تقرير: زيادة هجمات «يوم الصفر» الإلكترونية خلال الربع الأول من 2021
كشف تقرير حول الهجمات التي تشنها مجموعات التهديدات المتقدمة المستمرة للربع الأول من عام 2021 صادرة عن "كاسبرسكي" العالمية، أن موجات الهجمات الرئيسة التي تشنها مجموعات التهديدات المتقدمة المستمرة، ظلت على مدى الأشهر الثلاثة الماضية، مدفوعة بالهجمات التي تستهدف سلاسل التوريد واستغلال الثغرات في شنّ هجمات بلا انتظار، المعروفة بهجمات "يوم الصفر".
وأضاف التقرير الذي حصلت "الدستور" علي نسخة منه، أن الاختراق حدث في برمجية Orion IT من SolarWind، الخاصة بمراقبة البنى التحتية التقنية، قد أدّى إلى تثبيت منفذ خلفي مخصص على شبكات أكثر من 18,000 عميل، في حين أدت ثغرة أمنية في Microsoft Exchange Server إلى شنّ هجمات ضمن حملات واسعة في أوروبا وروسيا والولايات المتحدة.
وأكد التقرير أن مجموعات التهديدات المتقدمة المستمرة تحرص على تغيير أساليبها باستمرار وتحديث أدواتها وإطلاق موجات جديدة من نشاطها التخريبي، ولهذا السبب، يقدّم فريق البحث والتحليل العالم تقارير ربع سنوية حول أهم التطورات في مشهد التهديدات المتقدمة المستمرة، من أجل إبقاء المستخدمين والمؤسسات على علم بأحدث التهديدات التي يواجهونها.
ولاحظ التقرير في الربع الأول من العام الجاري، حدوث موجتين كبيرتين من النشاط التخريبي، تمثلت الأولى باختراق SolarWinds، وتحديدًا برمجيتها Orion IT الخاصة بمقدمي خدمات تقنية المعلومات المدارة والتي تعمل على مراقبة البنى التحتية التقنية، لتركيب منفذ خلفي مخصص يعرف باسم Sunburst على شبكات أكثر من 18,000 عميل، بينهم العديد من الشركات الكبيرة والهيئات الحكومية في أمريكا الشمالية وأوروبا والشرق الأوسط وآسيا.
كما لاحظ أنه عند فحص المنفذ الخلفي بدقة، أوجه تشابه مع المنفذ الخلفي المعروف من قبل والمسمى Kazuar، والذي رُصد لأول مرة في العام 2017، وجرى ربطه مبدئيًا بمجموعة Turla سيئة السمعة. ما يُشير إلى وجود رابط محتمل بين الجهات التخريبية القائمة وراء Kazuar وSunburst.
ولفت إلى أن الموجة التخريبية الثانية فجاءت مدفوعة بعمليات استغلال لثغرات في Microsoft Exchange Server جرى تصحيحها لاحقًا في شنّ هجمات بلا انتظار (يوم الصفر). وفي بداية شهر مارس، شوهدت مجموعة تخريبية جديدة تُعرف بالاسم HAFNIUM تستغل هذه الثغرات لشن سلسلة من الهجمات المحدودة والموجهة.
وجرى خلال الأسبوع الأول من شهر مارس، تمّ استهداف ما يقرب من 1,400 خادم لشن هجمات استغلال للثغرات، معظمها في أوروبا والولايات المتحدة. ويبدو أن مجموعات متعددة باتت تستغل هذه الثغرات الآن، نظرًا لتكرار استهداف بعض الخوادم عدة مرات.
وفي منتصف شهر مارس، اكتشفت كاسبرسكي حملة أخرى تستخدم الثغرات نفسها في استهداف جهات في روسيا. وأظهرت هذه الحملة بعض الروابط مع HAFNIUM، بالإضافة إلى مجموعات تخريبية أخرى معروفة سابقًا كانت كاسبرسكي تحقق فيها.
