آبان
اخبار
حمله‌ی خودکار با ARTEX به ConnectWise؛ وقتی هکرها از عامل هوشمند استفاده می‌کنند
مایکروسافت فاش کرد که گروه هکری Storm-0940 با کمک ابزار متن‌باز ARTEX، که با هر مدل هوش مصنوعی کار می‌کند، به سرویس ConnectWise Cloud Backup نفوذ کرده و صدها سازمان جهان را هدف گرفته است. این ماجرا نمونه‌ی تازه‌ای از ورود «عامل‌های هوشمند» به میدان حمله‌های زنجیره‌ی تامین است.
لیست مطالب
۱. ماجرا از کجا شروع شد؟
مایکروسافت در روز چهارشنبه‌ی ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر ۲۰۲۶) اعلام کرد گروهی را که با نام Storm-0940 ردیابی می‌کند، پشت نفوذ به سرویس پشتیبان‌گیری ابری ConnectWise Cloud Backup بوده است. این گروه از نظر مایکروسافت وابسته به دولت چین است. خبر را رویترز با گزارشی از خبرنگارش در دیترویت منتشر کرد و خیلی سریع در رسانه‌های امنیتی بازتاب پیدا کرد.
شرکت ConnectWise در حوزه‌ی نرم‌افزار مدیریت از راه دور و خدمات فناوری اطلاعات فعالیت می‌کند و بسیاری از شرکت‌های ارائه‌دهنده‌ی خدمات مدیریت‌شده (MSP) از محصولاتش استفاده می‌کنند. همین موضوع باعث می‌شود نفوذ به چنین شرکتی فقط یک حادثه‌ی تکی نباشد، بلکه دری به سمت مشتریان بی‌شمار آن باز کند.
۲. ARTEX چیست و چرا مهم است؟
ARTEX یک چارچوب متن‌باز برای تست نفوذ است. به گفته‌ی مایکروسافت، این ابزار می‌تواند با هر مدل هوش مصنوعی ترکیب شود و کارهای تکراری و زمان‌بر مهاجم را خودکار کند. شناسایی اولیه‌ی هدف، پیدا کردن مسیرهای دسترسی و حتی استخراج داده از جمله‌ی کارهایی است که چنین ابزاری می‌تواند بدون دخالت دقیق و لحظه‌به‌لحظه‌ی انسان انجام دهد.
نکته‌ی مهم اینجاست که ARTEX در اصل برای تیم‌های قرمز و متخصصان امنیت ساخته شده است. اما همان‌طور که در تاریخ امنیت بارها دیده‌ایم، ابزار تست نفوذ مشروع در دست مهاجم به ابزار حمله تبدیل می‌شود. فرق این بار این است که لایه‌ی تصمیم‌گیری ابزار را یک مدل زبانی بزرگ تأمین می‌کند و همین، مقیاس و سرعت کار را بالا می‌برد.
به‌عنوان یک مقایسه، پیش‌تر هم درباره‌ی ردپای همین ابزار در حمله به مؤسسات مالی کره‌ی جنوبی نوشته‌ایم. اگر آن گزارش را از دست داده‌اید، می‌توانید در گزارش هک هوشمند بانک‌های کره جنوبی و در بخش اخبار مستر چت‌جی‌پی‌تی آن را پیدا کنید.
۳. چه سازمان‌هایی هدف قرار گرفتند؟
طبق گزارش رویترز، دامنه‌ی هدف‌گیری گسترده بود. سازمان‌هایی از حوزه‌های هوافضا، دفاع، خودروسازی، شیمی، انرژی، خدمات مالی، دولت، حقوقی، تولید صنعتی، رسانه، نظامی، نیمه‌هادی، نرم‌افزار و فناوری و حتی اندیشکده‌ها و سازمان‌های غیرانتفاعی در فهرست دیده می‌شوند. این طیف نشان می‌دهد هدف مهاجمان جمع‌آوری اطلاعات راهبردی بوده و نه سودجویی مالی ساده.
درباره‌ی عدد دقیق قربانیان، منابع مختلف ارقام متفاوتی منتشر کرده‌اند. برخی خلاصه‌های خبری از حدود ۲٬۲۵۰ تننت مایکروسافت ۳۶۵ هدف‌گیری‌شده سخن گفته‌اند، در حالی که گزارش رویترز فقط از «صدها سازمان» نام می‌برد. در چنین رویدادهایی تفاوت میان «هدف‌گیری‌شده» و «واقعاً نفوذ‌شده» اهمیت زیادی دارد و باید تا انتشار گزارش‌های رسمی‌تر با احتیاط به اعداد نگاه کرد.
