مجموعة مدعومة من دولة ترفع مستوى أدائها
ارتبطت مجموعة لازاروس الكورية الشمالية بموجة جديدة من الهجمات ضد شركات الدفاع والطيران، وتثير التفاصيل الاهتمام لأكثر من مجرد الأهداف. وفقًا للتقارير، استغلت المجموعة ثغرة في ويندوز قبل توفر تصحيح لها، مما يعني أنه لم تكن لدى المدافعين فرصة لسد الثغرة مسبقًا. ولإخفاء آثارها، اعتمدت لازاروس على تشفير مقاوم للحواسيب الكمومية وشبكة من الخوادم المخترقة، مما جعل العملية أصعب بكثير في اكتشافها وتفكيكها.
هذه ليست المرة الأولى التي تجمع فيها لازاروس بين ثغرة يوم صفري في ويندوز وتكتيكات الهندسة الاجتماعية للحصول على موطئ قدم داخل المؤسسات المستهدفة. كما ورد في تقرير سابق حول استخدام مجموعة لازاروس لثغرة يوم صفري في ويندوز ضمن احتيال وظيفي مزيف، فإن للمجموعة سجلًا حافلًا في الجمع بين الاستغلال التقني والطُعم المقنع الموجه إلى الموظفين في الصناعات الحساسة. الحملة الأخيرة ضد شركات الدفاع والطيران تبدو متوافقة مع هذا النهج نفسه، لكن مع طبقة إضافية من تطور التشفير.
لماذا يهم التشفير المقاوم للحواسيب الكمومية هنا
يُناقش التشفير المقاوم للحواسيب الكمومية عادةً كتقنية دفاعية، يتبناها المؤسسات لتحصين بياناتها ضد المستقبل في مواجهة وصول حواسيب كمومية قوية قادرة على كسر التشفير المعياري الحالي. إن رؤيته مستخدمًا بشكل هجومي، من قبل مهاجم لإخفاء حركة مرور القيادة والتحكم أو البيانات المسروقة، يمثل تحولًا ذا دلالة.
بالنسبة لمجموعة مدعومة من دولة مثل لازاروس، فإن هذا النوع من التشفير يجعل تحليل حركة المرور المعترضة أصعب بكثير أمام باحثي الأمن ومدافعي الشبكات. وبالاقتران مع الخوادم المخترقة التي تعمل كنقاط ترحيل، يضيف طبقات متعددة من التمويه بين البنية التحتية للمهاجم والأنظمة المخترقة داخل شبكة الهدف. والنتيجة هي عملية يمكن أن تستمر لفترة أطول قبل اكتشافها، مما يمنح المهاجمين مزيدًا من الوقت للتحرك أفقيًا أو جمع بيانات الاعتماد أو سرقة البيانات الحساسة.
استغلالات اليوم الصفري وحدود التصحيح
استخدام ثغرة في ويندوز قبل تصحيحها يسلط الضوء على مشكلة مستمرة في الأمن السيبراني: حتى المؤسسات ذات الموارد الجيدة لا يمكنها الدفاع إلا ضد ما تعرفه. الثغرات ذات اليوم الصفري، بحكم تعريفها، تُستغل قبل وجود إصلاح لها، مما يعني أن إدارة التصحيح التقليدية، رغم كونها أساسية، لا يمكنها سد نافذة التعرض بالكامل.
تُعد شركات الدفاع والطيران أهدافًا جذابة بشكل خاص لمجموعات مثل لازاروس بسبب الملكية الفكرية الحساسة والعقود الحكومية والآثار المترتبة على الأمن القومي المرتبطة بعملها. النمط نفسه الذي ظهر في حملة الاحتيال الوظيفي المزيف يُظهر أن لازاروس غالبًا ما تحصل على موطئ قدمها الأولي ليس عبر الاختراق بالقوة الغاشمة، بل عبر الهندسة الاجتماعية الموجهة إلى موظفين أفراد، الذين يتم اختراقهم بعد ذلك من خلال استغلال تقني بمجرد بناء الثقة.
ماذا يعني هذا بالنسبة لك
معظم قراء هذا الموقع ليسوا موظفين في مقاولي دفاع أو شركات طيران، لكن الدروس الأوسع تنطبق على نطاق واسع. مجموعات التهديدات المتقدمة المستمرة مثل لازاروس تجمع بشكل متزايد بين التشفير المتطور والهندسة الاجتماعية الصبورة والموجهة. وهذا يعني أن العنصر البشري، التعرّف على عروض العمل المشبوهة أو المرفقات غير المتوقعة أو التواصل غير المعتاد من مسؤولي التوظيف، يظل مهمًا بقدر أهمية الدفاعات التقنية.
استخدام المهاجمين للتشفير المقاوم للحواسيب الكمومية هو أيضًا تذكير بأن التشفير بحد ذاته تقنية محايدة. إنه يحمي الخصوصية المشروعة والاتصالات الآمنة بفعالية كما يمكنه حماية الأنشطة الخبيثة. هذا لا يغير قيمة التشفير للمستخدمين العاديين في حماية بياناتهم الخاصة، لكنه يسلط الضوء على سبب بقاء مراقبة الشبكات وكشف نقاط النهاية والنشر السريع للتصحيحات أمرًا بالغ الأهمية حتى مع تطور معايير التشفير.
يجب على المؤسسات في القطاعات الحساسة التعامل مع هذا كإشارة لمراجعة مدى سرعة نشرها للتصحيحات الطارئة، وما إذا كانت أدوات مراقبة الشبكات لديها قادرة على الإبلاغ عن أنماط حركة مرور مشفرة غير معتادة، وليس فقط التوقيعات المعروفة للبرمجيات الخبيثة.
النقاط الرئيسية
- تظل استغلالات اليوم الصفري تهديدًا خطيرًا على وجه التحديد لأنه لا يوجد تصحيح وقت الهجوم، مما يجعل الكشف السلوكي وتقسيم الشبكات مكملين مهمين لإدارة التصحيح.
- التشفير المقاوم للحواسيب الكمومية يظهر الآن في أدوات المهاجمين، وليس فقط في الاستراتيجيات الدفاعية، مما يعني أنه لا ينبغي أبدًا افتراض أن حركة المرور المشفرة وحدها آمنة.
- يجب على الموظفين في قطاعات الدفاع والطيران والقطاعات الأخرى عالية القيمة توخي الحذر من عروض العمل غير المرغوبة أو تواصل مسؤولي التوظيف، وهو تكتيك استخدمته لازاروس مرارًا.
- حافظ على تحديث أنظمة التشغيل والبرمجيات فور إصدار التصحيحات، لأن نافذة اليوم الصفري تُغلق في اللحظة التي يتوفر فيها الإصلاح.
- يجب على فرق الأمن الاستثمار في أدوات قادرة على رصد حركة المرور المشفرة الشاذة والتواصل غير المعتاد مع الخوادم، وليس فقط الاعتماد على الكشف القائم على التوقيعات.
مع استمرار المجموعات المدعومة من الدولة في تحسين تقنياتها، فإن البقاء على اطلاع بكيفية تطور هذه الهجمات هو أحد أبسط الطرق التي يمكن للأفراد والمؤسسات من خلالها البقاء متقدمين بخطوة.
