نصائح هامة للحماية من اختراقات «مجموعات التهديدات المتقدمة»

تحرص مجموعات التهديدات المتقدمة المستمرة، التي تقوم بشن الهجمات الإلكترونية الرئيسية عبر الإنترنت، على تغيير أساليبها باستمرار وتحديث أدواتها وإطلاق موجات جديدة من نشاطها التخريبي.
وقد أدت ثغرة أمنية في مايكروسوفت Microsoft Exchange Server إلى شنّ هجمات وحملات واسعة في أوروبا وروسيا والولايات المتحدة.
ومؤخرا كشف فريق البحث والتحليل العالمي التابع لكاسبرسكي ااعاانية، عن تقارير ربع سنوية حول أهم التطورات في مشهد التهديدات المتقدمة المستمرة، من أجل إبقاء المستخدمين والمؤسسات على علم بأحدث التهديدات التي يواجهونها.
وقد لاحظ الفريق في الربع الأول من العام الجاري، حدوث موجتين كبيرتين من النشاط التخريبي، تمثلت الأولى باختراق SolarWinds، وتحديدًا برمجيتها Orion IT الخاصة بمقدمي خدمات تقنية المعلومات المدارة والتي تعمل على مراقبة البنى التحتية التقنية، لتركيب منفذ خلفي مخصص يعرف باسم Sunburst على شبكات أكثر من 18,000 عميل، بينهم العديد من الشركات الكبيرة والهيئات الحكومية في أمريكا الشمالية وأوروبا والشرق الأوسط وآسيا.
ولاحظ باحثو كاسبرسكي، عند فحص المنفذ الخلفي بدقة، أوجه تشابه مع المنفذ الخلفي المعروف من قبل والمسمى Kazuar، والذي رُصد لأول مرة في العام 2017 وجرى ربطه مبدئيًا بمجموعة Turla سيئة السمعة. ما يُشير إلى وجود رابط محتمل بين الجهات التخريبية القائمة وراء Kazuar وSunburst.
أما الموجة التخريبية الثانية فجاءت مدفوعة بعمليات استغلال لثغرات في Microsoft Exchange Server جرى تصحيحها لاحقًا في شنّ هجمات بلا انتظار (يوم الصفر).
وفي بداية شهر مارس، شوهدت مجموعة تخريبية جديدة تُعرف بالاسم HAFNIUM تستغل هذه الثغرات لشن سلسلة من الهجمات المحدودة والموجهة. وجرى خلال الأسبوع الأول من شهر مارس، تمّ استهداف ما يقرب من 1,400 خادم لشن هجمات استغلال للثغرات، معظمها في أوروبا والولايات المتحدة.
ويبدو أن مجموعات متعددة باتت تستغل هذه الثغرات الآن، نظرًا لتكرار استهداف بعض الخوادم عدة مرات.
وفي منتصف شهر مارس، اكتشفت كاسبرسكي حملة أخرى تستخدم الثغرات نفسها في استهداف جهات في روسيا.
وأظهرت هذه الحملة بعض الروابط مع HAFNIUM، بالإضافة إلى مجموعات تخريبية أخرى معروفة سابقًا كانت كاسبرسكي تحقق فيها.
كذلك أُبلغ عن مجموعة جديدة من الأنشطة التخريبية التي نفذتها مجموعة Lazarus سيئة السمعة، واستغلت فيها بدورها الثغرات في شن هجمات يوم الصفر. وفي هذه المرة،
واستخدمت المجموعة مبادئ الهندسة الاجتماعية لإقناع باحثين أمنيين بتنزيل ملف Visual Studio مخترق أو جذب الضحايا إلى مدونتها، وليتم بعدها تثبيت برمجية اختراق استغلال لثغرات في Chrome.
وغالبًا ما كانت هذه المحاولات تدور حول هجمات تسمى "يوم الصفر" ، ويبدو أنها كانت تستهدف سرقة الأبحاث الدائرة حول الثغرات الأمنية.
