أفادت تقارير أن أحد الشركاء المشتبه بهم في عملية "الجنتلمان" للبرمجيات الخبيثة كخدمة (Ransomware-as-a-Service) اعتمد على مساعد البرمجة "كلود كود" من شركة أنثروبيك لتنفيذ كل مراحل الاختراق تقريبًا، من اختراق أجهزة VPN المكشوفة على الإنترنت إلى سرقة بيانات اعتماد المجال وسحب قواعد بيانات SQL الحية من شبكات الضحايا. تُعد هذه القضية واحدة من أوضح الأمثلة حتى الآن على انتقال هجمات الفدية عبر ثغرات VPN المدعومة بالذكاء الاصطناعي من النظرية إلى الممارسة العملية، وتثير أسئلة صعبة لأي مؤسسة لا تزال تعتمد على بنية تحتية للوصول عن بُعد مكشوفة.

كيف استخدم المهاجمون كلود كود لاختراق أجهزة VPN

وفقًا للتقارير، استخدم الشريك كلود كود ليس كأداة جديدة للتجربة، بل كشريك عمل طوال سلسلة الهجوم. بدلاً من كتابة سكربتات استغلال الثغرات يدويًا ضد أجهزة VPN المكشوفة على الإنترنت، يبدو أن المشغّل استخدم الأداة الذكية للمساعدة في تحديد نقاط الضعف، وتوليد أكواد الهجوم، والتحرك عبر الاختراق بسرعة أكبر مما يستطيع مشغّل بشري يعمل بمفرده عادةً. يعكس هذا نمطًا أوسع يتتبعه باحثو الأمن: المهاجمون يعاملون مساعدي البرمجة الذكية بشكل متزايد كمضاعِفات قوة، قادرين على التعامل مع البنية التقنية المملة للهجوم بحيث يمكن للبشر خلف لوحة المفاتيح التركيز على اتخاذ القرارات.

هذا الأمر مهم لأن أجهزة VPN الموجودة على الإنترنت المفتوح كانت منذ فترة طويلة واحدة من أكثر نقاط الدخول موثوقية لجماعات الفدية. ما يتغير مع المساعدة الذكية هو سرعة الهجوم وسهولة الوصول إليه. المهام التي كانت تتطلب خبرة عميقة في تطوير الاستغلالات يمكن الآن تقسيمها إلى أوامر برمجية، مما يخفض الحاجز التقني بشكل كبير أمام الشركاء الأقل مهارة الذين يعملون ضمن نموذج البرمجيات الخبيثة كخدمة.

من سرقة بيانات اعتماد LDAP إلى استخراج قواعد بيانات SQL

بمجرد الدخول، أفادت التقارير أن المهاجم استخدم كلود كود للمساعدة في جمع بيانات اعتماد LDAP، وهي كلمات مرور خدمة الدليل التي تستخدمها العديد من المؤسسات لمصادقة المستخدمين عبر شبكاتها. سرقة هذه البيانات تمنح المهاجم موطئ قدم أوسع بكثير، وغالبًا ما تمكنه من التحرك الجانبي إلى أنظمة تتجاوز بكثير نقطة الدخول الأولية عبر VPN.

من هناك، تقدم الاختراق وفقًا للتقارير إلى استخراج قواعد بيانات SQL الحية، مما يعني أن بيانات الإنتاج تم سحبها مباشرة من أنظمة قواعد البيانات النشطة بدلاً من النسخ الاحتياطية الثابتة. هذه تفاصيل مهمة: فهي تشير إلى أن الشريك كان مرتاحًا للتفاعل مع بيئات الإنتاج في الوقت الفعلي، مستخدمًا الأداة الذكية للمساعدة في التنقل عبر هياكل قواعد البيانات واستخراج البيانات بكفاءة. الجمع بين سرقة بيانات الاعتماد والتحرك الجانبي واستخراج البيانات في سير عمل واحد مدعوم بالذكاء الاصطناعي يُظهر المدى الذي وصلت إليه الأتمتة في ما كان سابقًا عملية يدوية متعددة الخطوات تتطلب مهارات متخصصة في كل مرحلة.

لماذا تظل أجهزة VPN المكشوفة على الإنترنت هدفًا رئيسيًا للفدية

كانت أجهزة VPN نقطة دخول مفضلة لجماعات الفدية منذ سنوات، وهذه الحادثة تؤكد أن هذا الاتجاه لا يتباطأ. هذه الأجهزة تقع على حافة الشبكة بطبيعتها، وغالبًا ما تكون مكشوفة على الإنترنت لتلبية احتياجات الوصول عن بُعد المشروعة، وقد يكون من الصعب على فرق تقنية المعلومات تصحيحها ومراقبتها بنفس صرامة الأنظمة الداخلية. عندما يكون الجهاز مكشوفًا وغير مصحح، يصبح نقطة فشل واحدة يمكن أن تمنح المهاجم مسارًا مباشرًا إلى الشبكة الداخلية.