كذلك أُبلغ عن مجموعة جديدة من الأنشطة التخريبية التي نفذتها مجموعة Lazarus سيئة السمعة، واستغلت فيها بدورها الثغرات في شن هجمات يوم الصفر. وفي هذه المرة، استخدمت المجموعة مبادئ الهندسة الاجتماعية لإقناع باحثين أمنيين بتنزيل ملف Visual Studio مخترق أو جذب الضحايا إلى مدونتها، وليتم بعدها تثبيت برمجية اختراق استغلال لثغرات في Chrome.
وغالبًا ما كانت هذه المحاولات تدور حول هجمات يوم الصفر، ويبدو أنها كانت تستهدف سرقة الأبحاث الدائرة حول الثغرات الأمنية.
وحدثت الموجة الأولى في يناير والثانية في مارس، واقترنت هذه بموجة جديدة من الملفات الشخصية المزيفة على وسائل التواصل الاجتماعي وبشركة وهمية لخداع الضحايا المقصودين بطريقة فعالة.
ولاحظ التقرير بأن البرمجيات الخبيثة المستخدمة في الحملة تتطابق مع ThreatNeedle، أحد المنافذ الخلفية التي طورتها Lazarus وشوهد يستهدف قطاع الصناعات الدفاعية في منتصف العام 2020.
كذلك شوهدت حملة أخرى مثيرة للاهتمام لاستغلال الثغرات في شنّ هجمات يوم الصفر، أطلق عليها اسم TurtlePower، وتستهدف الكيانات الحكومية وشركات الاتصالات في باكستان والصين، ويعتقد أنها مرتبطة بمجموعة BitterAPT. ويبدو أن أصل الثغرة، التي باتت الآن مصححة، مرتبط بـ Moses، الوسيط الذي طور ما لا يقل عن خمس برمجيات للاستغلال في العامين الماضيين، بعضها استُخدم من قبل BitterAPT وDarkHotel.
ويعد أكبر الدروس المستفادة من الربع الماضي ربما يكون مدى الخراب الذي يمكن أن تُحدثه الهجمات الناجحة التي تستهدف سلاسل التوريد، مرجّحًا أن يستغرق الأمر عدة أشهر أخرى قبل أن يتم فهم النطاق الكامل لهجوم SolarWinds.
ولفت التقريرالي ان مجتمع الأمن الرقمي بأكمله أصبح يتحدث الآن عن هذه الأنواع من الهجمات ويناقش ما يمكن فعله حيالها. وقد ذكرتنا الأشهر الثلاثة الأولى من هذا العام بأهمية تنزيل التصحيحات البرمجية على الأجهزة في أقرب فرصة ممكنة، لا سيما وأننا نرى أن عمليات استغلال ثغرات يوم الصفر ستستمر في كونها وسيلة فعالة للغاية وشائعة لدى المجموعات التخريبية الساعية لاختراق ضحاياها، حتى وإن كانت ستفعل هذا بطرق إبداعية مفاجئة، مثلما أظهرت حملة Lazarus الأخيرة".
ويوصي التقرير باتباع التدابير التالية لحماية الشركات من نشاط مجموعات التهديدات المتقدمة المستمرة:
• المسارعة إلى تثبيت تصحيحات الثغرات الأمنية المكتشفة حديثًا في أقرب فرصة ممكنة. فتنزيلها وتثبيتها يمنع جهات التهديد من استغلال هذه الثغرات.
• الحرص على إجراء تدقيق أمني منتظم للبنية التحتية التقنية المؤسسية للكشف عن الثغرات والأنظمة المعرضة للخطر.
• يمكن لقدرات إدارة الثغرات الأمنية والتصحيحات التي يتمتع بها حل حماية النقاط الطرفية endpoint protection solution أن تسهل مهام العمل بشكل كبير على مديري أمن تقنية المعلومات.
• تثبيت حلول مكافحة التهديدات المتقدمة المستمرة وحلول الكشف عن التهديدات عن النقاط الطرفية والاستجابة لها، ما يتيح القدرة على اكتشاف التهديدات والتحقيق فيها ومعالجة الحوادث في الوقت المناسب.
• الحرص على تزويد فرق العمل في مراكز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات وإكسابهم المهارات وصقلها بانتظام من خلال التدريب الاحترافي.
