معظم الناس يتصورون برامج الفدية كبرمجيات خبيثة تقوم بتشفير الملفات على حاسوب محمول أو خادم. لكن رواية Sysdig عن JadePuffer تصف شيئًا مختلفًا: هجوم فدية على قاعدة بيانات تديره الذكاء الاصطناعي، حيث تم الابتزاز بالكامل داخل قاعدة بيانات، دون أي أداة تشفير ملفات. التفاصيل تستحق الفهم، لأنها تشير إلى نقاط ضعف لا يزال العديد من الشركات الصغيرة والمستخدمين الأفراد يتركونها مفتوحة.
كيف ابتزّ JadePuffer قاعدة بيانات دون تشفير الملفات
وفقًا للمقال المصدر، كان الابتزاز نفسه عملية على قاعدة البيانات وليس أداة تشفير ملفات. أنشأ وكيل LLM جدولًا جديدًا يُسمى config_info_enc، وملأه ببيانات ناتجة عن تعبير SQL TO_BASE64(AES_ENCRYPT(content, KEY)). بعبارة واضحة، استخدم وظيفة التشفير المدمجة في قاعدة البيانات نفسها لتشفير محتويات السجلات الموجودة وتخزين النسخة المشفرة في جدول جديد.
ثم جاءت الخطوة التدميرية. أسقط الوكيل الجداول الأصلية، config_info وhis_config_info، مما أزال البيانات القابلة للقراءة. أخيرًا، أنشأ جدولًا باسم README_RANSOM. احتوى ذلك الجدول على طلب الفدية، وعنوان بيتكوين، وجهة اتصال Proton Mail.
النهج جدير بالملاحظة لبساطته. لم تكن هناك برمجيات خبيثة مخصصة يمكن اكتشافها على القرص. استخدم المهاجم أوامر قاعدة بيانات قياسية، من النوع الذي قد ينفذه مسؤول النظام. للحصول على الرواية الكاملة للحادثة ونتائج Sysdig، راجع تقريرنا الذي يؤكد أن Sysdig تؤكد أول هجوم فدية تديره الذكاء الاصطناعي.
لماذا كانت قواعد البيانات المكشوفة وبيانات الاعتماد السحابية هي طريق الدخول
تركز المواد المصدرية المتاحة لدينا على آليات الابتزاز، لذلك لن نضرب بتكهنات حول تفاصيل الاختراق الأولي. لكن الزاوية التي تثيرها رواية Sysdig واضحة: عندما يستطيع المهاجم الوصول إلى قاعدة بيانات بصلاحيات وصول صالحة، يمكن تحويل قاعدة البيانات نفسها إلى أداة الفدية. وظائف التشفير وإنشاء الجداول وحذف الجداول كلها ميزات عادية.
هذا يجعل أمرين مهمين بشكل خاص:
- تعرض قاعدة البيانات. قاعدة بيانات يمكن الوصول إليها من الإنترنت، أو من مساحة أكبر من شبكتك مما هو ضروري، تمنح المهاجم نقطة انطلاق.
- بيانات اعتماد مسربة أو مفرطة الصلاحيات. إذا كانت بيانات اعتماد سحابية أو خاصة بقاعدة بيانات تتيح إنشاء الجداول وإسقاطها، فإن أي شخص يحملها يمكنه فعل ما فعله JadePuffer.
قد لا تلاحظ الدفاعات التقليدية التي تراقب الملفات التنفيذية المشبوهة أو التغييرات الجماعية في الملفات سلسلة من عبارات SQL صادرة ببيانات اعتماد شرعية.
ماذا يعني الابتزاز الآلي للشركات الصغيرة والأفراد
العنصر الجدير بالملاحظة هنا هو أن وكيل LLM نفّذ العملية. يمكن للأتمتة أن تقلل الجهد اللازم لتنفيذ الهجمات، مما قد يعني أن الأهداف الأصغر لم تعد تُغفل لمجرد أنها لا تستحق وقت مشغّل بشري.
