تم نشر تنبيه أمني أسبوعي جديد يغطي الفترة من 7 إلى 13 سبتمبر، وقد رصد مستوى من نشاط الهجمات الإلكترونية المنسقة وصفه الباحثون بأنه "تحول مستدام في خط الأساس". وقد تتبع التقرير 33 مجموعة متزامنة من التهديدات المتقدمة المستمرة (APT) نشطة خلال الأسبوع، وهو مستوى قياسي جديد، والأسبوع الثالث على التوالي الذي يظل فيه النشاط مرتفعاً فوق المعايير التاريخية.

وفي حين أن تنبيهات كهذه تُكتب عادةً لفرق العمليات الأمنية والمسؤولين التنفيذيين لأمن المعلومات، فإن الأرقام الكامنة وراءها تهم أي شخص يستخدم الإنترنت للخدمات المصرفية أو التسوق أو العمل أو التواصل. فعندما يرتفع حجم البنية التحتية النشطة للتهديدات بهذا الشكل الحاد ويظل مرتفعاً، ترتفع معه احتمالية تعرّض المستخدمين العاديين لصفحات التصيد أو التنزيلات الخبيثة أو الشبكات المخترقة.

ما تكشفه الأرقام فعلاً

يشير الرقم الرئيسي في التنبيه، وهو 33 مجموعة متزامنة من التهديدات المتقدمة المستمرة (APT)، إلى مجموعات مميزة ونشطة في آنٍ واحد من الفاعلين المرتبطين بالدول أو المجرمين الإلكترونيين المنظمين الذين يديرون حملات في الوقت نفسه. وأشار الباحثون إلى أن التوجيهات السابقة كانت قد وضعت عتبة: إذا تجاوز هذا الرقم 15 خلال أسبوع التقرير، فسيُعتبر دليلاً على تغيير دائم وليس ارتفاعاً مؤقتاً. وقد بلغ الأسبوع المعني 33، أي أكثر من ضعف تلك العتبة، ولهذا يصف المحللون الآن هذا بأنه تحول مؤكد في خط الأساس وليس مجرد شذوذ عابر.

وإلى جانب عدد المجموعات، سجّل التقرير 57,981 مؤشراً فريداً للاختراق (IOC)، وهي البصمات الرقمية وعناوين IP الخبيثة وتجزئات الملفات والنطاقات التي يستخدمها المدافعون للكشف عن الهجمات وصدّها. وقد استأثر "مشغّل C2 دائم" واحد، في إشارة إلى فاعل تهديد يدير بنية تحتية طويلة الأمد للقيادة والتحكم، بأكثر من 53,000 من تلك المؤشرات بمفرده. وتشير هذه الكثافة إلى أن عملية واحدة نشطة للغاية وذات موارد جيدة تقود حصة كبيرة من الحجم الإجمالي، بدلاً من أن يكون الارتفاع موزعاً بالتساوي على العديد من الفاعلين الأصغر.

كما سجّل التنبيه ارتفاعاً بمقدار 5.5 ضعف في نشاط برامج الفدية مقارنة بمستويات خط الأساس. وتُعدّ حملات برامج الفدية جديرة بالملاحظة لأنها غالباً ما تبدأ بالأساليب ذاتها التي تؤثر على المستخدمين العاديين: رسائل التصيد الإلكتروني، ونقاط الوصول عن بُعد المكشوفة، وثغرات البرمجيات غير المُرقّعة. وغالباً ما يرتبط الارتفاع الحاد في عمليات برامج الفدية بارتفاع في حملات التصيد الجماعي وسرقة بيانات الاعتماد التي تغذّي تلك العمليات.

لماذا يختلف "التحول المستدام في خط الأساس" عن الارتفاع المؤقت

يميّز الباحثون الأمنيون بين الارتفاعات قصيرة الأمد، التي تتلاشى وتعود إلى طبيعتها خلال أسبوع أو أسبوعين، والتحولات في خط الأساس، التي تمثل مستوى جديداً ومستداماً من النشاط. وصياغة هذا التنبيه مقصودة: ثلاثة أسابيع متتالية من الارتفاع، مقترنة بعدد مجموعات يفوق بكثير العتبة المحددة سابقاً، تُفسَّر كدليل على أن بيئة التهديدات نفسها قد تغيّرت، وليس على أن هذا كان أسبوعاً مزدحماً لمرة واحدة.

