كشف تقرير جديد صادر عن شركة SOCRadar لتحليل التهديدات عن تفاصيل مذهلة حول مجموعة برامج الفدية والابتزاز n0n. هذه المجموعة، التي استهدفت 23 منظمة في 14 دولة، استخدمت الذكاء الاصطناعي لتطوير وتوجيه هجماتها، لكنها ارتكبت خطأً فادحًا بترك خادمها التشغيلي مكشوفًا للعامة، مما كشف عن أساليبها وأدواتها للعالم.
كيف نفّذت مجموعة n0n هجماتها؟
لم تعتمد مجموعة n0n على استغلال الثغرات الأمنية المعقدة. بل اعتمدت في كل اختراق موثّق على أساليب قديمة لكنها فعالة، مثل استخدام بيانات الاعتماد الضعيفة أو المسروقة. قام المهاجمون بمسح واسع النطاق لبروتوكول سطح المكتب البعيد (RDP) واستخدموا أساليب حشو بيانات الاعتماد التلقائية لبوابات FortiGate SSL-VPN. كما تمكنوا من الوصول عبر مفاتيح وصول AWS مكشوفة بصلاحيات واسعة، مما سمح لهم بسحب وحذف بيانات من عشرات من حاويات S3.
لقد استثمرت هذه المجموعة في الذكاء الاصطناعي بشكل ملحوظ، حيث تجاوزت تكاليف استخدامهم لخدمات AI مبلغ 7,216 دولارًا أمريكيًا بحلول 22 أكتوبر، أي ما يعادل حوالي 27,060 ريالًا سعوديًا أو 26,496 درهمًا إماراتيًا. استخدموا وكيل برمجة مفتوح المصدر يُدعى OpenCode، الذي كان مُعدًا بـ 154 إدخال نموذج عبر سبعة مزودين مختلفين، بما في ذلك Gemini، Mistral، Llama، Claude، وGPT-5.x، وبعضها كانت نماذج «غير خاضعة للرقابة». استخدم المهاجمون الذكاء الاصطناعي لكتابة وتصحيح مئات البرامج النصية، مما ساعدهم على تحويل الوصول الأولي إلى عمليات أوسع وأكثر تفصيلاً.
سقطات أمنية مكشوفة
كان الجزء الأكثر إثارة للصدمة في هذا التحقيق هو اكتشاف SOCRadar لمساحة عمل المشغل – وهو خادم ملفات HTTP Python يمكن الوصول إليه علنًا ومستضاف في السويد. لقد تم توثيق الدليل المكشوف في لقطات شاشة بتاريخ 25 و26 سبتمبر، حيث كشفت عن 1,719 ملفًا، بما في ذلك برامج نصية للهجوم، وشيفرة مصدر لبرامج الفدية، وبنية تحتية للابتزاز، وبيئة وكيل برمجة AI كاملة. هذا الكشف وفر نظرة غير مسبوقة على كيفية عمل المجموعة.
على الرغم من تكتيكاتها العدوانية وتهديداتها بالابتزاز (حيث طالبت ببعض الفدية التي تراوحت بين 400,000 دولار و28 مليون دولار)، إلا أن SOCRadar صنفت قدرة n0n على الفتك بـ 0 من 10، على عكس عدوانيتها التي قيمتها بـ 10 من 10. يشير التقرير إلى أن المجموعة غالبًا ما تفشل في تأكيد استلام الفدية، حيث لم يتم التحقق من أي معاملة على سلسلة الكتل، حتى بعد أن أعلنت عن دفع بعض الضحايا.
تُظهر هذه القضية فجوة صارخة بين طموح عمليات المشغل والانضباط الأمني. استثمر المشغل آلاف الدولارات في خدمات الذكاء الاصطناعي بينما ترك مساحة عمله مكشوفة تمامًا. كما احتوى الخادم على مفاتيح تشفير مبرمجة ثابتة، مع أدلة تشير إلى إعادة استخدامها عبر ضحايا متعددين. هذه الأخطاء الأساسية توضح كيف أن عملية يمكن أن تكون ذات قدرة تدميرية خطيرة بينما لا تزال ترتكب أخطاء جوهرية في أبسط أساسيات الأمن السيبراني.
ماذا يعني هذا للمطورين والمصممين؟
بالنسبة للمطورين والمصممين في عالمنا العربي، يحمل هذا التقرير دروسًا بالغة الأهمية. أولًا، لا تزال أساسيات الأمن السيبراني مثل إدارة بيانات الاعتماد القوية والتأمين ضد الوصول غير المصرح به (مثل RDP وVPN المكشوفة) هي خط الدفاع الأول والأكثر أهمية. بغض النظر عن مدى تطور أدوات المهاجمين، فإن الثغرات الأساسية تظل هي نقطة الدخول الأكثر شيوعًا.
ثانيًا، بينما يُظهر التقرير كيف يمكن للذكاء الاصطناعي أن يكون أداة قوية بيد المهاجمين لتسريع عملية كتابة البرامج النصية وتصحيح الأخطاء، إلا أنه يؤكد أيضًا أن الذكاء الاصطناعي وحده لا يمكنه تعويض الافتقار إلى ممارسات الأمن التشغيلي الجيدة. يجب علينا كمجتمع تقني أن نتذكر دائمًا أن أمان البنية التحتية الخاصة بنا لا يقل أهمية عن أمان المنتجات التي نبنيها. حماية مفاتيح الوصول السحابية، وتأمين الخوادم، وعدم إعادة استخدام مفاتيح التشفير هي خطوات حاسمة لا يمكن التهاون بها أبدًا.
المصدر: theregister.com