خمسون دولارًا تسقط الإنترنت: كيف أصبح الاختراق أرخص من قهوة، وأغلى من كل الدفاعات

«أكتوبر الأسود»: حين صار اختراق الإنترنت أرخص من فنجان قهوة

بقلم محمد ضياء الدين بديوي

هذا ما صنعته ايديتا ؟

ام ما قدمته للبشرية عقولنا ؟؟

في أكتوبر من العام ألفين وستة وعشرين لم تواجه البنية التحتية الرقمية ثغرة واحدة بل سلسلة حوادث متزامنة وُصفت بأنها قد تكون الأسوأ في تاريخ الأمن السيبراني فجمعت هذه الموجة بين ثلاثة عناصر: وكلاء ذكاء اصطناعي يخترقون المواقع بالجملةوثغرة حرجة في لغة برمجة تعتمد عليها أغلب مواقع الإنترنت بلعالم وسلاسل توريدوبرمجية تنهار بسبب مفاتيح لم تُبطل أبدًا….

والخلاصة المركزية أن ما جعل أكتوبر الأسود هو تحوّل الاختراق من مهارة بشرية مكلفة إلى عملية آلية رخيصة إذ انخفضت كلفةالاختراق الواحد إلى نحو خمسين دولارًاوباتت المؤسسات أمام خصم لا ينام ولا يطلب راتبًا ويعمل بالتوازي

من الاختراق الفردي إلى صناعة الاختراق فهذا

التحول الجوهري في هذا السيناريو ليس تقنيًا فحسب بل اقتصادي ايضا فقبل الذكاء الاصطناعي كان الاختراق يتطلب مهارة بشرية ووقتًا وتكلفة عالية أما في أكتوبر الأسود فقد استخدم مهاجم إطارًا مفتوح المصدر يوزع وكلاء ذكاء اصطناعي مستقلين على أهداف متعددةوينشر كل وكيل ما يجده على لوحة مشتركة يمكن لبقية الوكلاء والمشغل البشري قراءتها وإضافة تلميحات إليها. بهذه الطريقة هاجم أكثر من ألف ومئتي موقع واخترق أكثر من مئة منها بتكلفة إجمالية نحو خمسة آلاف دولارأي ما يعادل خمسين دولارًا لكل اختراق ناجح وبمتوسط ثلاث وعشرين ساعة من العمل الآلي شبه الكامل.

فهذا التصميم يفسر لماذا أصبح الهجوم قابلًا للتوسع؟

لم يعد المهاجم بحاجة إلى اختراق موقع تلو الآخر بل إلى تشغيل جيش من الوكلاء يعملون في الوقت نفسه وقد جرب هؤلاء الوكلاء تقنيات كلاسيكية مثل حقن قواعد البيانات ورفع الملفات غير الآمن وزرعوا قواقع ويب للحفاظ على وصول دائم إلى أنظمة الدفع والمتاجر وتشير المعطيات إلى أن النصف الثاني من العام شهد زيادة بمقدار ثلاثة أضعاف في الاختراقات التي ينفذها وكلاء ذكاء اصطناعي مقارنة بالنصف الأول من العام كما كشفت إحدى شركات الذكاء الاصطناعي عن حوادث قام فيها وكلاء تابعون لها بتعطيل تنبيهات الأمان أو إزالة تكاملات المراقبة أثناء إصلاح أكوادثم أخبروا المستخدم بشكل غير صحيح أنهم لم يفعلوا ذلك واستخدم الباحثون نماذج متقدمة لاكتشاف ثغرات حرجة في لغة البرمجة كانت موجودة منذ أكثر من عقدما مكّن المهاجمين من بدء محاولات الاستغلال في غضون ساعات من الإفصاح عنها.

 

إن ثغرة بي إتش بي تو شل هي الخطر في قلب الإنترنت

كانت ثغرة بي إتش بي تو شل الحدث الأبرز في أكتوبر الأسود وهي ثغرتان حرجتان في نواة لغة البرمجة الشهيرة كُشف عنهما في الحادي والعشرين من أكتوبروأُطلق عليهما هذا الاسم تشبيهًا بثغرة لوج فور شل الشهيرةوتصنفان بدرجة خطورة تسع من عشر.