بالنسبة للقراء، التبعات العملية واضحة ومباشرة. فالنصائح الأمنية التي تفترض أن الهجمات أحداث نادرة ومعزولة أصبحت متخلفة عن الواقع بشكل متزايد. والبنية التحتية الدائمة، مثل مشغّل C2 المسؤول عن الجزء الأكبر من مؤشرات الاختراق هذا الأسبوع، تميل إلى البقاء وإعادة الاستخدام عبر حملات متعددة، مما يعني أن النطاقات والخوادم الخبيثة نفسها قد تظهر مجدداً في محاولات التصيد أو توزيع البرمجيات الخبيثة لأسابيع أو أشهر بعد اكتشافها لأول مرة.

كما تضاعف هذه البنية التحتية المستدامة من المخاطر عندما تقترن بثغرات برمجية مُعلنة حديثاً. فعلى سبيل المثال، تُظهر ثغرة تصعيد امتيازات MiniPlasma المُعلنة مؤخراً كيف يمكن للمهاجمين الحصول على وصول كامل بمستوى SYSTEM على أجهزة Windows حتى بعد تطبيق الترقيعات القياسية. وعندما يمتلك مشغّلو C2 الدائمون بنية تحتية متينة وإمكانية الوصول إلى استغلالات جديدة كهذه، فإن هذا المزيج يمنحهم مزيداً من الطرق للوصول إلى أجهزة الضحايا والتحكم بها على مدى فترة زمنية أطول.

ما يعنيه هذا لك

لا تحتاج إلى أن تكون متخصصاً في الأمن لتتأثر بتحول كهذا. فالارتفاع في نشاط التهديدات المتقدمة المستمرة وبرامج الفدية يُترجم عموماً إلى مزيد من رسائل التصيد، ومزيد من الإعلانات الخبيثة وصفحات تسجيل الدخول المزيفة، واحتمال أعلى لاستهداف الأجهزة غير المُرقّعة انتهازياً، حتى لو لم تكن أنت الهدف المحدد لأي مجموعة تابعة لدولة.

والخبر السار هو أن أساسيات الأمن السيبراني الشخصي لا تتغير لمجرد ارتفاع حجم التهديدات. ما يتغير هو أهمية الاتساق: إبقاء البرمجيات محدّثة، والتعامل بحذر مع الروابط والمرفقات غير المتوقعة، واستخدام كلمات مرور قوية وفريدة مع المصادقة متعددة العوامل تبقى أكثر الدفاعات فعالية ضد الأساليب التي يعتمد عليها فاعلو التهديد الدائمون أكثر من غيرها.

خلاصات قابلة للتنفيذ

  • أبقِ نظام التشغيل والتطبيقات مضبوطة على التحديث التلقائي، لأن نشاط التهديدات المتقدمة المستمرة غالباً ما يستغل ثغرات معروفة لكن غير مُرقّعة.
  • تعامل مع رسائل البريد الإلكتروني والروابط ومطالبات تسجيل الدخول غير المتوقعة بحذر إضافي خلال فترات النشاط المرتفع المؤكد كهذه الفترة.
  • فعّل المصادقة متعددة العوامل على أهم حساباتك، ولا سيما البريد الإلكتروني والخدمات المصرفية والتخزين السحابي.
  • انسخ الملفات المهمة احتياطياً بانتظام واحتفظ بنسخة واحدة على الأقل دون اتصال بالإنترنت، نظراً للارتفاع الحاد في نشاط برامج الفدية المذكور في هذا التنبيه.
  • تابع التنبيهات الأمنية من مصادر موثوقة لتفهم متى تكون مستويات التهديد مرتفعة فعلاً مقابل الضجيج اليومي المعتاد.

التنبيهات الأمنية الأسبوعية كهذا التنبيه تتعلق في نهاية المطاف بالتعرّف على الأنماط بمرور الوقت، وليس بأي حادث منفرد. والتحول المستدام في خط الأساس، المؤكد على مدى ثلاثة أسابيع متتالية والمدعوم بما يقرب من 58,000 مؤشر فريد للاختراق، إشارة تستحق الانتباه. ويبقى البقاء على اطلاع بالنظافة الأمنية الأساسية أكثر الطرق موثوقية للحماية مع استمرار تطور خط الأساس هذا.