كشفت أبحاث أمنية حديثة أن مجموعة التهديد السيبراني المرتبطة بالصين والمعروفة باسم Storm-0940 قد استخدمت إطار عمل اختبار الاختراق المدعوم بالذكاء الاصطناعي الوكيلي والمسمى ARTEX لتنفيذ هجمات واسعة النطاق استهدفت مئات المنظمات حول العالم عبر مختلف القطاعات الصناعية. وقد أسفرت هذه الهجمات الآلية في عدة حالات عن حصول الجهة المهاجمة على صلاحيات وصول مميزة للبنية التحتية السحابية للضحايا، حيث لم تتجاوز المدة الزمنية من مرحلة الاستهداف الأولي وحتى نيل صلاحيات الوصول المميزة ثلاث ساعات فقط في بعض الحالات.
وأوضحت المعطيات التقنية أن النشاط الضار ارتبط بشكل مباشر بحادثة اختراق سلسلة توريد التطبيقات متعددة المستأجرين لشركة ConnectWise، والتي تم الإعلان عنها مؤخراً. وتُظهر هذه التطورات كيف بدأت مجموعات التهديد تدمج أنظمة الذكاء الاصطناعي الوكيلي في دورات عمل الأمان الهجومي التقليدية لمضاعفة عملياتها بشكل كبير، متجاوزة القيود البشرية من خلال العمل المستمر على مدار الساعة ومحاولة اختراق مسارات متعددة في آن واحد.
آلية الهجوم وسرعة التنفيذ عبر إطار ARTEX
يُعد إطار عمل ARTEX نظاماً متعدد الوكلاء يعتمد على نماذج اللغة الكبيرة ومكتوباً بلغة Go مع واجهة مستخدم تعتمد على Next.js، حيث يمكنه تنفيذ اختبار اختراق ذاتي بالكامل بدءاً من مرحلة الاستطلاع ووصولاً إلى استخراج البيانات دون تدخل بشري يذكر. وفي حادثة ConnectWise، استغلت مجموعة Storm-0940 هذا الإطار لتسريع عمليات الفحص والاستطلاع، ورش كلمات المرور، واستسقاء التطبيقات عبر واجهة برمجة التطبيقات OAuth.
- هجمات رش كلمات المرور: نفذت البنية التحتية للمهاجمين حملة آلية استهدفت 327 حساباً عبر 8 منظمات للوصول إلى Microsoft 365 وExchange Online، مسجلة آلاف محاولات المصادقة الفاشلة بمعدلات قياسية وصلت إلى 2,900 فشل في الدقيقة الواحدة.
- استغلال بيانات اعتماد التطبيقات: بعد السيطرة على هويات تطبيقات سحابية متعددة تابعة لـ ConnectWise، استخدم وكلاء الذكاء الاصطناعي نفس نطاق عناوين بروتوكول الإنترنت للمصادقة على بيئات العملاء دون الحاجة إلى تفاعل بشري.
- الأنشطة اللاحقة: تضمن ذلك عمليات استطلاع عبر Microsoft Graph وتعديلات على بيانات اعتماد التطبيقات لضمان الاستمرارية وتغيير الأدوار والصلاحيات المميزة.
ما الذي يتغير عملياً للمؤسسات؟
تمثل هذه الهجمات تحولاً نوعياً في سرعة وحجم التهديدات السيبرانية؛ فالاعتماد على الوكلاء الآليين يقلل بشكل جذري من الوقت المتاح للمدافعين لاكتشاف الاستجابة والتصدي للهجوم مقارنة بالأساليب اليدوية التقليدية. ورغم أن مجرد وجود التطبيق المتأثر أو حدوث مصادقة لا يعني بالضرورة تسرب بيانات العملاء، إلا أن تعديلات بيانات اعتماد الخدمة يمكن أن تترك أبواباً خلفية نشطة حتى بعد معالجة التطبيق الأصلي.
إرشادات التخفيف والحماية التقنية
أوصت الجهات الأمنية باتخاذ خطوات فورية لاحتواء المخاطر وتأمين البنى التحتية المتضررة عبر الإجراءات التالية:
- إبقاء اتصالات تطبيقات ConnectWise المتأثرة معطلة لحين صدور توجيهات رسمية بالاستعادة من الشركة المزودة.
- الامتناع عن حذف تطبيقات المؤسسات كاستجابة أولية، والتركيز على حفظ سجلات التهيئة والأدلة الجنائية.
- مراجعة هويات مديري الخدمة ومعرفات التطبيقات الأربعة المرتبطة بالحادثة في كل مستأجر لـ Microsoft 365.
- فحص سجلات تدقيق Microsoft Entra وسجلات Microsoft Purview بحثاً عن أي إضافات غير معتادة لبيانات الاعتماد أو صلاحيات الأدوار المميزة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.