وقد حدثت الموجة الأولى في يناير والثانية في مارس، واقترنت هذه بموجة جديدة من الملفات الشخصية المزيفة على وسائل التواصل الاجتماعي وبشركة وهمية لخداع الضحايا المقصودين بطريقة فعالة.
ولاحظ باحثو كاسبرسكي بأن البرمجيات الخبيثة المستخدمة في الحملة تتطابق مع ThreatNeedle، أحد المنافذ الخلفية التي طورتها Lazarus وشوهد يستهدف قطاع الصناعات الدفاعية في منتصف العام 2020.
كذلك شوهدت حملة أخرى مثيرة للاهتمام لاستغلال الثغرات في شنّ هجمات يوم الصفر، أطلق عليها اسم TurtlePower، وتستهدف الكيانات الحكومية وشركات الاتصالات في باكستان والصين، ويعتقد أنها مرتبطة بمجموعة BitterAPT.
ويبدو أن أصل الثغرة، التي باتت الآن مصححة، مرتبط ب Moses، الوسيط الذي طور ما لا يقل عن خمس برمجيات للاستغلال في العامين الماضيين، بعضها استُخدم من قبل BitterAPT وDarkHotel.
ورأى أرييل جونغيت الباحث الأمني الأول في فريق البحث والتحليل العالمي لدى كاسبرسكي، أن أكبر الدروس المستفادة من الربع الماضي ربما يكون مدى الخراب الذي يمكن أن تُحدثه الهجمات الناجحة التي تستهدف سلاسل التوريد، مرجّحًا أن يستغرق الأمر عدة أشهر أخرى قبل أن يتم فهم النطاق الكامل لهجوم SolarWinds.
وقال: "يسرنا أن مجتمع الأمن الرقمي بأكمله أصبح يتحدث الآن عن هذه الأنواع من الهجمات ويناقش ما يمكن فعله حيالها. وقد ذكرتنا الأشهر الثلاثة الأولى من هذا العام بأهمية تنزيل التصحيحات البرمجية على الأجهزة في أقرب فرصة ممكنة، لا سيما وأننا نرى أن عمليات استغلال ثغرات يوم الصفر ستستمر في كونها وسيلة فعالة للغاية وشائعة لدى المجموعات التخريبية الساعية لاختراق ضحاياها، حتى وإن كانت ستفعل هذا بطرق إبداعية مفاجئة، مثلما أظهرت حملة Lazarus الأخيرة".
ويلخص تقرير كاسبرسكي بشأن توجّهات التهديدات المتقدمة المستمرة في الربع الأول نتائج تقارير معلومات التهديدات الخاصة بالمشتركين في خدمة كاسبرسكي، والتي تتضمن أيضًا بيانات مؤشرات الاختراق وقواعد YARA، للمساعدة في التحقيقات الجنائية والبحث عن البرمجيات الخبيثة.
ويوصي خبراء كاسبرسكي باتباع التدابير التالية لحماية الشركات من نشاط مجموعات التهديدات المتقدمة المستمرة..
المسارعة إلى تثبيت تصحيحات الثغرات الأمنية المكتشفة حديثًا في أقرب فرصة ممكنة. فتنزيلها وتثبيتها يمنع جهات التهديد من استغلال هذه الثغرات.
الحرص على إجراء تدقيق أمني منتظم للبنية التحتية التقنية المؤسسية للكشف عن الثغرات والأنظمة المعرضة للخطر..
يمكن لقدرات إدارة الثغرات الأمنية والتصحيحات التي يتمتع بها حل حماية النقاط الطرفية endpoint protection solution أن تسهل مهام العمل بشكل كبير على مديري أمن تقنية المعلومات.
تثبيت حلول مكافحة التهديدات المتقدمة المستمرة وحلول الكشف عن التهديدات عن النقاط الطرفية والاستجابة لها، ما يتيح القدرة على اكتشاف التهديدات والتحقيق فيها ومعالجة الحوادث في الوقت المناسب.
الحرص على تزويد فرق العمل في مراكز العمليات الأمنية بإمكانية.
إقرأ أيضاً .. أقسام الشرطة الأمريكية في مرمى الهجمات الإلكترونية