rfaheya.com — تحليل شامل لسجلات النشاط والمحاولات غير المصرح بها
الهجوم مستمر بدون توقف منذ 30 يوم، بمعدل يتراوح بين 200 إلى 500 محاولة يومياً، مع ذروات تصل لآلاف المحاولات في بعض الأيام.
| # | عنوان IP | عدد المحاولات | مستوى الخطورة | ملاحظات |
|---|---|---|---|---|
| 1 | 78.142.18.172 | 543 | حرج | نجح في تسجيل الدخول بحساب mohamedredd |
| 2 | 161.153.121.253 | 154 | حرج | هجوم مكثف ومستمر |
| 3 | 46.250.226.111 | 137 | حرج | — |
| 4 | 162.254.36.150 | 130 | حرج | — |
| 5 | 103.127.30.137 | 125 | عالي | — |
| 6 | 119.195.102.159 | 120 | عالي | — |
| 7 | 213.171.208.62 | 103 | عالي | — |
| 8 | 185.176.8.77 | 93 | عالي | — |
| 9 | 134.209.45.224 | 84 | عالي | DigitalOcean — هجوم يومي منتظم |
| 10 | 157.230.151.113 | 61 | عالي | DigitalOcean — كل 15 دقيقة |
تنبيه: المهاجمون يعرفون أسماء المستخدمين الحقيقية — تم تنفيذ عملية User Enumeration على الموقع
| اسم المستخدم | عدد المحاولات | النوع | الحالة |
|---|---|---|---|
| admin | 2,333 | اسم شائع | يجب حذفه أو تغييره |
| awatefhassan56gmail-com | 1,548 | حساب حقيقي | مستهدف بشدة — يجب تغيير كلمة المرور |
| khaledkhattab35 | 1,350 | حساب حقيقي | مستهدف بشدة — يجب تغيير كلمة المرور |
| ahmed-ibrahim | 1,100 | حساب حقيقي | مستهدف بشدة — يجب تغيير كلمة المرور |
| abdo-omar | 1,092 | حساب حقيقي | مستهدف بشدة — يجب تغيير كلمة المرور |
| alikhaled21 | 90 | مخترق | تم تسجيل دخول ناجح من IP مهاجم |
| mohamedredd | 89 | مخترق | تم تسجيل دخول ناجح من IP مهاجم |
| administrator | 48 | اسم شائع | — |
| root | 37 | اسم شائع | — |
78.142.18.172 — وهو ذات العنوان الذي نفّذ 543 محاولة اختراق (الأعلى في القائمة)51.210.103.162 ، 213.209.159.254 ، 58.47.137.190 (نطاق صيني)196.137.172.206 ضمن مجموعة حسابات مشبوهة199.189.225.167 — وهو ذات العنوان الذي نفّذ 28 محاولة اختراق على حسابات أخرى213.209.159.254 — نفس العنوان الذي استخدمه mohamedredd — مما يؤكد أن نفس الجهة تتحكم بالحسابينتم تسجيل 8 حسابات من عنوان IP واحد (196.137.172.206) خلال ساعة واحدة. يُرجّح أن تكون جميعها حسابات مُنشأة بواسطة المهاجم:
تم رصد استخدام شبكات IP منسقة (Botnets) حيث يتم توزيع الهجوم على عشرات العناوين داخل نفس الشبكة الفرعية:
تم رصد تسجيل 75+ حساب بوت من خلال عُقد خروج شبكة Tor. تتميز هذه الحسابات بأسماء مُشفّرة وعناوين بريد إلكتروني عشوائية. هذه حملة تسجيل آلي منسقة.
| النمط | أمثلة | نطاقات IP |
|---|---|---|
| أسماء مشفّرة بنقاط وأرقام | yi-gofu-he-s-6-9 / t-uw-i-yav-ul314 | 185.220.x.x / 109.70.100.x |
| أسماء بنمط بريد مؤسسي | stefon-burns / vineet-thuvara | 192.42.116.x / 45.84.107.x |
| أسماء عشوائية | paul-ringsrud / l-a-mup-u-zej-i | 107.189.x.x / 23.129.64.x |
المرحلة الأولى — إجراءات فورية (خلال الساعات القادمة)
تعطيل أو حذف حسابات mohamedredd و alikhaled21 فوراً. مراجعة كل الإجراءات التي تمت من هذه الحسابات بعد تسجيل الدخول (تعديل محتوى، رفع ملفات، تغيير إعدادات). فحص ما إذا تم رفع أي ملفات PHP خبيثة أو تعديل ملفات الثيم.
مراجعة الـ 8 حسابات التي تم تسجيلها يوم 27 يونيو من IP 196.137.172.206 وهي: mohamedredd, alikhaled21, ahmedhamdy, eslamglad29, shamsnoureldin, ehabmaawd, hishammohamed, reemmustafa27. حذف أي حساب غير معروف لفريق العمل.