و خطورتهما لا تنبع فقط من كونهما تسمحان بتنفيذ أوامر عن بُعد ابدا وبل من أنهما تُستغلان أثناء تحليل اللغة للطلب قبل تشغيل أي كود للتطبيق وهذا يعني أن أي خادم غير مُحدَّث يستقبل طلبات إرسال نماذج متعددة الأجزاء يكون عرضة للاختراق دون الحاجة لتسجيل دخول أو وجود خطأ في التطبيق نفسه وتشير التقديرات إلى أن أكثر من اثنين وعشرين مليونًا وستمئة ألف نظام مكشوف على الإنترنت قد يكون عرضة لها علماً بأن هذه اللغة تعتمد عليها حوالي سبعين في المائة من مواقع الإنترنت..

 

آلية الثغرة الأولى تعتمد على إفساد الذاكرة عند نفادها في منتصف معالجة الطلب إذ تترك الذاكرة في حالة نصف مهيأة ويتحكم المهاجم في توقيت نفادها عبر محلل النماذج متعددة الأجزاءوأما الآلية الثانية فتعتمد على الحالة العامة البالية إذ إن طلبًا يموت في اللحظة الخطأبسبب خطأ فادح أو مهلة أو نفاد ذاكرةقد يترك حالة في عامل اللغة ويستطيع الطلب التالي الذي يعالجه العامل نفسه قراءة هذه الحالة بعد تحريرها. ومسار تقدم تحميل الجلسة هو أحد المسارات التي تقرأ هذه الحالةولهذا يظهر هذا الحقل في محاولات الاستغلال.

 

ودفعت الثغرة دولًا مثل فنلندا وهولندا وفرنسا إلى إيقاف مواقع حكومية عن العمل مؤقتًاوأوصت وكالة الأمن القومي الأمريكية المؤسسات التي لا تستطيع الترقية الفورية بإيقاف مواقعها عن الإنترنت.

خريطة الحوادث المتزامنة

لم تكن الثغرة حادثة معزولة بل تزامنت مع سلسلة اختراقات شكلت مجتمعةً أكتوبر الأسودفقد استخدمت مجموعة مدعومة من الصين إطارًا آليًا متعدد الوكلاءمع بيانات اعتماد مسروقة لتطبيق إدارة تقنية لمحاولة تسجيل الدخول إلى أكثر من ألفين ومئتين وخمسين مستأجرًا بمعدل ألفين وتسعمئة محاولة في الدقيقة وكان الأمر خطيرًا لأن المهاجم سجل الدخول عبر تطبيقات كان المستأجرون قد فوّضوها مسبقًافلم يحتج أي مستخدم لتسجيل الدخول ثم استخدم واجهات مايكروسوفت للتنقل وتغيير بيانات الاعتماد وإضافة أدوار مميزة.

وفي حادثة ثانية تعرضت مكتبة برمجية وسيطة لنماذج اللغة الكبيرةيبلغ عدد تنزيلاتها الأسبوعية نحو ثلاثة وعشرين مليونًا، لاختراق سلسلة توريدفقد رُفع ملف إعدادات إلى مستودع عام يحتوي عن طريق الخطأ على مفتاح رئيسي للمنصة ولم يُبطل هذا المفتاح أبدًا. ثم استخدم المهاجم هذا المفتاح للوصول إلى المنصة واستخراج رمز وصول لحساب مالك المؤسسة على منصة استضافة الشيفرة مما منحه وصولًا كاملًا لجميع المستودعات وبعد ذلك نُشر إصدار خبيث عبر خط إصدار المشروع نفسه في مستودعات الحزم والحاويات وكان مزودًا ببرمجية خبيثة تسرق بيانات الاعتماد السحابية والمفاتيح الخاصة وبيانات المتصفح، وبباب خلفي.

وفي حادثة ثالثة اكتشفت منصة استضافة نشاطًا شاذًا في الأنظمة التي تخزن متغيرات البيئة للعملاءوربما تمكن طرف ثالث غير مصرح له من الوصول إلى متغيرات مشفرةوفي بعض الحالات الحصول على محتوياتها بعد فك التشفير مما قد يعرض مفاتيح واجهات البرمجة وكلمات مرور قواعد البيانات وبيانات اعتماد السجلات الخاصة ونصحت الشركة جميع المستخدمين بتدوير مفاتيحهم وأوقفت عمليات النشر مؤقتًا للتحقيق.

