أداة اختراق تتحول لتهديد عالمي.. 800 نسخة مكشوفة تشعل إنذار خبراء الأمن السيبراني

كشف باحثون في مجال الأمن السيبراني عن وجود أكثر من 800 نسخة من أداة ذكاء اصطناعي صينية متخصصة في اختراق الأنظمة واختبار الثغرات الأمنية، مكشوفة على الإنترنت دون كلمات مرور، ما يتيح لأي جهة الوصول إليها، ويثير مخاوف من استغلالها في شن هجمات إلكترونية على مؤسسات وأهداف غير مستعدة.

وتحمل الأداة اسم Artex، وهي منصة مفتوحة المصدر لاختبار الاختراق بصورة مستقلة، وتعتمد على وكلاء ذكاء اصطناعي قادرين على فحص الأنظمة والشبكات تلقائيا، ورصد نقاط الضعف الأمنية، وتنفيذ مراحل متعددة من الهجمات الإلكترونية مع تدخل بشري محدود.

وظهرت الأداة علنا للمرة الأولى في يوليو الماضي، وارتبط استخدامها منذ ذلك الحين بعدد من الهجمات السيبرانية.

كما أصبحت خيارا متاحا للباحثين والمهاجمين الذين لا يستطيعون الوصول إلى نماذج الذكاء الاصطناعي المتقدمة المتخصصة في الأمن السيبراني، التي تطورها شركات مثل أنثروبيك وOpenAI، نظرا لإتاحتها مجانا وإمكانية تشغيلها على خوادم خاصة.

وكانت مايكروسوفت قد وصفت Artex سابقا بأنها منظومة من وكلاء الذكاء الاصطناعي القادرين على تنفيذ هجمات إلكترونية تبدأ بمرحلة الاستطلاع وجمع المعلومات، وصولا إلى سرقة البيانات وإخراجها من الأنظمة المستهدفة، مع الحاجة إلى قدر محدود من التدخل البشري.

أكثر من 800 نسخة مكشوفة دون كلمات مرور

وفي تقرير نشرته عبر مدونتها، قالت شركة الأمن السيبراني Censys، المتخصصة في مسح الإنترنت واكتشاف الأنظمة المكشوفة والمعرضة للاختراق، إنها رصدت أكثر من 800 نسخة مستقلة من أداة Artex يمكن الوصول إليها مباشرة عبر الإنترنت دون الحاجة إلى إدخال كلمة مرور.

وأوضح سيلاس كاتلر، الباحث الأمني الرئيسي في Censys ومعد التقرير، أن وجود هذه النسخ لا يعني بالضرورة تشغيلها جميعا لأغراض خبيثة، إذ يستخدم عدد منها في اختبارات أمنية مصرح بها.

لكنه أشار إلى أن أسباب إتاحة مئات النسخ عبر الإنترنت لا تزال غير واضحة، خصوصا أن تشغيل الأداة لا يتطلب أصلا أن تكون خوادمها متصلة بالإنترنت بصورة مفتوحة.

وتسلط هذه النتائج الضوء على مخاطر سوء إعداد أدوات الاختراق المتقدمة، إذ يمكن أن تتحول الأنظمة التي يستخدمها الباحثون أو المختبرون الأمنيون إلى أهداف متاحة للمهاجمين أنفسهم، بما يسمح لهم بالوصول إلى أدوات الهجوم والبيانات المرتبطة بالعمليات السيبرانية.

كما كشفت عمليات الفحص عن إمكانية الوصول إلى مكونات هجومية، من بينها ما يعرف باسم Implants، وهي برمجيات خبيثة مخفية تستخدم لاختراق شبكات الضحايا والحفاظ على وجود مستمر داخلها.

Artex وراء هجمات استهدفت القطاع المالي في كوريا الجنوبية

ولم تقتصر المخاطر على احتمالات إساءة استخدام النسخ المكشوفة، إذ ربطت شركات أمن سيبراني استخدام Artex بعدد من الهجمات واسعة النطاق، من بينها هجمات استهدفت القطاع المالي في كوريا الجنوبية خلال سبتمبر الماضي.

ونسبت شركة CrowdStrike الهجمات إلى مخترق يتحدث الصينية، استخدم إحدى نسخ Artex في تنفيذ عملياته، مستندة جزئيا إلى ترك المهاجم دليلا مفتوحا على الإنترنت كان يستضيف النظام.

وبحسب بيانات Censys، ظلت النسخة المستخدمة في الهجمات مكشوفة للعامة لعدة أشهر، كما بدا أنها تحتوي على بيانات ومواد مرتبطة بعمليات هجومية أوسع من مجرد استهداف البنوك الكورية الجنوبية، لتشمل شركات تعمل في مجالي المدفوعات والألعاب الإلكترونية.

اختراق ConnectWise واستهداف آلاف المؤسسات عبر سحابة مايكروسوفت

وفي تطور آخر، ارتبط استخدام Artex بهجوم استهدف شركة ConnectWise المتخصصة في خدمات دعم تكنولوجيا المعلومات خلال أكتوبر الماضي.

وأتاح الهجوم لمخترقين مرتبطين بالصين التجسس على آلاف المؤسسات التي تستضيف بياناتها وملفاتها عبر خدمات مايكروسوفت السحابية.

وقالت مايكروسوفت، التي تمكنت من متابعة تفاصيل الهجوم، في تدوينة رسمية، إن المهاجمين استخدموا Artex لاختراق البيئات السحابية الخاصة بالعملاء وسرقة بياناتهم بسرعة كبيرة، إلى درجة لم تترك للفرق الأمنية سوى وقت محدود للغاية لاكتشاف الاختراق والتعامل معه.

وأضافت الشركة أن سرعة تنفيذ العمليات الهجومية شكلت تحديا كبيرا أمام المدافعين، بسبب قدرة الأداة على أتمتة مراحل متعددة من الهجوم وتقليل الوقت اللازم لتنفيذها.

كلمات مرور ضعيفة وغياب المصادقة متعددة العوامل وراء الاختراقات

ورغم التطور التقني الذي تتمتع به أداة Artex، فإن عددا من الهجمات المرتبطة بها اعتمد على استغلال ثغرات أمنية بسيطة نسبيا، مثل تخمين كلمات المرور الضعيفة أو المعروفة مسبقا، واستهداف الأنظمة التي لا تستخدم المصادقة متعددة العوامل MFA.

وتكشف هذه الهجمات أن امتلاك أدوات اختراق متقدمة لا يعني بالضرورة الاعتماد على ثغرات معقدة، إذ يمكن أن تكون أخطاء الإعداد الأمني وضعف إجراءات الحماية كافية لفتح الطريق أمام المهاجمين.

كما تؤكد النتائج أن سوء تأمين أدوات الاختراق نفسها قد يحولها إلى مصدر تهديد إضافي، سواء من خلال كشف بنيتها الداخلية أو إتاحة الوصول إلى البيانات والأنظمة المرتبطة بها.

Artex تتحول إلى نموذج مغلق المصدر

وفي أعقاب هذه التطورات، أعلنت الجهة المطورة لأداة Artex التوجه نحو تحويلها إلى برنامج مغلق المصدر، بما يحد من إتاحة الإصدارات الجديدة ويقصر الوصول إليها على العملاء الذين يدفعون مقابل استخدامها.

ومع ذلك، لا تزال عشرات النسخ من الشيفرة المصدرية للأداة متاحة على منصات مشاركة الأكواد البرمجية، وهو ما يعني استمرار إمكانية استخدامها في تنفيذ هجمات إلكترونية، حتى مع تغيير سياسة توزيعها الرسمية.