از فایروال آسیب‌پذیر تا سرقت داده با هوش مصنوعی؛ مهم‌ترین تحولات امنیت سایبری 27 مهر

گزارش تحلیلی امنیت سایبری ۱۹ اکتبر ۲۰۲۶؛ بررسی آسیب‌پذیری SiteGuard و روترهای Broadcom، بدافزار TikaBeekah Bot و تهدیدهای هوش مصنوعی. بهراد یوسفی

بهره‌برداری از آسیب‌پذیری فایروال SiteGuard، نقص قدیمی در روترهای مبتنی بر فناوری Broadcom، گسترش چارچوب MITRE ATT&CK برای تهدیدهای هوش مصنوعی و شناسایی بدافزاری که از Discord برای دریافت فرمان استفاده می‌کند، از مهم‌ترین موضوعات امنیت سایبری در گزارش روزانه ۱۹ اکتبر ۲۰۲۶ هستند.

نویسنده:

بهراد یوسفی

دانلود ویدیو

فیلم اصلی

مجموعه‌ای از تحولات تازه در امنیت سایبری نشان می‌دهد که خطرات دیجیتال فقط به آسیب‌پذیری‌های جدید یا حملات پیچیده محدود نیستند. یک قابلیت فعال در ابزار امنیتی می‌تواند به نقطه ورود مهاجم تبدیل شود، نقصی قدیمی ممکن است سال‌ها در تجهیزات شبکه باقی بماند و حتی یک سرویس گفت‌وگوی آنلاین یا عامل هوش مصنوعی سازمانی می‌تواند در زنجیره حمله مورد سوءاستفاده قرار بگیرد. این تحولات بار دیگر اهمیت مدیریت آسیب‌پذیری‌ها، بررسی شواهد پیش از پاک‌سازی سامانه‌های آلوده و بازنگری در شیوه استفاده سازمان‌ها از هوش مصنوعی را برجسته می‌کنند.

فایروالی که می‌تواند به نقطه ورود مهاجم تبدیل شود

یکی از مهم‌ترین موضوعات این گزارش، سوءاستفاده مهاجمان از آسیب‌پذیری نسخه سرور SiteGuard است؛ یک فایروال اپلیکیشن وب (WAF) ژاپنی که برای محافظت از برنامه‌های تحت وب طراحی شده و مستقیماً روی سرور محافظت‌شونده اجرا می‌شود.بر اساس گزارش ارائه‌شده، این آسیب‌پذیری در قابلیت آمارگیری محصول قرار دارد؛ قابلیتی که به‌طور پیش‌فرض فعال است. مهاجمی که از قبل به نوعی دسترسی اولیه به سامانه پیدا کرده باشد، می‌تواند از این نقص برای اجرای فرمان با سطح دسترسی بسیار بالا، از جمله دسترسی ریشه (root) در محیط‌های مبتنی بر یونیکس یا لینوکس، یا دسترسی سیستمی (SYSTEM) در ویندوز استفاده کند.این تفاوت مهمی است: طبق توضیحات موجود، آسیب‌پذیری لزوماً به هر فردی در اینترنت اجازه نمی‌دهد مستقیماً و بدون هیچ پیش‌شرطی سرور را تصاحب کند؛ بلکه می‌تواند دسترسی اولیه مهاجم را به کنترل گسترده‌تری بر سامانه تبدیل کند. چنین سطح دسترسی‌ای ممکن است امکان دست‌کاری فایل‌ها، سرقت اطلاعات، ایجاد ماندگاری در سامانه یا غیرفعال‌کردن برخی کنترل‌های امنیتی را فراهم کند.نکته حساس‌تر، ترتیب اقدامات هنگام پاسخ‌گویی به حادثه است. در گزارش هشدار داده شده که نصب وصله ممکن است شواهدی را که برای بررسی نفوذ لازم هستند، از بین ببرد. به همین دلیل، تیم‌های امنیتی باید پیش از هرگونه اقدام پاک‌سازی یا تغییر در سامانه، داده‌های تشخیصی و شواهد مرتبط را حفظ کنند؛ البته این کار باید با در نظر گرفتن فوریت مهار حمله انجام شود. نکته کاربردی برای سازمان‌ها: اگر از SiteGuard یا محصولات مشابه استفاده می‌کنید، صرف نصب وصله را معادل پایان حادثه در نظر نگیرید. وضعیت نسخه محصول، زمان و نشانه‌های احتمالی دسترسی غیرمجاز، گزارش‌های سامانه و تغییرات غیرعادی در حساب‌های دارای دسترسی بالا نیز باید بررسی شوند. جزئیات دقیق نسخه‌های آسیب‌پذیر و اصلاح‌شده باید از اطلاعیه رسمی سازنده استخراج شود.

