كشفت Microsoft مؤخرًا عن تفاصيل مقلقة حول هجوم سيبراني واسع النطاق نفذته مجموعة تُعرف باسم Storm-0940، والتي يُعتقد أنها مدعومة من الصين. استخدم المهاجمون أدوات الذكاء الاصطناعي المتقدمة وبيانات اعتماد تطبيق ConnectWise المخترقة لاستهداف أكثر من 2250 مستأجرًا على منصة Microsoft 365. هذا التطور يسلط الضوء على تزايد دور الذكاء الاصطناعي في الهجمات السيبرانية.
تفاصيل الهجوم المتقدم
بينت Microsoft أن جماعة Storm-0940، التي تنشط منذ عام 2021، استعانت بأداة اختبار اختراق مفتوحة المصدر قائمة على الذكاء الاصطناعي تُدعى ARTEX. هذه الأداة، المكتوبة بلغة Go، مكنت المهاجمين من أتمتة عمليات الاستطلاع، واكتشاف الثغرات، وهجمات بيانات الاعتماد، وسرقة البيانات. الأدهى من ذلك أنهم تمكنوا من الانتقال من اختيار الهدف إلى الحصول على وصول مميز إلى السحابة في أقل من ثلاث ساعات في بعض الحالات.
يأتي هذا الهجوم في أعقاب حادثة أمنية سابقة في ConnectWise، حيث قامت الشركة بإيقاف خدمات Cloud Backup و SaaS Security و Cloud Management بعد اكتشاف وصول غير مصرح به إلى هويات التطبيقات. بينما لم تحدد ConnectWise المسؤولين في البداية، أشارت Microsoft الآن بأصابع الاتهام إلى Storm-0940.
استغل المهاجمون بيانات اعتماد ConnectWise المخترقة للوصول إلى الأذونات التي سبق للمستخدمين منحها لخدمات ConnectWise، متجاوزين الحاجة إلى تسجيل دخول تفاعلي للمستخدم. بين 10 و14 أكتوبر، رصدت Microsoft أكثر من 151,000 محاولة تسجيل دخول فاشلة ضد 327 حسابًا في ثماني مؤسسات. بعد ذلك، تحول المهاجمون إلى استخدام ARTEX لمحاولة المصادقة على أكثر من 2,250 مستأجرًا على Microsoft 365، ووصلت محاولاتهم إلى 2,900 محاولة في الدقيقة أحيانًا.
على الرغم من أن معظم المحاولات باءت بالفشل، فقد تمكن المتسللون من ترسيخ وصول مميز ودائم في عدد من المؤسسات. كما لاحظت Microsoft نشاطًا مدعومًا بالذكاء الاصطناعي عبر Microsoft Graph، بما في ذلك الاستطلاع وتغيير بيانات اعتماد التطبيق ومحاولات تعديل الامتيازات، مما قد يسمح للمهاجمين بالبقاء حتى بعد إلغاء بيانات الاعتماد الأصلية.
ما يعنيه هذا للمطورين والمصممين
تُظهر هذه الحادثة بوضوح أن الذكاء الاصطناعي لم يعد مجرد أداة دفاعية، بل أصبح يُستخدم بفعالية في الهجمات السيبرانية لتسريع العمليات وتجاوز الدفاعات التقليدية. برأينا، هذا يستدعي يقظة أكبر من المطورين والمهندسين الأمنيين.
- أمن سلسلة التوريد: يجب على الشركات والمطورين مراجعة الأذونات الممنوحة لخدمات الطرف الثالث بعناية فائقة. اختراق شركة مثل ConnectWise يمكن أن يفتح الباب أمام اختراقات أوسع لعملاء آخرين.
- أدوات اختبار الاختراق بالذكاء الاصطناعي: يجب على الفرق الأمنية أن تكون على دراية بالأدوات مثل ARTEX. فهم كيفية عمل هذه الأدوات الهجومية ضروري لتطوير دفاعات مضادة فعالة.
- سرعة الاستجابة: قدرة المهاجمين على تحقيق وصول مميز في غضون ساعات قليلة تؤكد على أهمية أنظمة الكشف والاستجابة السريعة للتهديدات.
- المراقبة المستمرة: تعد مراقبة نشاط التطبيقات وبيانات الاعتماد، خاصة تلك التي تستخدم للوصول إلى البيئات السحابية، أمرًا بالغ الأهمية لاكتشاف أي تغييرات غير مصرح بها في الامتيازات أو هويات التطبيقات.
المصدر: theregister.com