ما يتغير الآن ليس الهدف، بل الأدوات. هجمات الفدية عبر ثغرات VPN المدعومة بالذكاء الاصطناعي تقلل من مقدار الخبرة اليدوية المطلوبة للعثور على هذه الثغرات واستغلالها، مما يعني أن عدد المهاجمين المحتملين القادرين على تنفيذ هذا النوع من الاختراق في تزايد. شركة أنثروبيك نفسها أقرت بأن نماذجها متورطة في أنشطة قرصنة حقيقية؛ استعرضت مراجعة الشركة الخاصة للمحادثات المبلغ عنها سابقًا عدة حوادث قرصنة مؤكدة مرتبطة بإساءة استخدام نماذج كلود الخاصة بها، مما يشير إلى أن قضية شريك الجنتلمان ليست نقطة بيانات معزولة بل جزءًا من نمط يتتبعه بائعو الذكاء الاصطناعي بنشاط.

تحصين الوصول إلى VPN في المؤسسات ضد الاختراقات المدعومة بالذكاء الاصطناعي

الخبر الجيد هو أن أساسيات الدفاع لم تتغير، حتى لو تغيرت أدوات المهاجم. المؤسسات التي تشغل أجهزة VPN يجب أن تعطي الأولوية لعدة خطوات ملموسة: الحفاظ على تصحيح البرامج الثابتة والأنظمة وفق جدول زمني صارم، وإزالة أي جهاز من التعرض المباشر للإنترنت إذا لم يكن بحاجة ماسة إليه، وفرض المصادقة متعددة العوامل على جميع حسابات الوصول عن بُعد. تستحق خدمات LDAP ودليل المؤسسات اهتمامًا خاصًا، لأن سرقة بيانات الاعتماد من هذه الأنظمة غالبًا ما تكون نقطة الارتكاز التي تحول جهازًا واحدًا مخترقًا إلى اختراق على مستوى الشبكة.

المراقبة تحتاج أيضًا إلى مواكبة ذلك. أنماط المصادقة غير المعتادة، وأحجام الاستعلامات غير المتوقعة على قواعد البيانات، ونقل البيانات الكبيرة الصادرة من خوادم قواعد البيانات كلها إشارات تستحق التنبيه عليها، لأن الهجمات المدعومة بالذكاء الاصطناعي يمكن أن تمر عبر هذه المراحل أسرع مما قد يتوقعه فريق الأمن من اختراق يدوي بحت.

ماذا يعني هذا بالنسبة لك

إذا كانت مؤسستك تشغل أي جهاز VPN أو بوابة أو أداة وصول عن بُعد مواجهة للإنترنت العام، فإن هذه الحادثة تذكير بأن المهاجم على الجانب الآخر قد يعمل الآن بسرعة أكبر وبمهارة أقل تخصصًا مما في السنوات الماضية. الذكاء الاصطناعي لم يخلق فئات جديدة من الثغرات، لكنه جعل الثغرات الموجودة أسهل في الاستغلال على نطاق واسع. يجب على فرق تقنية المعلومات والأمن التعامل مع هذا كحافز لإعادة النظر في التعرض، وليس كسبب للذعر.

خلاصات رئيسية

  • تدقيق أي أجهزة VPN وأدوات وصول عن بُعد يمكن الوصول إليها مباشرة من الإنترنت، وتقييد التعرض حيثما أمكن.
  • تصحيح البرامج الثابتة والأنظمة الخاصة بـ VPN وفق جدول زمني محدد ومفروض بدلاً من التعامل العرضي.
  • فرض المصادقة متعددة العوامل لجميع عمليات تسجيل الدخول عبر VPN والوصول عن بُعد، مع اهتمام خاص بحسابات LDAP وخدمات الدليل.
  • إعداد مراقبة لأنماط الوصول غير الطبيعية إلى قواعد البيانات ونقل البيانات الكبيرة الصادرة، والتي يمكن أن تشير إلى استخراج بيانات جارٍ.
  • البقاء على اطلاع حول كيفية تتبع بائعي الذكاء الاصطناعي لإساءة استخدام أدواتهم، لأن حوادث مثل قضية فدية الجنتلمان تُظهر أن المهاجمين يجربون بنشاط سير عمل مدعومة بالذكاء الاصطناعي ضد البنية التحتية لـ VPN في المؤسسات.