آسیب‌پذیری قدیمی Broadcom و خطری که ممکن است با تعویض رمز وای‌فای حل نشود

موضوع دوم به یک نقص امنیتی در نرم‌افزار توسعه‌دهندگان تراشه‌های Broadcom مربوط است که بنا بر گزارش ارائه‌شده، دست‌کم از سال ۲۰۱۰ در کیت توسعه نرم‌افزاری (SDK) روترهای مبتنی بر این فناوری وجود داشته است. طبق توضیحات منتشرشده در این گزارش، مهاجمی که در محدوده دسترسی بی‌سیم دستگاه قرار دارد، ممکن است بتواند بدون دانستن رمز عبور شبکه وای‌فای، روتر آسیب‌پذیر را تصاحب کند. این موضوع در کنفرانس امنیتی HackaCon در پاریس از سوی پژوهشگری به نام کوئنتین کایزر مطرح شده است. اهمیت این نقص در قدمت آن و دشواری اصلاح یکپارچه تجهیزات شبکه نهفته است. گزارش می‌گوید Broadcom در سال ۲۰۱۸ اصلاحی ارائه کرده که کامل نبوده و ممکن است برخی پلتفرم‌های مبتنی بر تراشه‌های قدیمی هرگز نسخه‌ای با اصلاح کامل دریافت نکنند. در چنین شرایطی، تعویض رمز وای‌فای به‌تنهایی الزاماً مشکل را برطرف نمی‌کند؛ زیرا منشأ خطر، نقص نرم‌افزاری در پیاده‌سازی شبکه است، نه صرفاً ضعیف‌بودن رمز عبور. اگر مهاجم بتواند از آسیب‌پذیری مورد بحث استفاده کند، حتی شبکه‌ای با رمز قوی نیز ممکن است در برابر این مسیر حمله ایمن نباشد. با این حال، نمی‌توان همه روترهای مجهز به تراشه Broadcom را آسیب‌پذیر دانست. وضعیت هر دستگاه به مدل، نسخه نرم‌افزار، پیاده‌سازی مورد استفاده و وجود یا نبود اصلاحیه مناسب بستگی دارد. کاربران چه کاری انجام دهند؟ مدل دقیق روتر و نسخه فریم‌ور آن را بررسی کنید و برای دریافت به‌روزرسانی یا اطلاع از پایان پشتیبانی، به وب‌سایت سازنده دستگاه مراجعه کنید. اگر سازنده دیگر اصلاحیه امنیتی منتشر نمی‌کند، جایگزینی دستگاه با مدلی که به‌روزرسانی امنیتی دریافت می‌کند، می‌تواند ضروری باشد. به‌روزرسانی رمز وای‌فای، غیرفعال‌کردن مدیریت از راه دور غیرضروری و محدودکردن دسترسی مدیریتی نیز اقدامات مفیدی هستند، اما جایگزین اصلاح آسیب‌پذیری نمی‌شوند.