وفي حادثة رابعة أنشأت جهة إصدار شهادات هندية ثماني شهادات وسيطة بمفاتيح خاصة ضعيفة بشكل كارثي فبينما تحتوي المفاتيح الخاصة عادةً على عشرات الأرقام كانت مفاتيح هذه الجهة عبارة عن أعداد صحيحة أقل من مئتين وستة وخمسين وأحدها كان ببساطة الرقم أربعةتمكن باحث من استعادة جميع المفاتيح الثمانية في أقل من ثانية على حاسوبه المحمول. ويمكن لأي شخص استخدام هذه المفاتيح لتزوير شهادات لمواقع شرعيةقامت المتصفحات الكبرى بحظر الشهادات في غضون أيام وأعلنت الجهة لاحقًا انسحابها بالكامل من أعمال شهادات النقل الآمن.

مؤشرات التصاعد القياسي

تتوافق هذه الحوادث مع اتجاهات تصاعدية مسجلة خلال العام.. فقد أشار تقرير متخصص إلى زيادة بنسبة ثلاثمئة وتسعة وثمانين في المائة في ضحايا برامج الفدية على أساس سنوي مدفوعة بأتمتة الذكاء الاصطناعي. وسجل تقرير آخر زيادة بنسبة تسعة وثمانين في المائة في الهجمات المدعومة بالذكاء الاصطناعي مع انخفاض وقت الاختراق إلى تسع وعشرين دقيقة فقط. وأشار تقرير ثالث إلى أن الهجمات المدفوعة بالذكاء الاصطناعي زادت بنسبة ستة وخمسين في المائة وأن أربعة وأربعين في المائة من الهجمات بدأت باستغلال تطبيقات مواجهة للإنترنت.

الكشف الميداني: سؤالان لا سؤال واحد

عند تقييم الخطر يجب التمييز بين سؤالين مختلفين:

هل الخادم عرضة للثغرة؟

وهل تم اختراقه بالفعل؟

الطريقة الأكيدة لفحص التعرض هي التحقق من إصدار لغة البرمجة العامل على الخادم الإصدارات المُصلحة هي الثامن فاصلة خمسة فاصلة اثنا عشروالثامن فاصلة أربعة فاصلة سبعة وعشرين والثامن فاصلة ثلاثة فاصلة ستة وثلاثين والثامن فاصلة اثنين فاصلة خمسة وثلاثين. أي إصدار أقدم، بما في ذلك الثامن فاصلة واحد وما دونه يعتبر عرضة للخطر ويمكن استخدام أدوات فحص مفتوحة المصدر للفحص السريع أو الفحص النشط أو الفحص عن بُعد عبر ترويسات الشبكة. ويجب التنبيه إلى أن إخفاء إصدار اللغة لا يعني أن الخادم آمن بل يعني فقط أن الفحص عن بُعد لن يتمكن من قراءة الإصدار.

أما البحث عن مؤشرات الاختراق فيشمل تفتيش سجلات الوصول عن طلبات إرسال نماذج متعددة الأجزاء تحتوي على حقل تقدم تحميل الجلسةخاصة إذا تزامنت مع أخطاء ذاكرة أو تعطل مفاجئ لعمال اللغة. ويشمل أيضاً البحث في سجلات الأخطاء عن آثار تنفيذ أوامر نظام مثل معرفة هوية المستخدم أو اسم النظام أو تنزيل ملفات أو الانتقال إلى مجلدات مؤقتة. وينبغي البحث في مجلدات الموقع عن ملفات برمجية غريبة أو معدلة حديثًاأو تحتوي على دوال تنفيذ الأوامركما ينبغي التحقق من وجود عمليات غير معروفة بدأها مستخدم خادم الويب، أو اتصالات صادرة إلى عناوين مشبوهة، أو مهام مجدولة جديدةأو مستخدمين أو مفاتيح دخول آمن أضيفت مؤخرًاوهي علامات على تثبيت باب خلفي.

بروتوكول الاستجابة: أربع مراحل

إذا تم اكتشاف اختراق بالفعل فإن الاستجابة الفعالة تتطلب تسلسلًا منظمًا.

 

المرحلة الأولى هي الاحتواء والعزل الفوري إذ يجب عزل الخادم عن الشبكة الداخلية والإنترنت فورًا دون إيقاف تشغيله، لتجنب فقدان أدلة الذاكرةثم تغيير جميع كلمات المرور ومفاتيح الدخول الآمن وبيانات الاعتماد المرتبطة بالخادم. وإيقاف الخدمات غير الضرورية لتقليل مساحة الهجوم.

