ثغرات يوم الصفر في SonicWall مرتبطة الآن بنشر برمجيات خبيثة مخصصة

تؤكد التقارير الحديثة ما كانت تخشاه فرق الأمن: ثغرتا يوم الصفر في SonicWall SMA اللتان يتم استغلالهما حاليًا لا تُستخدمان فقط لاختراق الشبكات، بل يتم استغلالهما للحصول على صلاحيات الجذر (root) الكاملة وزرع برمجيات خبيثة مخصصة على الأجهزة المخترقة. يمثل هذا تصعيدًا مقارنة بالمراحل السابقة من هذه الحملة، حيث كان المهاجمون يركزون بشكل أساسي على الوصول الأولي إلى أجهزة SonicWall Secure Mobile Access (SMA).

تعد أجهزة SMA البوابة التي تستخدمها العديد من الشركات للسماح للموظفين بالاتصال عن بُعد بالأنظمة الداخلية. عندما يتم اختراق هذه البوابة على مستوى الجذر، يتوقف الجهاز عن كونه أداة تحكم أمني ويصبح منصة انطلاق لمزيد من الاختراقات. يمكن للبرمجيات الخبيثة المخصصة التي تُنشر في هذه المرحلة من الوصول أن تكون أصعب بكثير في الاكتشاف من أدوات الاستغلال العامة، لأنها تُصمم خصيصًا لتندمج في البيئة المخترقة وتستمر حتى بعد تطبيق التصحيحات الأولية.

ما تسمح به ثغرات يوم الصفر للمهاجمين

صلاحيات الجذر هي أعلى مستوى من الامتيازات على النظام. بمجرد أن يحققها المهاجمون على جهاز SMA، فإنهم يمتلكون الجهاز فعليًا. هذا يعني أنه يمكنهم اعتراض أو التلاعب بحركة المرور المارة عبره، وجمع بيانات الاعتماد من أي شخص يتصل عن بُعد، وتعطيل التسجيل لإخفاء آثارهم، وتثبيت برمجيات خبيثة تنجو من إعادة التشغيل أو الصيانة الروتينية. يبني هذا التقرير الأخير على تغطية سابقة تؤكد أن ثغرات يوم الصفر هذه في SonicWall SMA كانت نشطة منذ 22 يونيو، مما أتاح للمهاجمين نافذة زمنية كبيرة للعمل قبل أن ينتبه المدافعون.

يشير كون البرمجيات الخبيثة المخصصة الآن جزءًا من الأدوات إلى أن هذا ليس مجرد مسح انتهازي. إنه يدل على جهد متعمد وممول جيدًا يهدف إلى الحفاظ على وصول طويل الأمد داخل الشبكات المستهدفة، وليس مجرد سرقة بيانات سريعة.

من المتأثرون: الشركات والعاملون عن بُعد وبياناتهم

تقع أجهزة SMA في قلب الوصول عن بُعد للعديد من الشركات الصغيرة والمتوسطة، وكذلك المؤسسات الكبيرة التي لديها قوى عاملة موزعة. أي شخص يتصل من خلال جهاز مخترق، سواء كان موظفًا يسجل دخوله من المنزل، أو متعاقدًا يصل إلى أنظمة مشتركة، أو موظف تكنولوجيا معلومات يقوم بالصيانة، قد يكون معرضًا للخطر. يمكن التقاط بيانات الاعتماد التي يتم إدخالها أثناء جلسة تسجيل دخول شرعية. ويمكن عرض الملفات المنقولة عبر الجهاز. ولأن الاختراق على مستوى الجذر يمنح المهاجمين رؤية في الأعمال الداخلية للجهاز، فقد يتمكنون أيضًا من التسلل بشكل أعمق إلى الشبكات المؤسسية المتصلة.

لا يقتصر هذا على المؤسسات الكبيرة. المنظمات الصغيرة التي تعتمد على أجهزة سلسلة SMA1000 للوصول عن بُعد منخفض التكلفة معرضة بنفس القدر، وغالبًا ما تمتلك موارد أقل لاكتشاف الاختراق الخفي على مستوى الجذر قبل أن يتسبب في أضرار حقيقية. التنبيهات السابقة بشأن ثغرات يوم الصفر في SonicWall SMA1000 تحت الهجوم النشط أشارت بشكل خاص إلى هذه الضرورة الملحة للمؤسسات التي تستخدم هذا الخط من المنتجات.

