتحدة، المملكة المتحدة، إسبانيا، ألمانيا، الهند، والبرازيل خلال نفس الفترة الزمنية. وأشارت GreyNoise إلى أن جزءًا كبيرًا من هذا النشاط جاء من بنية تحتية مستضافة على منصة DigitalOcean (ASN 14061).

قالت الشركة: "رغم أن هذا السلوك لا يرتبط بثغرة معينة، إلا أنه يسلط الضوء على الاهتمام المستمر بالخدمات المكشوفة من نوع Tomcat." وأضافت: "نشاط واسع وعشوائي كهذا غالبًا ما يُعدّ بمثابة تحذير مبكر لاحتمال استغلال مستقبلي."

ولتقليل المخاطر المحتملة، يُوصى بأن تقوم المؤسسات التي لديها واجهات Tomcat Manager مكشوفة بتطبيق مصادقة قوية وقيود على الوصول، ومراقبة أي علامات على نشاط مشبوه.

تأتي هذه الإفصاحات في الوقت الذي كشفت فيه شركة Bitsight أنها وجدت أكثر من 40,000 كاميرا أمنية متصلة بالإنترنت ويمكن الوصول إليها علنًا، مما يتيح لأي شخص مشاهدة بث الفيديو المباشر من هذه الأجهزة عبر بروتوكول HTTP أو RTSP.

تتركز هذه التعريضات في الولايات المتحدة، اليابان، النمسا، جمهورية التشيك، وكوريا الجنوبية.

يشكل قطاع الاتصالات 79% من الكاميرات المكشوفة، يليه قطاع التكنولوجيا (6%)، الإعلام (4.1%)، المرافق (2.5%)، التعليم (2.2%)، خدمات الأعمال (2.2%)، والحكومة (1.2%).

تتوزع هذه التركيبات بين المنازل، والمكاتب، وأنظمة النقل العام، والمصانع، مما يؤدي إلى تسريب غير مقصود لمعلومات حساسة قد تُستغل لاحقًا في التجسس أو التتبع أو الابتزاز.

يُنصح المستخدمون بتغيير أسماء المستخدمين وكلمات المرور الافتراضية، وتعطيل الوصول عن بُعد إذا لم يكن ضروريًا (أو تقييده باستخدام جدران حماية أو شبكات VPN)، والحفاظ على تحديث البرنامج الثابت (Firmware).

قال الباحث الأمني جواو كروز في تقرير مشترك مع The Hacker News: "هذه الكاميرات – المصممة لأغراض الأمان أو الراحة – أصبحت عن غير قصد نوافذ عامة على أماكن حساسة، غالبًا دون علم أصحابها."

وأضاف: "بغض النظر عن سبب احتياج فرد أو مؤسسة لمثل هذا الجهاز، فإن حقيقة أن أي شخص يمكنه شراؤه، وتوصيله، والبدء في البث بسهولة، هي على الأرجح السبب وراء استمرار هذا التهديد."