يصف تقرير من Help Net Security تحولًا مقلقًا في طريقة عمل عصابات الفدية. ووفقًا لما ورد، فإن المجموعة التي تقف وراء برنامج الفدية Aur0ra أعطت وكلاء ذكاء اصطناعي بيانات اعتماد مسروقة وتركتهم يتحركون عبر شبكات الضحايا نحو الوصول إلى صلاحيات مسؤول النطاق. باختصار، لم يعد الجمع بين وكلاء الذكاء الاصطناعي وبرامج الفدية وبيانات الاعتماد المسروقة مجرد خطر نظري. بل أصبح يُستخدم لأداء عمل كان يتطلب سابقًا مشغّلين بشريين مهرة.
التفاصيل المتاحة للعموم محدودة، لذا يجدر التوخي في التمييز بين ما نعرفه وما لا نعرفه. فيما يلي ما يقوله التقرير، ولماذا يهم، وما الخطوات العملية التي تقلل تعرضك.
ما فعلته مجموعة Aur0ra بوكلاء الذكاء الاصطناعي
وفقًا للتقرير، لم يقتصر مشغّلو Aur0ra على استخدام الذكاء الاصطناعي لكتابة رسائل تصيّد أو تحسين صياغة رسائل الفدية. بل سلّموا بيانات اعتماد مسروقة إلى وكلاء ذكاء اصطناعي وتركوهم يتنقلون عبر شبكات الضحايا بهدف الوصول إلى صلاحيات مسؤول النطاق.
وكيل الذكاء الاصطناعي، في هذا السياق، هو برنامج يمكنه تلقّي هدف، وتحديد خطوات، وتنفيذ أوامر، وقراءة النتائج، والتكيّف. فبدلًا من أن يكتب مهاجم بشري كل أمر ويفسّر كل استجابة، ينفّذ الوكيل كثيرًا من هذه الحلقة بنفسه. وكان الهدف المذكور هو مسؤول النطاق، وهو مستوى الوصول الذي يمنح عادةً التحكم في معظم الحسابات والأجهزة داخل مؤسسة تعتمد على Windows.
لا يقدّم ملخص المصدر تفاصيل تقنية إضافية، لذا لن نخمّن الأدوات التي استخدمها الوكلاء أو عدد الضحايا المتأثرين.
كيف تتحول بيانات الاعتماد المسروقة إلى وصول مسؤول النطاق
غالبًا ما تكون بيانات الاعتماد المسروقة نقطة البداية لاختراق الشبكة. فاسم مستخدم وكلمة مرور، أو رمز جلسة، أو تسجيل دخول للوصول عن بُعد، يمكن أن يتيح للمهاجم الدخول من الباب الأمامي بدلًا من كسر الجدار.
ومن هناك، يبدو النمط العام للسيطرة على الشبكة مألوفًا للمدافعين:
- يسجّل المهاجم الدخول بحساب صالح، وقد يبدو ذلك كنشاط طبيعي.
- يستكشف الشبكة لمعرفة الأنظمة والحسابات الموجودة.
- يبحث عن بيانات اعتماد أقوى أو إعدادات خاطئة تتيح له الحركة الجانبية.
- يواصل التصعيد حتى يحصل على صلاحيات مسؤول النطاق.
بمجرد أن يحصل المهاجم على وصول مسؤول النطاق، يصبح نشر برامج الفدية عبر أنظمة كثيرة دفعة واحدة أسهل بكثير. ولهذا يهمّ الهدف المذكور لوكلاء Aur0ra. فمسؤول النطاق هو النقطة التي يمكن أن يتحول عندها الاختراق إلى أزمة على مستوى المؤسسة بأكملها.
الدرس الأساسي هو أن هذه السلسلة تبدأ بتسجيل دخول صالح. والحماية القوية لبيانات الاعتماد والتحكم الصارم في الوصول عن بُعد يستهدفان أبكر خطوة وأقلها تكلفة في العملية.
لماذا يخفض الذكاء الاصطناعي الحاجز أمام مهاجمي الفدية
تاريخيًا، كان التحرك عبر الشبكة نحو مسؤول النطاق يتطلب صبرًا وخبرة ووقتًا. كان على المهاجمين قراءة النتائج واتخاذ أحكام وإبقاء الأمور بعيدًا عن إطلاق الإنذارات. وقد حدّ هذا الجهد من عدد الضحايا الذين يمكن لعصابة واحدة التعامل معهم.