كيف تتحول ثغرات الوصول عن بُعد المؤسسي إلى مخاطر على خصوصية المستهلك

قد يبدو من المغري اعتبار الثغرات على مستوى الأجهزة مشكلة تقنية معلومات مؤسسية بحتة، لكن الواقع أكثر ترابطًا من ذلك. غالبًا ما تكون أدوات الوصول عن بُعد مثل أجهزة SMA نقطة الدخول التي تتدفق من خلالها بيانات الموظفين والعملاء، وسجلات الموارد البشرية، والأنظمة المالية، وبوابات الرعاية الصحية، وغير ذلك. عندما يحصل المهاجمون على صلاحيات الجذر للجهاز نفسه، فإنهم لا يخترقون مجرد قطعة من أجهزة الشبكة؛ بل يحتمل أن يحصلوا على موطئ قدم للوصول إلى البيانات الشخصية لكل من تمر معلوماته عبر الأنظمة التي يحميها هذا الجهاز.

هذا هو نفس النمط الذي شوهد في حوادث SonicWall الأخيرة الأخرى، بما في ذلك التقارير عن ثغرات يوم الصفر التي تم استغلالها قبل أسابيع من توفر التصحيح والنشاط المنسوب إلى جهة التهديد UTA0533 التي تستغل ثغرات يوم الصفر في SonicWall SMA. تؤكد كل حالة كيف يمكن لثغرة واحدة غير مصححة في البنية التحتية للوصول عن بُعد المؤسسي أن تمتد لتشكل خطرًا على الخصوصية الفردية، خارج نطاق قسم تكنولوجيا المعلومات الذي يدير الجهاز.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل عن بُعد وتستخدم مؤسستك أجهزة SonicWall SMA، فإن الأمر يستحق محادثة مباشرة مع فريق تكنولوجيا المعلومات أو الأمن لديك. اسأل عما إذا كان قد تم تصحيح الجهاز، وما إذا كانت السجلات قد روجعت بحثًا عن علامات الاختراق، وما إذا كان ينبغي إعادة تعيين بيانات الاعتماد كإجراء احترازي. إذا كنت تدير شركة صغيرة بجهاز SMA1000 يتولى عمليات تسجيل الدخول عن بُعد، فلا تفترض أن دورة تصحيح سابقة تغطي هذه الموجة الجديدة من الاستغلال—فإن اختراقات مستوى الجذر يمكن أن تستمر حتى بعد الإصلاحات السطحية.

بالنسبة للمستخدمين العاديين، فإن الخلاصة ليست الذعر بقدر ما هي الوعي: أمان الأدوات التي يستخدمها صاحب العمل أو مزود الخدمة يؤثر مباشرة على سلامة بياناتك، حتى لو لم تلمس الجهاز بنفسك أبدًا.

نصائح عملية

  • تأكد مع فريق تكنولوجيا المعلومات لديك ما إذا كانت أجهزة SonicWall SMA الخاصة بمؤسستك تعمل بأحدث البرامج الثابتة المصححة.
  • إذا كنت عاملًا عن بُعد، فاسأل عما إذا كان يُوصى بإعادة تعيين بيانات الاعتماد بعد هذا الكشف.
  • يجب على الشركات الصغيرة التي تدير أجهزة SMA1000 أن تتعامل مع هذا كتهديد نشط ومستمر، وليس كمشكلة تصحيح لمرة واحدة تُنسى بعدها.
  • ابق على اطلاع على النشرات الرسمية من SonicWall وتقارير الأمن المستقلة، حيث غالبًا ما يتم الكشف عن ثغرات يوم الصفر الجديدة على مراحل كلما كشف الباحثون المزيد من سلسلة الهجوم.

تذكرنا ثغرات يوم الصفر في SonicWall مثل هذه بأن البنية التحتية للوصول عن بُعد تشكل أرضًا عالية القيمة للمهاجمين، والبقاء على اطلاع دائم بالتصحيحات هو أحد أبسط الدفاعات وأكثرها فعالية.