كيف أصبحت بيانات اعتماد VPN المسروقة نقطة الدخول لبرامج الفدية وبرامج المسح
نشرت كاسبيرسكي بحثًا جديدًا يحدد ثلاث مجموعات تهديد مميزة تستهدف المؤسسات الروسية، والخيط المشترك الذي يربط بينها جميعًا مقلق في بساطته: بيانات اعتماد VPN المخترقة. وبدلاً من الاعتماد solely على ثغرات يوم الصفر أو تطوير برامج ضارة معقدة، يُقال إن المهاجمين وراء هذه الحملات استخدموا تفاصيل تسجيل دخول VPN مسروقة أو مُساء استخدامها للدخول من الباب الأمامي لشبكات الشركات. ومن هناك، نشروا مزيجًا من أبواب خلفية وبرامج فدية وبرامج مسح مدمرة.
يعكس هذا النمط اتجاهًا أوسع كان باحثو الأمن يشيرون إليه عبر الصناعة. لا يتطلب هجوم بيانات اعتماد VPN المخترقة تعقيد ثغرة جديدة. إنه يتطلب فقط اسم مستخدم وكلمة مرور صالحين، غالبًا ما يتم الحصول عليهما عبر التصيد الاحتيالي أو حشو بيانات الاعتماد أو الشراء من الأسواق السرية. وبمجرد حصول المهاجم على هذا الوصول، تتحول شبكة VPN المصممة لإبقاء الغرباء خارجًا إلى نفق موثوق مباشرة إلى الشبكة، لا يمكن تمييزه عن حركة مرور الموظفين عن بُعد الشرعية.
ما تكشفه مجموعات التهديد الثلاث عن ثغرات أمن VPN في المؤسسات
وفقًا لنتائج كاسبيرسكي، سعت كل مجموعة من المجموعات الثلاث نحو أهداف نهائية مختلفة، تتراوح من إنشاء وصول مستمر عبر باب خلفي إلى تشفير البيانات مقابل فدية إلى نشر برامج مسح مصممة purely لتدمير الأنظمة بدلاً من استخراج دفعة. ما يربطها ليس أدوات مشتركة أو نسبتها إلى مجموعة واحدة، بل طريقة مشتركة للوصول الأولي: بيانات اعتماد VPN التي كان يجب ألا تكون قابلة للاستخدام من قبل غريب.
هذا التداخل مهم. فهو يشير إلى أن المؤسسات الروسية، مثل المنظمات في أماكن أخرى، تتعامل مع نفس الضعف الهيكلي: غالبًا ما يُعامل الوصول عبر VPN كحدث مصادقة لمرة واحدة بدلاً من علاقة ثقة مراقبة باستمرار. وبمجرد أن تصبح مجموعة بيانات الاعتماد صالحة، تمنح العديد من تكوينات VPN وصولًا واسعًا للشبكة دون تحقق إضافي أو تقسيم أو مراقبة سلوكية. لا يحتاج المهاجمون الذين يستغلون هذه الفجوة إلى اختراق جدار حماية بالمعنى التقليدي. إنهم يحتاجون فقط إلى كلمة مرور لم يتم تدويرها أو الإبلاغ عنها أو حمايتها بالمصادقة متعددة العوامل.
غالبًا ما يمر هذا النوع من التسلل القائم على بيانات الاعتماد تحت الرادار مقارنة بالاختراقات التي تتصدر العناوين. وكما ورد في ملخص حديث لحوادث التجسس الروسي عبر Zimbra وابتزاز Stadler Rail، فإن العديد من أكثر الهجمات تأثيرًا لا تصل أبدًا إلى الصفحات الأولى، رغم أنها تعتمد على نفس نقاط الضعف على مستوى البنية التحتية التي ظهرت في تقرير كاسبيرسكي. غالبًا ما يتم التقليل من الإبلاغ عن الهجمات القائمة على بيانات الاعتماد والوصول تحديدًا لأنها تفتقر إلى الدراما التي تتمتع بها ثغرة واحدة مثيرة، لكنها مدمرة بنفس القدر.
ممارسات نظافة بيانات الاعتماد التي تمنع الاختراقات عبر VPN
الخبر السار هو أن هجوم بيانات اعتماد VPN المخترقة هو أحد أكثر فئات التسلل قابلية للوقاية، بشرط أن تتعامل المؤسسات مع وصول VPN بنفس الصرامة التي تتعامل بها مع أي نظام مميز آخر. هناك بعض الممارسات التي تقلل هذا الخطر باستمرار:
- فرض المصادقة متعددة العوامل على كل تسجيل دخول VPN، وليس فقط لحسابات المسؤولين
- تدوير بيانات الاعتماد بانتظام وفورًا بعد أي حادث تصيد مشتبه به
- مراقبة سجلات VPN بحثًا عن عمليات تسجيل دخول من مواقع أو أجهزة أو أوقات غير معتادة تنحرف عن سلوك الموظفين الطبيعي
- تقسيم الوصول إلى الشبكة بحيث لا يمنح تسجيل دخول VPN واحد حركة واسعة وغير مقيدة عبر الأنظمة الداخلية
- إلغاء حسابات VPN غير المستخدمة أو الخاملة فورًا، لأن بيانات الاعتماد المنسية هي غالبًا الأسهل في الاستغلال من قبل المهاجمين
لا شيء من هذه الإجراءات غريب. إنها ممارسات قياسية لإدارة الهوية والوصول تعرفها العديد من المؤسسات بالفعل لكنها تفشل في فرضها باستمرار، خاصة في بيئات العمل عن بُعد حيث توسع استخدام VPN بسرعة في السنوات الأخيرة.
ما يعنيه هذا لك
معظم قراء هذا الموقع لا يديرون بنية VPN للمؤسسات، لكن الدرس من بحث كاسبيرسكي ينطبق بنفس المباشرة على استخدام VPN الشخصي. إذا أعدت استخدام كلمات المرور عبر الخدمات، أو تخطيت المصادقة متعددة العوامل، أو احتفظت بحسابات VPN قديمة لم تعد تستخدمها، فأنت معرض لنفس الضعف الأساسي الذي سمح لمجموعات التهديد الثلاث هذه بالدخول إلى شبكات المؤسسات الروسية. شبكة VPN ليست أكثر أمانًا من بيانات الاعتماد التي تحميها.
بالنسبة للشركات، هذا التقرير تذكير بأن أمن VPN ليس أداة "اضبطها وانسها". إنه يتطلب إدارة نشطة لبيانات الاعتماد ومراقبة ومراجعة دورية، خاصة مع استمرار اعتماد العمل عن بُعد والهجين بشكل كبير على وصول VPN للعمليات اليومية.
النقاط العملية القابلة للتنفيذ
- فعّل المصادقة متعددة العوامل على أي حساب VPN تستخدمه، شخصيًا أو مهنيًا
- استخدم مدير كلمات مرور لتجنب إعادة استخدام بيانات اعتماد VPN عبر خدمات متعددة
- راجع بانتظام وأزل حسابات أو أجهزة VPN التي لم تعد تستخدمها
- إذا كنت تدير أنظمة مؤسسية، تعامل مع حالات تسجيل الدخول غير الطبيعية عبر VPN بجدية مثل أي تنبيه تسلل آخر
- ابقَ على اطلاع باتجاهات الهجمات القائمة على بيانات الاعتماد، لأن هجوم بيانات اعتماد VPN المخترقة غالبًا ما يسبب ضررًا بقدر ثغرة متطورة، مع ضجيج أقل بكثير
