تزايد في استغلال مجموعات التهديدات المتقدمة المستمرة للثغرات في شنّ الهجمات

ظلّت موجات الهجمات الرئيسة التي تشنها مجموعات التهديدات المتقدمة المستمرة، على مدى الأشهر الثلاثة الماضية، مدفوعة بالهجمات التي تستهدف سلاسل التوريد واستغلال الثغرات في شنّ هجمات بلا انتظار، المعروفة بهجمات "يوم الصفر" Zero-day. وكان اختراق حدث في برمجية Orion IT من SolarWind، الخاصة بمراقبة البنى التحتية التقنية، قد أدّى إلى تثبيت منفذ خلفي مخصص على شبكات أكثر من 18,000 عميل، في حين أدت ثغرة أمنية في Microsoft Exchange Server إلى شنّ هجمات ضمن حملات واسعة في أوروبا وروسيا والولايات المتحدة. وكانت هذه من بين أهم النتائج التي توصل إليها تقرير كاسبرسكي للربع الأول حول الهجمات التي تشنها مجموعات التهديدات المتقدمة المستمرة.
تحرص مجموعات التهديدات المتقدمة المستمرة على تغيير أساليبها باستمرار وتحديث أدواتها وإطلاق موجات جديدة من نشاطها التخريبي. ولهذا السبب، يقدّم فريق البحث والتحليل العالمي التابع لكاسبرسكي تقارير ربع سنوية حول أهم التطورات في مشهد التهديدات المتقدمة المستمرة، من أجل إبقاء المستخدمين والمؤسسات على علم بأحدث التهديدات التي يواجهونها. وقد لاحظ الفريق في الربع الأول من العام الجاري، حدوث موجتين كبيرتين من النشاط التخريبي، تمثلت الأولى باختراق SolarWinds، وتحديدًا برمجيتها Orion IT الخاصة بمقدمي خدمات تقنية المعلومات المدارة والتي تعمل على مراقبة البنى التحتية التقنية، لتركيب منفذ خلفي مخصص يعرف باسم Sunburst على شبكات أكثر من 18,000 عميل، بينهم العديد من الشركات الكبيرة والهيئات الحكومية في أمريكا الشمالية وأوروبا والشرق الأوسط وآسيا.
ولاحظ باحثو كاسبرسكي، عند فحص المنفذ الخلفي بدقة، أوجه تشابه مع المنفذ الخلفي المعروف من قبل والمسمى Kazuar، والذي رُصد لأول مرة في العام 2017 وجرى ربطه مبدئيًا بمجموعة Turla سيئة السمعة. ما يُشير إلى وجود رابط محتمل بين الجهات التخريبية القائمة وراء Kazuar وSunburst.
أما الموجة التخريبية الثانية فجاءت مدفوعة بعمليات استغلال لثغرات في Microsoft Exchange Server جرى تصحيحها لاحقًا في شنّ هجمات بلا انتظار (يوم الصفر). وفي بداية شهر مارس، شوهدت مجموعة تخريبية جديدة تُعرف بالاسم HAFNIUM تستغل هذه الثغرات لشن سلسلة من الهجمات المحدودة والموجهة. وجرى خلال الأسبوع الأول من شهر مارس، تمّ استهداف ما يقرب من 1,400 خادم لشن هجمات استغلال للثغرات، معظمها في أوروبا والولايات المتحدة. ويبدو أن مجموعات متعددة باتت تستغل هذه الثغرات الآن، نظرًا لتكرار استهداف بعض الخوادم عدة مرات. وفي منتصف شهر مارس، اكتشفت كاسبرسكي حملة أخرى تستخدم الثغرات نفسها في استهداف جهات في روسيا. وأظهرت هذه الحملة بعض الروابط مع HAFNIUM، بالإضافة إلى مجموعات تخريبية أخرى معروفة سابقًا كانت كاسبرسكي تحقق فيها.
كذلك أُبلغ عن مجموعة جديدة من الأنشطة التخريبية التي نفذتها مجموعة Lazarus سيئة السمعة، واستغلت فيها بدورها الثغرات في شن هجمات يوم الصفر. وفي هذه المرة، استخدمت المجموعة مبادئ الهندسة الاجتماعية لإقناع باحثين أمنيين بتنزيل ملف Visual Studio مخترق أو جذب الضحايا إلى مدونتها، وليتم بعدها تثبيت برمجية اختراق استغلال لثغرات في Chrome. وغالبًا ما كانت هذه المحاولات تدور حول هجمات يوم الصفر، ويبدو أنها كانت تستهدف سرقة الأبحاث الدائرة حول الثغرات الأمنية. وقد حدثت الموجة الأولى في يناير والثانية في مارس، واقترنت هذه بموجة جديدة من الملفات الشخصية المزيفة على وسائل التواصل الاجتماعي وبشركة وهمية لخداع الضحايا المقصودين بطريقة فعالة.