الأتمتة تغيّر هذه المعادلة. فإذا كان وكلاء الذكاء الاصطناعي قادرين على تولّي كثير من الاستكشاف والتصعيد، فقد تحتاج العصابة إلى عدد أقل من الأشخاص المهرة ووقت تدخّل أقل لكل ضحية. ويشير نشاط Aur0ra المذكور إلى أن:
- مشغّلين أقل خبرة قد يحاولون تنفيذ اختراقات كانت تتطلب سابقًا خبرة متخصصة.
- مشغّلين ذوي خبرة قد يديرون عددًا أكبر من الاختراقات بالتوازي.
- الوقت بين الوصول الأولي والاختراق الكامل قد يتقلص، مما يترك للمدافعين مساحة أقل للتفاعل.
هذه استنتاجات معقولة مستخلصة من السلوك المذكور، وليست قياسات مؤكدة. ومع ذلك، لدى مجموعات الفدية سجل طويل في تكييف أدواتها وبنيتها التحتية للحفاظ على فعاليتها. وتغطيتنا لكيفية إضافة برنامج الفدية DeadLock لتطبيق Session لتفادي الإزالة تُظهر النمط نفسه من زاوية مختلفة: يواصل المشغّلون تغيير أساليبهم عندما يعترض شيء طريقهم، ويتبنّون كل ما يجعل العمل أرخص وأكثر مرونة.
ماذا يعني هذا لك
الخبر الجيد أن وكلاء الذكاء الاصطناعي لا يزالون بحاجة إلى شيء يعملون به. وفي الحالة المذكورة، كان ذلك الشيء هو بيانات اعتماد مسروقة. لا يستطيع المدافعون التحكم في مدى ذكاء أدوات المهاجم، لكنهم يستطيعون التحكم في مدى فائدة تسجيل دخول مسروق.
بالنسبة للأفراد، هذا تذكير بأن كلمات المرور المعاد استخدامها أو المكشوفة قد تصبح الحلقة الأولى في سلسلة أكبر بكثير، خصوصًا إذا كنت تستخدم تسجيل الدخول نفسه للعمل والخدمات الشخصية. وبالنسبة للشركات الصغيرة وفرق تقنية المعلومات، فهذا يعني أن أنظمة الوصول عن بُعد، بما في ذلك بوابات VPN وخدمات سطح المكتب البعيد، تستحق التدقيق نفسه الذي تستحقه أي نقطة دخول أخرى.
كيف تقلل تعرضك للهجمات القائمة على بيانات الاعتماد
لا شيء من هذه الخطوات غريب أو معقّد، وهي مجتمعة تجعل كلمة المرور المسروقة أقل قيمة بكثير:
- دقّق كلمات مرورك. استخدم مدير كلمات مرور لمنح كل حساب كلمة مرور فريدة وطويلة. غيّر أي كلمة مرور ظهرت في اختراق معروف.
- فعّل المصادقة متعددة العوامل (MFA). فضّل الأساليب القائمة على التطبيقات أو العتاد على الرسائل النصية حيثما أمكن، واطلب MFA على البريد الإلكتروني وحسابات المسؤولين وكل الوصول عن بُعد.
- راجع إعدادات VPN والوصول عن بُعد. تأكد من Who لديه الوصول، وأزل الحسابات التي لم تعد مطلوبة، وتأكد من أن تسجيلات الدخول عن بُعد تتطلب MFA. أبقِ برامج البوابة محدّثة.
- حدّ من الصلاحيات. يجب ألا تتمتع الحسابات اليومية بصلاحيات مسؤول. عدد أقل من الحسابات القوية يعني مسارات أقل إلى مسؤول النطاق.
- راقب تسجيلات الدخول غير المعتادة. تسجيلات الدخول في ساعات غريبة، أو من مواقع غير مألوفة، أو إلى أنظمة لا يلمسها المستخدم أبدًا، تستحق نظرة أدق.
- احتفظ بنسخ احتياطية غير متصلة. النسخ الاحتياطية المختبَرة التي لا يستطيع المهاجمون الوصول إليها تمنحك طريقًا للتعافي دون دفع.
الخلاصة
تقرير Aur0ra مثال واضح على اجتماع وكلاء الذكاء الاصطناعي وبرامج الفدية وبيانات الاعتماد المسروقة لأتمتة الصعود نحو مسؤول النطاق. قد تصبح أدوات المهاجم أسرع، لكن نقطة الدخول تبقى شيئًا يمكنك تحصينه. ابدأ هذا الأسبوع: دقّق كلمات مرورك، وفعّل MFA في كل مكان يُتاح فيه، وراجع إعدادات VPN والوصول عن بُعد. لمزيد حول كيف يكيِّف مشغّلو برامج الفدية أدواتهم وبنيتهم التحتية، اقرأ مقالتنا عن برنامج الفدية DeadLock واستخدامه لتطبيق Session.