۴. بیشتر حمله‌ها شکست خورد، پس نگرانی چرا؟
مایکروسافت تأکید کرده که بیشتر تلاش‌های این گروه ناموفق بوده است. اما همان گزارش می‌گوید مهاجمان در بازه‌ی زمانی کوتاهی به «دسترسی ماندگار ابری» در بسیاری از سازمان‌ها رسیده‌اند. دسترسی ماندگار یعنی حتی اگر راه ورود اولیه بسته شود، مهاجم هنوز راه‌هایی برای بازگشت دارد؛ مثلاً از طریق توکن‌ها، برنامه‌های ثبت‌شده یا حساب‌های سرویس.
از دید دفاعی، مسئله‌ی اصلی نرخ موفقیت یک حمله نیست، بلکه هزینه‌ی تلاش است. وقتی عامل‌های هوشمند هزینه‌ی هر تلاش را به‌شدت پایین بیاورند، مهاجم می‌تواند هزاران تلاش را با هزینه‌ی کم امتحان کند و کافی است درصد کوچکی از آن‌ها موفق شود. همین منطق است که حمله‌های خودکار را برای مدافعان خطرناک می‌کند.
۵. واکنش ConnectWise چه بود؟
منی ریولو، مدیرعامل ConnectWise، گفت به نظر می‌رسد یک گروه وابسته به دولت چین مسئول حمله به ConnectWise Cloud Backup بوده است. شرکت اتصال‌های برنامه‌ای آسیب‌دیده را قطع کرده و در حال بازگرداندن مرحله‌ای سرویس‌هاست.
با این حال یک نکته‌ی کلیدی وجود دارد: این اقدام‌ها دسترسی‌هایی را که ممکن است از قبل در تننت‌های مشتریان ایجاد شده باشد از بین نمی‌برد. یعنی مسئولیت بررسی نهایی با هر سازمان است. مدیران امنیت باید گزارش ورود، برنامه‌های ثبت‌شده، مجوزهای اعطاشده و توکن‌های فعال را جداگانه مرور کنند.
۶. موضع چین چیست؟
سخنگوی سفارت چین در واشنگتن گفت کشورش طبق قانون با فعالیت‌های هکری مخالف است و بهانه‌کردن مسائل امنیت سایبری برای متهم کردن چین را رد می‌کند. نسبت‌دادن حمله‌های سایبری به دولت‌ها معمولاً پیچیده است و مدارک فنی آن همیشه برای عموم منتشر نمی‌شود، به همین دلیل بهتر است این بخش خبر را همراه با اتهام و پاسخ هر دو طرف دید.
۷. درس‌هایی برای شرکت‌ها و تیم‌های امنیت
کنترل دسترسی برنامه‌ها
فهرست برنامه‌ها و اتصال‌های شخص ثالث در تننت را مرتب مرور کنید. هر برنامه‌ای که دیگر نیاز نیست باید حذف شود و مجوزهای باقی‌مانده تا حد ممکن محدود بماند.
پایش رفتار، نه فقط امضا
حمله‌های خودکار با هوش مصنوعی ممکن است الگوهای تازه‌ای تولید کنند که امضاهای قدیمی نمی‌شناسند. پایش رفتار غیرعادی، مانند دسترسی‌های پشت‌سرهم در ساعات غیرمعمول، اهمیت بیشتری پیدا می‌کند.
اعتماد صفر به زنجیره‌ی تامین
اگر ارائه‌دهنده‌ی خدمات شما آلوده شود، شما هم در معرض خطر هستید. قراردادها و معماری امنیتی باید فرض کنند که هر شریک ممکن است روزی هک شود. برای آشنایی با نقش هوش مصنوعی در کسب‌وکار می‌توانید این مطلب درباره‌ی اهمیت هوش مصنوعی در کسب‌وکار را بخوانید.
خودکارسازی دفاع
اگر مهاجم عامل هوشمند دارد، مدافع هم باید پاسخ خودکار داشته باشد؛ از مسدودسازی سریع حساب‌ها تا جداسازی خودکار دستگاه‌های مشکوک. البته خود این سامانه‌ها هم باید با دقت تنظیم شوند.