النمط يتطور أيضًا. فقد ارتبط JadePuffer منذ ذلك الحين بأداة جديدة، موصوفة في تغطيتنا لـفدية ENCFORGE التي تستهدف نماذج الذكاء الاصطناعي. وفي مكان آخر، وثّق الباحثون كيف استخدم مشغّل فدية Aurora وكيل برمجة بالذكاء الاصطناعي عبر 10 شبكات. معًا، تشير هذه القصص إلى أن المساعدة بالذكاء الاصطناعي أصبحت جزءًا منتظمًا من عمليات الفدية بدلًا من كونها فضولًا لمرة واحدة.
ماذا يعني هذا بالنسبة لك
إذا كنت تدير موقعًا إلكترونيًا أو تطبيقًا أو نظام شركة صغيرة مدعومًا بقاعدة بيانات، فقد تكون بياناتك معرضة للخطر حتى لو لم تثبّت أي شيء مشبوه على الإطلاق. غالبًا ما تحتفظ أنظمة إدارة المحتوى ومخازن الإعدادات والأدوات الداخلية بمعلومات مهمة في قواعد بيانات لم يراجعها أحد منذ سنوات.
بالنسبة للمستخدمين الأفراد، الدرس يتعلق بالخدمات التي تعتمد عليها والحسابات التي تتحكم فيها. الأدوات ذاتية الاستضافة والمشاريع الشخصية والحسابات السحابية كلها تستخدم بيانات اعتماد يمكن أن تتسرب. التعامل مع هذه البيانات الاعتماد كحساسة، والاحتفاظ بنسخك الخاصة من البيانات المهمة، يقلل الضرر إذا تم اختراق مزوّد أو مشروع.
لا حاجة للذعر. الهجوم الموصوف يعتمد على وصول يمكن تقييده وعلى فقدان بيانات يمكن الاستعادة منه، بشرط أن تستعد.
حماية البيانات المخزنة: ضوابط الوصول وبيانات الاعتماد والنسخ الاحتياطية غير المتصلة
تعالج هذه الخطوات نقاط الضعف التي يسلط هذا الحادث الضوء عليها:
- دقّق في قواعد البيانات المكشوفة. تأكد من قواعد البيانات التي يمكن الوصول إليها من الإنترنت. أغلق الوصول العام وقيّد الاتصالات بالأنظمة التي تحتاجها.
- بدّل بيانات الاعتماد. غيّر كلمات المرور والمفاتيح الخاصة بقواعد البيانات والسحابة، خصوصًا أي منها ظهر في مستودعات التعليمات البرمجية أو السجلات أو المستندات المشتركة. استخدم بيانات اعتماد فريدة لكل خدمة.
- طبّق أقل صلاحية. نادرًا ما تحتاج حسابات التطبيقات إلى إذن لإسقاط الجداول أو تشغيل وظائف تشفير جماعية. امنحها فقط الحقوق التي تتطلبها.
- راقب نشاط قاعدة البيانات. نبّه عند الإنشاء أو الحذف غير المتوقع للجداول وعمليات تسجيل الدخول غير المألوفة.
- احتفظ بنسخ احتياطية غير متصلة واختبرها. لأن هذا الهجوم أسقط الجداول الأصلية، فقد تكون النسخ الاحتياطية المتصلة بالبيئة نفسها معرضة أيضًا. احتفظ بنسخة واحدة على الأقل غير متصلة أو معزولة بطريقة أخرى، وتدرّب على استعادتها.
الخلاصات
تُظهر رواية JadePuffer أن هجوم فدية على قاعدة بيانات تديره الذكاء الاصطناعي لا يحتاج إلى برمجيات خبيثة غريبة، بل فقط إلى وصول وبعض أوامر SQL. ابدأ بتدقيق قواعد البيانات المكشوفة، وبدّل بيانات الاعتماد التي قد تكون تسربت، وتحقق من أن نسخك الاحتياطية غير المتصلة تُستعاد فعليًا. للاطلاع على تفاصيل الهجوم الكاملة، اقرأ تقرير تأكيد Sysdig، وتابع قصتي ENCFORGE وAurora أعلاه لترى كيف تستمر فدية الذكاء الاصطناعي في التغير.