MITRE ATT&CK نسخه ۲۰؛ تهدیدهای هوش مصنوعی وارد نقشه عملیاتی مهاجمان می‌شوند

مؤسسه MITRE نسخه ۲۰ چارچوب ATT&CK را منتشر کرده است؛ چارچوبی که برای دسته‌بندی و تحلیل تاکتیک‌ها و تکنیک‌های مورد استفاده مهاجمان سایبری به کار می‌رود. اهمیت این به‌روزرسانی، مطابق گزارش روزانه، در توجه بیشتر به شیوه‌های سوءاستفاده از هوش مصنوعی است. یکی از تغییرات مطرح‌شده، تفکیک تزریق پرامپت (Prompt Injection) به دو تکنیک مجزا است. تزریق پرامپت زمانی رخ می‌دهد که مهاجم تلاش می‌کند با واردکردن دستورهای دست‌کاری‌شده در ورودی‌های یک سامانه هوش مصنوعی، رفتار آن را از مسیر مورد انتظار خارج کند. برای نمونه، یک عامل هوش مصنوعی ممکن است محتوایی را از یک سند، ایمیل یا صفحه وب دریافت کند که حاوی دستورهای مخرب است. اگر سامانه نتواند میان داده غیرقابل‌اعتماد و دستورهای مجاز تمایز مناسبی ایجاد کند، احتمال دارد به انجام اقداماتی خارج از هدف اولیه سوق داده شود. موضوع مهم دیگر، سوءاستفاده از عامل‌های هوش مصنوعی سازمانی برای سرقت اطلاعات است. این عامل‌ها ممکن است به اسناد داخلی، ابزارهای سازمانی، پایگاه‌های داده یا سرویس‌های مختلف دسترسی داشته باشند. اگر مهاجم بتواند رفتار آن‌ها را دست‌کاری کند یا از مجوزهای بیش از حدشان بهره ببرد، ممکن است از همین دسترسی‌ها برای جمع‌آوری یا انتقال داده‌های حساس استفاده کند. گزارش همچنین به پوشش تکنیک‌های مرتبط با سرقت رمزهای عبور اختصاصی برنامه‌ها اشاره می‌کند؛ اعتبارنامه‌هایی که ممکن است برای دسترسی به سرویس‌ها مورد استفاده قرار بگیرند و در برخی شرایط به مهاجم کمک کنند از مسیرهای حفاظتی مورد انتظار، از جمله برخی فرایندهای احراز هویت چندمرحله‌ای، عبور کند. این موضوع به معنای بی‌اثرشدن عمومی احراز هویت چندمرحله‌ای نیست؛ بلکه نشان می‌دهد امنیت این سازوکار به نحوه صدور، نگهداری، محدودسازی و ابطال اعتبارنامه‌ها نیز وابسته است.

همچنین، در گزارش به گنجاندن حملات اخیر به تأسیسات آب در ایالت مینه‌سوتا اشاره شده است. جزئیات این رخدادها و ارتباط دقیق آن‌ها با تغییرات نسخه جدید چارچوب باید از مستندات اصلی MITRE بررسی شود.

پیام برای سازمان‌ها: استفاده از هوش مصنوعی در محیط سازمانی باید همراه با کنترل دسترسی حداقلی، محدودکردن مجوز عامل‌ها، بررسی ورودی‌های غیرقابل‌اعتماد، ثبت رویدادها و نظارت بر انتقال داده باشد. صرف استفاده از یک مدل معتبر یا فعال‌کردن احراز هویت چندمرحله‌ای، تضمین نمی‌کند که عامل هوش مصنوعی یا اعتبارنامه‌های متصل به آن در برابر سوءاستفاده مصون بمانند.

