سجلات برمجيات سرقة المعلومات تعيد تشكيل مشهد الاختراقات

لسنوات، كانت رسائل التصيد واستغلال الثغرات البرمجية هي نقاط الدخول المفضلة للمهاجمين الساعين لاختراق شبكات الشركات. هذا يتغير. يشير الباحثون الأمنيون الآن إلى برمجيات سرقة المعلومات، وسجلات بيانات الاعتماد التي تنتجها، باعتبارها السبب الرئيسي المؤدي إلى اختراقات المؤسسات وهجمات الفدية. بدلاً من صياغة أفخاخ تصيد مقنعة أو البحث عن ثغرات غير مصححة، تقوم المجموعات الإجرامية بشكل متزايد بشراء أو تداول بيانات اعتماد تسجيل الدخول المسروقة التي جمعتها برمجيات سرقة المعلومات من الأجهزة المصابة.

هذا التحول مهم لأنه يغير موضع الضعف الحقيقي. لم يعد الأمر يقتصر على ما إذا كان جدار الحماية أو مرشح البريد الإلكتروني في الشركة قد اكتشف رابطاً خبيثاً. يتعلق الأمر بما إذا كان الكمبيوتر المحمول الشخصي لموظف، أو الكمبيوتر المنزلي لمتعاقد، أو جهاز مشترك في مكان ما ضمن سلسلة التوريد قد أصيب سابقاً ببرمجيات سرقة بيانات الاعتماد، حتى قبل أشهر أو سنوات من الاختراق النهائي.

كيف تغذي سجلات برمجيات سرقة المعلومات خروقات البيانات السحابية

برمجيات سرقة المعلومات هي فئة من البرمجيات الخبيثة صُممت لغرض واحد: استخراج أسماء المستخدمين وكلمات المرور وملفات تعريف الارتباط للمتصفح ورموز الجلسات وبيانات الملء التلقائي بهدوء من الجهاز المصاب، ثم إرسالها إلى المهاجم. عادة ما يتم تجميع الناتج في ما يسميه عالم الجريمة السيبرانية السري بـ "السجل"، وهو حزمة من كل اعتماد وأثر جلسة تم سحبه من جهاز مصاب واحد.

يتم تداول هذه السجلات وبيعها في الأسواق الإجرامية، وغالباً بأسعار منخفضة نظراً لكميتها الكبيرة. ما يجعلها خطيرة جداً على المؤسسات هو أنها تحتوي في كثير من الأحيان على ملفات تعريف ارتباط جلسات صالحة ورموز مصادقة للخدمات السحابية والشبكات الخاصة الافتراضية (VPN) وبوابات المؤسسات. هذا يعني أن المهاجم لا يحتاج إلى تخمين كلمة مرور أو خداع شخص لإدخالها. يمكنه إعادة استخدام جلسة نشطة وتجاوز شاشات تسجيل الدخول وحتى المصادقة متعددة العوامل، لأن الجلسة كانت موثقة بالفعل قبل أن تستولي عليها البرمجية الخبيثة.

بمجرد الدخول، يمكن أن يصبح هذا السجل المخترق نقطة الانطلاق الأولى لاختراق أوسع بكثير: حركة جانبية عبر البيئات السحابية، والوصول إلى محركات الأقراص المشتركة والأدوات الداخلية، وفي النهاية ذلك النوع من كشف البيانات أو نشر برمجيات الفدية الذي يتصدر العناوين. قد تكون الإصابة نفسها حدثت على جهاز شخصي لم يلمس شبكة الشركة مباشرة، وهذا جزء من سبب صعوبة توقع فرق الأمن لهذا المسار الهجومي.

لماذا تواجه المؤسسات صعوبة في المواكبة

تُبنى الدفاعات الأمنية التقليدية على افتراض أن أكبر المخاطر تأتي من محاولات الاختراق الخارجية، والمرفقات الخبيثة، ومحاولات تسجيل الدخول بالقوة الغاشمة، أو العيوب البرمجية غير المصححة. تتجاوز الاختراقات القائمة على برمجيات سرقة المعلومات كل ذلك. غالباً ما ينشأ الاختراق بعيداً خارج حدود الشركة، على جهاز لا يملك فريق الأمن رؤية له، ويتم ببساطة شراء بيانات الاعتماد الناتجة من قبل مجموعة إجرامية ثانية تنفذ الاختراق الفعلي.