المرحلة الثانية هي جمع الأدلة الجنائية قبل التطهير إذ يجب حفظ نسخة من الذاكرة العشوائية للخادم والاحتفاظ بسجلات النظام والوصول واللغة وأخذ لقطة كاملة من نظام الملفات وقاعدة البيانات ولا ينبغي البدء بأي عملية تطهير أو تحديث قبل تأمين هذه الأدلة.

المرحلة الثالثة هي التطهير والاستعادة والخيار الأفضل هو إعادة بناء الخادم من الصفر، ثم استعادة التطبيقات والبيانات من نسخة احتياطية معروفة بأنها نظيفة. ولا يُنصح بمحاولة تنظيف خادم مخترق لأن المهاجم قد يترك أبوابًا خلفية خفية وبعد إعادة البناء يجب تثبيت إصدار اللغة المُصلح وإعادة تشغيل الخدمات.

المرحلة الرابعة هي التحصين والمراقبة المستمرةإذ يجب تفعيل التسجيل المعززوتطبيق مبدأ أقل صلاحية ممكنة، ونشر أدوات المراقبة لاكتشاف أي نشاط مشبوه، واختبار خطة النسخ الاحتياطي والاستعادة بانتظام.

تدابير الحماية: ثلاث طبقات

الطبقة الأولى هي التحديث الفوري فهو العلاج الوحيد الكامل للثغرةالإصدارات المُصلحة هي الثامن فاصلة اثنين فاصلة خمسة وثلاثين والثامن فاصلة ثلاثة فاصلة ستة وثلاثين، والثامن فاصلة أربعة فاصلة سبعة وعشرين والثامن فاصلة خمسة فاصلة اثنا عشرولا توجد تحديثات للثامن فاصلة واحد أو أقدم. وإذا تعذر التحديث توصي وكالة الأمن القومي الأمريكية بإيقاف النظام عن الإنترنت حتى يتم تخفيفه بالكامل مع إجراءات مؤقتة مثل تعطيل تقدم تحميل الجلسةوتعطيل تتبعات الأخطاء الفادحةوضبط حد الذاكرة حيثما أمكن. ويمكن لجدار الحماية التطبيقي أن يقلل التعرض لكنه لا يضمن أن كل طلب يمر عبره.

الطبقة الثانية هي تأمين وكلاء الذكاء الاصطناعي وذلك بمنح كل وكيل أو أداة بيان قدرات يحدد الإجراءات المسموح بها فقط ومنع كل ما عداها افتراضيًا. وتشغيل الوكلاء في بيئات معزولة لمنعهم من إجراء استدعاءات نظام غير مصرح بها. وتسجيل كل إجراء يقوم به الوكيل وتفعيل اكتشاف الحالات الشاذة مثل استدعاءات واجهات البرمجة غير المصرح بها

الطبقة الثالثة هي تأمين سلسلة التوريد البرمجيةوذلك بعدم ترك مفاتيح رئيسية في مستودعات عامة أبدًا، وإبطالها فورًا عند الاشتباه. واستخدام توقيعات التشفير وتتبع مصدر البرمجيات للتحقق من عدم العبث بالحزم. ومراجعة أذونات حسابات الخدمة ورموز خطوط الإصدار الآلي وتطبيق مبدأ أقل صلاحيةلأن الرمز الذي سُرق في إحدى الحوادث كان مرتبطًا بحساب مالك المؤسسة وغير مقيد الصلاحيات.

 

إن أكتوبر الأسود لم يكن ثغرة واحدةبل كان لحظة كشف عن هشاشة متراكمة: بنية تحتية قديمة تحمل ثغرات عميقة وسلاسل توريد برمجية تعتمد على مفاتيح لم تُبطل أبدًاوجهات إصدار شهادات تنتج مفاتيح يمكن تخمينها في ثانية.

والدرس المركزي أن الذكاء الاصطناعي أعاد تسعير الاختراق فحين تصبح كلفة اختراق موقع خمسين دولارًاوتستغرق أقل من يوم فإن الأمن السيبراني لم يعد مسألة جدران حماية فقط وبل مسألة حوكمة تقنية:

تحديث فوري،وإدارة صارمة للأسرار ومراقبة سلوك الوكلاء الآليين، وتأمين سلاسل التوريد. أما المؤسسات التي تكتفي بالدفاعات التقليديةفستجد نفسها أمام خصم لا ينام ولا يطلب راتبًا ويكلفته لكل اختراق أقل من ثمن وجبة سريعة.

نتابع بعد فترة