ولاحظ باحثو كاسبرسكي بأن البرمجيات الخبيثة المستخدمة في الحملة تتطابق مع ThreatNeedle، أحد المنافذ الخلفية التي طورتها Lazarus وشوهد يستهدف قطاع الصناعات الدفاعية في منتصف العام 2020.
كذلك شوهدت حملة أخرى مثيرة للاهتمام لاستغلال الثغرات في شنّ هجمات يوم الصفر، أطلق عليها اسم TurtlePower، وتستهدف الكيانات الحكومية وشركات الاتصالات في باكستان والصين، ويعتقد أنها مرتبطة بمجموعة BitterAPT. ويبدو أن أصل الثغرة، التي باتت الآن مصححة، مرتبط ب Moses، الوسيط الذي طور ما لا يقل عن خمس برمجيات للاستغلال في العامين الماضيين، بعضها استُخدم من قبل BitterAPT وDarkHotel.
ورأى أرييل جونغيت الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي أن أكبر الدروس المستفادة من الربع الماضي ربما يكون مدى الخراب الذي يمكن أن تُحدثه الهجمات الناجحة التي تستهدف سلاسل التوريد، مرجّحًا أن يستغرق الأمر عدة أشهر أخرى قبل أن يتم فهم النطاق الكامل لهجوم SolarWinds. وقال: "يسرنا أن مجتمع الأمن الرقمي بأكمله أصبح يتحدث الآن عن هذه الأنواع من الهجمات ويناقش ما يمكن فعله حيالها. وقد ذكرتنا الأشهر الثلاثة الأولى من هذا العام بأهمية تنزيل التصحيحات البرمجية على الأجهزة في أقرب فرصة ممكنة، لا سيما وأننا نرى أن عمليات استغلال ثغرات يوم الصفر ستستمر في كونها وسيلة فعالة للغاية وشائعة لدى المجموعات التخريبية الساعية لاختراق ضحاياها، حتى وإن كانت ستفعل هذا بطرق إبداعية مفاجئة، مثلما أظهرت حملة Lazarus الأخيرة".
ويلخص تقرير كاسبرسكي بشأن توجّهات التهديدات المتقدمة المستمرة في الربع الأول نتائج تقارير معلومات التهديدات الخاصة بالمشتركين في خدمة كاسبرسكي، والتي تتضمن أيضًا بيانات مؤشرات الاختراق وقواعد YARA، للمساعدة في التحقيقات الجنائية والبحث عن البرمجيات الخبيثة. يمكن التواصل عبر البريد الإلكتروني intelreports@kaspersky.com لمزيد من المعلومات.
اقرأ المزيد عن مشهد تهديدات المتقدمة المستمرة في الربع الأول على Securelist.
ويوصي خبراء كاسبرسكي باتباع التدابير التالية لحماية الشركات من نشاط مجموعات التهديدات المتقدمة المستمرة:
المسارعة إلى تثبيت تصحيحات الثغرات الأمنية المكتشفة حديثًا في أقرب فرصة ممكنة. فتنزيلها وتثبيتها يمنع جهات التهديد من استغلال هذه الثغرات.
الحرص على إجراء تدقيق أمني منتظم للبنية التحتية التقنية المؤسسية للكشف عن الثغرات والأنظمة المعرضة للخطر.
يمكن لقدرات إدارة الثغرات الأمنية والتصحيحات التي يتمتع بها حل حماية النقاط الطرفية endpoint protection solution أن تسهل مهام العمل بشكل كبير على مديري أمن تقنية المعلومات.
تثبيت حلول مكافحة التهديدات المتقدمة المستمرة وحلول الكشف عن التهديدات عن النقاط الطرفية والاستجابة لها، ما يتيح القدرة على اكتشاف التهديدات والتحقيق فيها ومعالجة الحوادث في الوقت المناسب.
الحرص على تزويد فرق العمل في مراكز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات وإكسابهم المهارات وصقلها بانتظام من خلال التدريب الاحترافي. كل ما سبق متاح في Kaspersky Expert Security framework.