هذا التقسيم في العمل، مجموعة من الفاعلين تتخصص في الإصابة وجمع السجلات، وأخرى تتخصص في تحقيق الدخل من الوصول، جعل اقتصاد الجريمة السيبرانية أكثر كفاءة وأصعب في التعطيل. كما يعني أن تصحيح الثغرات البرمجية المعروفة، رغم أهميته، لا يعالج سوى جزء من المشكلة. توضح تغطيتنا لـ حملة FortiClient EMS لبرمجيات سرقة المعلومات كيف يجمع المهاجمون بين ثغرة تقنية محددة وبرمجيات سرقة بيانات الاعتماد للحصول على موطئ قدم داخل أنظمة إدارة المؤسسات، مما يظهر كيف يتم استخدام تكتيكات سرقة المعلومات والاستغلالات التقليدية معاً بشكل متزايد بدلاً من كونهما استراتيجيتين منفصلتين.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل في شركة تعتمد على الخدمات السحابية، وتقريباً كل مؤسسة تفعل ذلك الآن، فإن أمن أجهزتك الشخصية مرتبط بمخاطر جهة عملك أكثر مما قد تعتقد. إصابة واحدة ببرمجية سرقة معلومات على كمبيوتر منزلي يُستخدم لتفقد البريد الإلكتروني للعمل أو تسجيل الدخول إلى بوابة الشركة يمكن أن تنتج سجل اعتماد يتسبب في اختراق أكبر بكثير لاحقاً.

بالنسبة للأفراد، هذا يعزز بعض العادات المألوفة ولكنها تزداد إلحاحاً: الحفاظ على تحديث الأجهزة، وتجنب البرامج المقرصنة والتنزيلات غير الرسمية (وهي وسائل شائعة لتوصيل برمجيات سرقة المعلومات)، واستخدام مدير كلمات مرور بدلاً من كلمات المرور المحفوظة في المتصفح، وتمكين المصادقة متعددة العوامل حيثما تُقدم. لا شيء من هذه يعتبر حلاً سحرياً ضد سرقة رموز الجلسات، لكنها ترفع التكلفة والصعوبة على المهاجمين بشكل ملموس.

نقاط عملية قابلة للتطبيق

بعض الخطوات العملية يمكن أن تقلل من تعرضك لمخاطر برمجيات سرقة المعلومات:

  • تجنب تنزيل البرامج المقرصنة أو الألعاب المكركة أو إضافات المتصفح غير الرسمية، فهي جميعاً وسائل شائعة لتوصيل برمجيات سرقة المعلومات.
  • استخدم مدير كلمات مرور مخصص بدلاً من حفظ بيانات الاعتماد في متصفحك، لأن البيانات المخزنة في المتصفح هي هدف رئيسي لبرمجيات سرقة المعلومات.
  • قم بتمكين المصادقة متعددة العوامل على كل حساب يدعمها، وفكر في خيارات مقاومة للتصيد حيثما كانت متاحة.
  • امسح جلسات المتصفح المخزنة بانتظام وقم بتسجيل الخروج من الحسابات الحساسة على الأجهزة المشتركة أو الشخصية المستخدمة للعمل.
  • إذا كنت تشك في أن جهازاً قد يكون مصاباً، فغيّر كلمات المرور من جهاز منفصل وموثوق وراقب الحسابات بحثاً عن أي نشاط غير عادي.

صعود سجلات برمجيات سرقة المعلومات كأداة الوصول الأولي المفضلة في صناعة الجريمة السيبرانية هو تذكير بأن منع الاختراق يبدأ بشكل متزايد خارج شبكة الشركة بكثير، على الأجهزة اليومية التي يستخدمها الناس لتسجيل الدخول من أي مكان.