هاكرز صينيون يستغلون الذكاء الاصطناعي في هجوم سلاسل إمداد ConnectWise
اعتمدت مجموعة Storm-0940 على إطار عمل ARTEX لتنفيذ اختراق آلي سريع استهدف قطاعات حساسة، مما أثار تساؤلات حول فعالية الدفاعات التقليدية أمام التهديدات الآلية.
رضوان عبدالهاديمحرر وكاتب تقني
استخدام وكلاء الذكاء الاصطناعي في الهجوم
أعلنت مايكروسوفت في مدونة الأمن الخاصة بها أن فاعلاً مرتبطاً بالدولة الصينية، يُعرف باسم Storm-0940، استغل إطار عمل ARTEX مفتوح المصدر لتنفيذ هجوم واسع النطاق على سلسلة إمداد ConnectWise. يعتمد هذا الإطار على وكلاء مدعومين بنماذج لغة كبيرة (LLM) لإجراء اختبارات اختراق مستقلة، مما سمح للمهاجمين بتسريع عمليات المسح والاستطلاع وسوء استخدام تطبيقات OAuth بشكل كبير. ويمكن الرجوع إلى Tom's Hardware للاطلاع على التفاصيل الأصلية للمصدر.
نطاق الهجوم على مستأجري Microsoft 365
بعد الحصول على وصول غير مصرح به إلى التطبيق متعدد المستأجرين، حاولت المجموعة تسجيل الدخول إلى أكثر من 2,250 مستأجر في Microsoft 365. استغل المهاجمون بيانات اعتماد التطبيقات المسروقة من ConnectWise للمصادقة دون الحاجة إلى تفاعل مستخدم بشري. أشارت التقارير إلى أن بعض الهجمات نجحت في الوصول إلى صلاحيات إدارية متقدمة في أقل من ثلاث ساعات من بدء الاستهداف الأولي.
فشل هجمات تخمين كلمات المرور
على الرغم من استخدام تقنية رش كلمات المرور (Password Spraying) ضد 327 حساباً في ثماني منظمات، مما أدى إلى أكثر من 151,000 محاولة دخول فاشلة دون نجاح، إلا أن الاعتماد على بيانات اعتماد التطبيقات المسروحة كان العامل الحاسم. في ذروة الهجوم في 11 أكتوبر، بلغت محاولات الرش 2,900 محاولة في الدقيقة، مع تسجيل أكثر من 111,000 محاولة في ذلك اليوم، لكن 98% منها قوبلت بحظر الحسابات.
العمليات داخل المستأجرين المستهدفين
باستخدام بيانات اعتماد أربعة تطبيقات، نجح الوكلاء الآليون في تسجيل الدخول إلى مستأجري العملاء من نفس نطاق IP في أقل من أربع دقائق. شملت العمليات داخل المستأجرين تنفيذ عمليات Graph والمديرية، والاستطلاع، وتغيير بيانات اعتماد التطبيقات، وتعديل الهويات والمجموعات والأدوار المصطلحة. رصدت شركة Huntress الأمنية في أحد المستأجرين تطبيقاً يضيف نفسه إلى دور المسؤول العام، مما أدى إلى تفعيل تنبيهات Microsoft Defender.
هوية الفاعل والقطاعات المستهدفة
يُصنف Storm-0940 كفاعل مرتبط بالدولة الصينية نشط منذ عام 2021، ولا يحمل أي ألقاب صناعية معروفة. استهدف الهجوم قطاعات حساسة تشمل الفضاء والدفاع، وأشباه الموصلات، والحكومة، ومراكز الفكر، بإجمالي 14 قطاعاً. أكدت مايكروسوفت أن النشاط لم ينتج عن ثغرة في أنظمتها أو منتجاتها، بل استغل ثغرة في تطبيق الطرف الثالث.
ردود الفعل والإجراءات التصحيحية
أوقفت ConnectWise خدمات Cloud Backup وSaaS Security وCloud Management كإجراء احترازي، وبدأت عملية استعادة تدريجية متوقعة أن تستغرق عدة أيام، مؤكدة عدم وجود مؤشرات على اختراق بيانات النسخ الاحتياطي للشركاء. من جانبها، نصحت مايكروسوفت العملاء بإبقاء اتصالات التطبيقات المتأثرة معطلة حتى صدور تعليمات الاستعادة الرسمية، ومراجعة سجلات النشاط لهذا الشهر. كما أشار مطور إطار ARTEX إلى توقف المشروع عن التحديث وتحويله إلى مصدر مغلق.
المصادر
- Tom's HardwareChina-aligned hackers deploy AI agents in massive ConnectWise supply chain attack
تابع التسلسل الزمني
تغطية الكيانات المرتبطة
أخبار مرتبطة
هجوم سلاسل إمداد على ConnectWise يخترق مستأجري Microsoft 365
أوقفت ConnectWise خدمة النسخ الاحتياطي السحابي بعد اكتشاف هكرز هوية التطبيقات، مما سمح لهم بالوصول غير المصرح به إلى بيانات عملاء Microsoft 365 عبر ثغرة أمنية.
ثغرات برمجية وهجمات AI: حصاد أمني تقني لأبرز مستجدات الأسبوع
استعراض لأهم التطورات الأمنية، بدءاً من الحكم على مطور برمجيات فدية، وصولاً إلى ثغرات في SAP وهجمات ذكاء اصطناعي تستهدف بيئات التطوير.
هجمات ClickFix تتصاعد بأدوات الذكاء الاصطناعي كطُعم خادع
تشير بيانات Push Security إلى أن هجمات ClickFix تجاوزت 52% من التهديدات، مستغلة أدوات الذكاء الاصطناعي والنتائج البحثية الخبيثة لتجاوز أنظمة الأمان التقليدية.
اختراق أمني يضرب Chainalysis باستخدام تقنيات الذكاء الاصطناعي
تعرضت شركة Chainalysis لتحليل تقنيات البلوكشين لاختراق أمني استهدف أنظمتها الداخلية عبر تقنيات الذكاء الاصطناعي الوكيلية، مما أدى لتسرب بيانات عملاء.