۸. چرا زنجیره‌ی تامین و شرکت‌های MSP هدف جذابی هستند؟
شرکت‌های ارائه‌دهنده‌ی خدمات مدیریت‌شده معمولاً به محیط ده‌ها یا صدها مشتری دسترسی دارند. مهاجمی که یک بار به ابزار مدیریتی چنین شرکتی نفوذ کند، به‌جای حمله به هر سازمان جداگانه، از یک نقطه به شبکه‌ی مشتریان می‌رسد. به همین دلیل حمله‌های زنجیره‌ی تامین سال‌هاست در صدر تهدیدهای امنیتی قرار دارند.
وقتی این الگو با عامل‌های هوشمند ترکیب شود، مهاجم می‌تواند پس از ورود به یک سرویس مرکزی، بررسی هزاران تننت و حساب را به ابزار خودکار بسپارد. ابزار می‌تواند مجوزها را مرور کند، برنامه‌های ثبت‌شده را بسنجد و ضعیف‌ترین حلقه را پیدا کند. همین سرعت است که فرصت واکنش را برای تیم‌های امنیت کوتاه‌تر می‌کند.
برای شرکت‌هایی که از خدمات MSP استفاده می‌کنند، پیام روشن است: فقط به امنیت خودتان فکر نکنید. بپرسید شریک شما چه سطحی از دسترسی دارد، لاگ‌ها کجا ذخیره می‌شود و در صورت حادثه چه زمانی به شما اطلاع می‌دهد. داشتن برنامه‌ی پاسخ به حادثه که سناریوی هک شدن شریک را هم شامل شود، دیگر یک انتخاب لوکس نیست.
۹. هوش مصنوعی؛ شمشیر دولبه
این خبر یادآوری می‌کند که هوش مصنوعی هم توان تازه‌ای به مدافعان می‌دهد و هم به مهاجمان. در همین هفته‌ها خبرهای دیگری هم درباره‌ی محدودیت‌ها و ریسک‌های عامل‌های هوشمند منتشر شده است. اگر می‌خواهید دید روشن‌تری از توانایی‌ها و محدودیت‌های واقعی این فناوری داشته باشید، پتانسیل و محدودیت‌های هوش مصنوعی در دنیای واقعی را ببینید.
از طرف دیگر، تصور اینکه یک ابزار خودکار همه‌چیز را بدون نیاز به مهارت انجام می‌دهد هم اغراق‌آمیز است. در همین زمینه، نوشته‌ی توهم هوش مصنوعی؛ برنامه‌نویس تنها در برابر مهندس واقعی نکته‌های خوبی دارد. در امنیت هم همین قاعده برقرار است: ابزار قدرتمند، بدون تخصص انسانی، نتیجه‌ی قابل‌اعتماد نمی‌دهد.
اگر تازه با شرکت‌های بزرگ این حوزه آشنا می‌شوید، OpenAI چیست نقطه‌ی شروع مناسبی است و برای یادگیری نحوه‌ی دستور‌دادن به مدل‌ها هم آموزش نوشتن پرامپت برای مبتدیان را پیشنهاد می‌کنیم. آموزش‌های بیشتر را هم در بخش آموزش ChatGPT پیدا می‌کنید.
۱۰. پرسش‌های متداول
Storm-0940 چه گروهی است؟
نامی است که مایکروسافت برای ردیابی یک گروه هکری وابسته به دولت چین به کار می‌برد. مایکروسافت این گروه را مسئول حمله به ConnectWise Cloud Backup می‌داند، اما چین این اتهام را رد کرده است.
ARTEX دقیقاً چه کاری انجام می‌دهد؟
یک چارچوب متن‌باز تست نفوذ است که با مدل‌های هوش مصنوعی ترکیب می‌شود و کارهایی مثل شناسایی، حرکت در شبکه و استخراج داده را خودکار می‌کند.
آیا حمله موفق بود؟
بیشتر تلاش‌ها ناموفق بود، ولی مهاجمان در چند سازمان به دسترسی ماندگار ابری رسیدند. بنابراین موفقیت نسبی داشت و بررسی تننت‌ها ضروری است.
مشتریان ConnectWise چه کنند؟
گزارش‌های ورود، برنامه‌های ثبت‌شده، مجوزها و توکن‌ها را بررسی کنند و راهنمایی‌های رسمی ConnectWise و مایکروسافت را دنبال کنند، چون بازگشت سرویس به‌تنهایی دسترسی‌های احتمالی موجود را حذف نمی‌کند.
آیا هوش مصنوعی حمله‌های سایبری را خطرناک‌تر می‌کند؟
به‌طور کلی، خودکارسازی هزینه و زمان حمله را کاهش می‌دهد. همین موضوع باعث می‌شود تعداد تلاش‌ها بیشتر شود، اما دفاع هم می‌تواند با همان فناوری تقویت شود.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
