أدوات البرمجة بالذكاء الاصطناعي تدخل قائمة أساليب برامج الفدية

حدد تحليل جديد لاستخبارات التهديدات تطورًا مقلقًا في مشهد برامج الفدية: يُقال إن الشركاء المرتبطين بعملية فدية أورورا يدمجون أدوات برمجة الذكاء الاصطناعي السائدة مباشرة في سير عمل الاختراق الخاص بهم. وفقًا للنتائج، لوحظ أن المهاجمين يستخدمون محرر أكواد Cursor AI إلى جانب نموذج Claude Sonnet من Anthropic أثناء عمليات الاختراق المباشرة للشبكات، بدلاً من الاعتماد فقط على البرمجة اليدوية أو مجموعات أدوات الاستغلال الجاهزة.

هذا الأمر مهم لأنه يشير إلى تحول في كيفية بناء فرق برامج الفدية لأدواتها وتكييفها في منتصف الهجوم. بدلاً من تجهيز البرمجيات الخبيثة مسبقًا ونشرها دون تغيير عبر كل هدف، يبدو أن المشغلين يستخدمون مساعدي الذكاء الاصطناعي للمساعدة في كتابة الكود أو تحسينه أو استكشاف أخطائه وإصلاحها أثناء التنقل عبر شبكة مخترقة. تغطيتنا السابقة لهذه الحملة، عصابة فدية أورورا تسلّح Cursor AI وأداة ESXi مخصصة، تناولت الاكتشاف الأولي لهذا السلوك، ويضيف التحليل الأخير تفاصيل إضافية حول البنية التحتية التقنية خلفه.

أدوات التشفير القائمة على Zig والاستهداف متعدد المنصات

بالإضافة إلى أدوات الذكاء الاصطناعي، يسلط التحليل الضوء على أن شركاء أورورا ينشرون أدوات تشفير مخصصة مكتوبة بلغة Zig، وهي لغة برمجة أنظمة حديثة نسبيًا معروفة بإنتاج ثنائيات خفيفة متعددة المنصات. قدرة Zig على الترجمة النظيفة لأنظمة تشغيل متعددة تجعلها خيارًا جذابًا للمهاجمين الذين يريدون قاعدة أكواد واحدة قادرة على استهداف Windows وLinux وبيئات VMware ESXi دون الحفاظ على عائلات منفصلة من البرمجيات الخبيثة لكل نظام.

على وجه الخصوص، أصبح ESXi هدفًا عالي القيمة لجماعات برامج الفدية لأنه يدعم البنية التحتية للخوادم الافتراضية في العديد من المؤسسات. يمكن لتمريرة تشفير ناجحة واحدة ضد مضيف ESXi أن تقفل عشرات الأجهزة الافتراضية في وقت واحد، مما يضاعف الضرر الناتج عن اختراق واحد إلى انقطاع تشغيلي أكبر بكثير. استهداف Windows وLinux وESXi بعائلة واحدة من أدوات التشفير يشير إلى أن مشغلي أورورا يحسّنون عملياتهم لتحقيق الحجم والكفاءة، مما يصل إلى أوسع نطاق ممكن من البنية التحتية للمؤسسات بأقل جهد تطوير إضافي.

لماذا يثير بُعد الذكاء الاصطناعي أسئلة جديدة حول الخصوصية والأمان

استخدام مساعدي البرمجة التجاريين بالذكاء الاصطناعي داخل عمليات الاختراق النشطة هو نقطة بيانات مهمة لأي شخص يتتبع كيفية عمل جماعات برامج الفدية. صُممت هذه الأدوات لتسريع تطوير البرمجيات المشروع من خلال مساعدة المهندسين في كتابة الكود وتصحيحه وتحسينه. عند إعادة توظيفها من قبل جهات التهديد، يمكن استخدام نفس القدرات لتسريع تخصيص البرمجيات الخبيثة وتكييف أدوات الهجوم مع بيئة ضحية محددة أثناء اختراق مستمر، بدلاً من الاعتماد كليًا على استغلالات مبنية مسبقًا.

لهذا آثار مباشرة على الخصوصية وحماية البيانات. هجمات برامج الفدية نادرًا ما تكون مجرد قفل للملفات. الشبكات المخترقة تتضمن غالبًا سرقة بيانات إلى جانب التشفير، مما يعني أن سجلات الموظفين ومعلومات العملاء والاتصالات الداخلية يمكن سرقتها قبل قفل الأنظمة أبدًا. أدوات الاختراق الأسرع والأكثر تكيفًا تعني وقتًا أقل للمدافعين للكشف والاستجابة قبل حدوث كل من التشفير وسرقة البيانات، مما يرفع المخاطر لأي مؤسسة تتعامل مع بيانات شخصية أو مالية حساسة.

ما معنى هذا بالنسبة لك

إذا كنت تعمل في مجال تكنولوجيا المعلومات أو عمليات الأمان أو تدير بنية تحتية تتضمن بيئات افتراضية، فإن هذا التطور هو تذكير بأن جماعات برامج الفدية تجرب بنشاط أدوات الذكاء الاصطناعي المتاحة تجاريًا لجعل عملياتها أكثر كفاءة. بالنسبة للمستخدمين العاديين والموظفين، الخطر العملي لم يتغير إلى حد كبير: برامج الفدية لا تزال تدخل الشبكات عادة عبر التصيد أو بيانات الاعتماد المسروقة أو البرمجيات غير المحدثة، والنظافة الأساسية القوية تظل أفضل دفاع.

بالنسبة للمؤسسات التي تدير بيئات مختلطة مع أنظمة Windows وLinux وESXi، تؤكد هذه الحملة على قيمة عزل البنية التحتية للافتراضية عن شبكات المستخدمين العامة، وإبقاء واجهات إدارة الهايبرفايزر خارج الإنترنت العام، وضمان تخزين النسخ الاحتياطية بطريقة لا يمكن لبرامج الفدية الوصول إليها وتشفيرها إلى جانب بيانات الإنتاج.

استنتاجات قابلة للتنفيذ

  • حدّث برمجيات الهايبرفايزر بما في ذلك ESXi فورًا وقيّد وصول الإدارة بالشبكات الداخلية الموثوقة فقط.
  • حافظ على نسخ احتياطية غير متصلة أو غير قابلة للتغيير معزولة عن أنظمة الإنتاج بحيث لا تمتد أحداث التشفير إلى البنية التحتية للنسخ الاحتياطي.
  • راقب الأنشطة الإدارية غير المعتادة أو الأدوات غير المتوقعة على الخوادم، لأن سير عمل المهاجمين التكيفي قد لا يتطابق مع توقيعات البرمجيات الخبيثة المعروفة.
  • فرض المصادقة متعددة العوامل والوصول بأقل صلاحية عبر وحدات تحكم إدارة Windows وLinux والافتراضية لتقليل نطاق الانفجار لأي بيانات اعتماد مخترقة واحدة.
  • ابقَ على اطلاع حول كيفية تطور جماعات برامج الفدية مثل أورورا لتكتيكاتها، لأن تقنيات الاختراق بمساعدة الذكاء الاصطناعي من المحتمل أن تنتشر إلى جهات تهديد أخرى بمرور الوقت.

دمج مساعدي البرمجة بالذكاء الاصطناعي في عمليات برامج الفدية لا يزال اتجاهًا ناشئًا، لكن حملة أورورا تُظهر أنه لم يعد نظريًا. المؤسسات التي تتعامل مع هذا كتحذير مبكر، وليس كحادثة معزولة، ستكون في وضع أفضل للدفاع ضد الموجة التالية من محاولات الابتزاز التكيفية متعددة المنصات.