تغيير كلمات المرور فوراً لجميع الحسابات الإدارية: Khaled Khattab, Noura Mahfouz, Abdelrahman Saad, Marawan, Ahmed MB. استخدام كلمات مرور قوية (16 حرف على الأقل) تتضمن أحرف كبيرة وصغيرة وأرقام ورموز.
حساب admin يتعرض لـ 2,333 محاولة اختراق. إذا كان هذا الحساب موجوداً فعلاً، يجب إعادة تسميته لاسم غير قابل للتخمين. إذا كان غير موجود، فلا حاجة لإجراء.
المرحلة الثانية — خلال 24 ساعة
تركيب إضافة مثل WP 2FA أو Google Authenticator وتفعيل المصادقة الثنائية لجميع حسابات الإدارة بدون استثناء. هذا يمنع أي دخول حتى لو تم تسريب كلمة المرور.
تركيب Wordfence أو Sucuri Security مع تفعيل: حظر IP بعد 3 محاولات فاشلة، حظر نطاقات IP الخاصة بشبكات Tor وBotnets، تفعيل Rate Limiting، ومراقبة الملفات في الوقت الحقيقي.
حظر النطاقات التالية من خلال Security > IP Blocker في cPanel:
78.142.18.0/24 — 185.223.152.0/24 — 185.220.100.0/23 — 45.131.193.0/22 — 134.209.45.224 — 157.230.151.113 — 91.193.232.0/24 — 188.213.202.0/24 — 161.153.121.253 — 46.250.226.111
حذف جميع الحسابات المسجلة من عناوين Tor Exit Nodes (نطاقات 185.220.x.x, 109.70.100.x, 192.42.116.x وغيرها). يمكن التعرف عليها من أسمائها العشوائية المشفرة. يُنصح بتفعيل reCAPTCHA على صفحة التسجيل لمنع التسجيل الآلي مستقبلاً.
ملف xmlrpc.php هو من أكثر نقاط الدخول استغلالاً في هجمات WordPress Brute Force. يجب تعطيله إذا لم يكن مطلوباً (أغلب المواقع لا تحتاجه). يمكن تعطيله من خلال إضافة Wordfence أو عبر ملف .htaccess.
المرحلة الثالثة — خلال أسبوع
استخدام إضافة مثل WPS Hide Login لتغيير رابط صفحة الدخول من /wp-admin و /wp-login.php إلى رابط مخصص لا يمكن تخمينه. هذا يقلل بشكل كبير من محاولات Brute Force الآلية.
المهاجمون تمكنوا من معرفة أسماء المستخدمين الحقيقية. يجب تعطيل إمكانية تعداد المستخدمين عبر REST API وعبر Author Archives. يمكن ذلك من خلال إعدادات Wordfence أو إضافات متخصصة.
إجراء فحص شامل لملفات الموقع بحثاً عن أي ملفات PHP خبيثة أو أكواد مزروعة (Backdoors). استخدام Wordfence Scanner أو Sucuri SiteCheck. التركيز على مجلدات uploads و themes و plugins.
تركيب إضافة مثل UpdraftPlus لعمل نسخ احتياطي يومي تلقائي يتم حفظه على خدمة سحابية خارجية (Google Drive أو Dropbox). هذا يضمن إمكانية استعادة الموقع في حالة أي اختراق مستقبلي.
المرحلة الرابعة — إجراءات مستمرة
مراجعة سجلات النشاط أسبوعياً على الأقل. الانتباه لأي تسجيلات دخول من عناوين IP غير مألوفة أو في أوقات غير معتادة. تفعيل إشعارات البريد الإلكتروني عند تسجيل دخول أي مدير.
الحرص على تحديث WordPress Core والإضافات والثيمات فور صدور تحديثات أمنية. استخدام Child Theme لحماية التعديلات من الضياع عند تحديث الثيم الأساسي (Woodmart).
توعية جميع أعضاء الفريق بأهمية استخدام كلمات مرور قوية وفريدة، عدم مشاركة بيانات الدخول، الحذر من رسائل التصيد الاحتيالي (Phishing)، وعدم تسجيل الدخول من شبكات Wi-Fi عامة بدون VPN.
| المرحلة | الوصف | الحالة |
|---|---|---|
| الاستطلاع وجمع المعلومات | المهاجمون نجحوا في معرفة أسماء المستخدمين الحقيقية عبر User Enumeration | تم |
| هجوم القوة الغاشمة (Brute Force) | 8,901 محاولة دخول فاشلة من 2,094 عنوان IP خلال 30 يوم | مستمر |
| تسجيل حسابات آلية | 75+ حساب بوت تم تسجيلها عبر شبكة Tor | تم |
| اختراق حسابات | حسابان (mohamedredd, alikhaled21) تم تسجيل دخولهما من عناوين IP مهاجمة | تم |
| تصعيد الصلاحيات | لم يتم رصد محاولات تصعيد صلاحيات حتى الآن | غير مؤكد |
| زرع ملفات خبيثة | يحتاج فحص شامل لملفات الموقع للتأكد | يحتاج فحص |