TikaBeekah Bot؛ وقتی Discord به کانال فرمان‌دهی بدافزار تبدیل می‌شود

پژوهشگران شرکت Darktrace بدافزاری با نام TikaBeekah Bot را مستند کرده‌اند که به‌عنوان یک تروجان دسترسی از راه دور (RAT) عمل می‌کند و فرمان‌های خود را از طریق پلتفرم Discord دریافت می‌کند. طبق شرح ارائه‌شده، زنجیره آلودگی با فایلی آغاز می‌شود که ظاهری شبیه یک پیشنهاد تجاری دارد. قربانی یک ایمیج دیسک را باز می‌کند و میانبری که خود را به شکل یک فایل Word جا می‌زند، فرایند نصب بدافزار را آغاز می‌کند. در نتیجه، فایلی که ممکن است در نگاه اول یک سند کاری معمولی به نظر برسد، می‌تواند به اجرای کد مخرب منجر شود. پس از استقرار بدافزار، مهاجم قادر است فرمان‌هایی را برای اجرا روی دستگاه قربانی ارسال کند، از صفحه‌نمایش تصویربرداری کند و فایل‌ها را به سرقت ببرد. استفاده از Discord برای دریافت فرمان‌ها به مهاجم امکان می‌دهد از زیرساخت یک سرویس ارتباطی شناخته‌شده بهره ببرد؛ با این حال، استفاده از این پلتفرم به‌تنهایی نشانه آلودگی نیست و باید رفتار مشکوک فرایندها و ارتباطات شبکه بررسی شود. این سناریو یک نکته مهم درباره مهندسی اجتماعی را برجسته می‌کند: مهاجم الزاماً به بهره‌برداری از یک نقص فنی پیچیده نیاز ندارد. گاهی ترکیب یک فایل ظاهراً معتبر، یک نام گمراه‌کننده و اجرای ناآگاهانه فایل کافی است تا مسیر آلودگی آغاز شود.

چگونه خطر را کاهش دهیم؟ فایل‌های دریافتی از منابع ناشناس را صرفاً بر اساس نام یا ظاهرشان باز نکنید. پسوند واقعی فایل، فرایندهای اجراشده و منشأ ایمیج دیسک را بررسی کنید. در محیط سازمانی، محدودکردن اجرای فایل‌های ناشناس، استفاده از راهکارهای شناسایی و پاسخ‌گویی در نقاط پایانی (EDR) و پایش ارتباطات غیرعادی برنامه‌ها با سرویس‌های آنلاین می‌تواند به شناسایی زودهنگام چنین تهدیدهایی کمک کند.

خرید Opaque Systems توسط Anthropic؛ تمرکز بر محرمانگی داده در هوش مصنوعی

در حوزه کسب‌وکار هوش مصنوعی نیز شرکت Anthropic از خرید Opaque Systems خبر داده است؛ استارتاپی که فناوری آن برای پردازش داده‌های حساس در محیط‌های محاسباتی محافظت‌شده طراحی شده است. بر اساس گزارش روزانه، شرایط مالی این معامله اعلام نشده و Opaque گفته است فعالیت مستقل خود را هم‌زمان با پیوستن اعضای تیمش به Anthropic متوقف می‌کند. Opaque از یک پروژه پژوهشی در دانشگاه کالیفرنیا، برکلی آغاز شده بود و پیش‌تر Anthropic را در میان مشتریان خود معرفی کرده بود. تمرکز فناوری این شرکت بر محاسبات محرمانه (Confidential Computing) است؛ رویکردی که با استفاده از قابلیت‌های امنیتی سخت‌افزار و محیط‌های اجرای مورد اعتماد تلاش می‌کند از داده‌ها هنگام پردازش محافظت کند. در بسیاری از سامانه‌های سنتی، حفاظت از اطلاعات به رمزنگاری داده‌ها هنگام انتقال و ذخیره‌سازی محدود می‌شود. اما زمانی که داده برای تحلیل یا پردازش در اختیار یک برنامه قرار می‌گیرد، ممکن است در حافظه و محیط اجرای آن قابل دسترسی باشد. فناوری‌های محاسبات محرمانه می‌کوشند این سطح از مواجهه را کاهش دهند و امکان اجرای محاسبات روی داده‌های حساس را با تضمین‌های امنیتی بیشتری فراهم کنند. این موضوع برای هوش مصنوعی اهمیت ویژه‌ای دارد؛ زیرا سازمان‌ها ممکن است بخواهند اسناد محرمانه، اطلاعات مشتریان یا داده‌های تجاری را در فرایندهای مبتنی بر مدل‌های هوش مصنوعی به کار بگیرند، بی‌آنکه کنترل امنیتی بر محیط پردازش را نادیده بگیرند.

با این حال، محاسبات محرمانه به‌تنهایی تمام خطرهای استفاده از هوش مصنوعی را برطرف نمی‌کند. مدیریت مجوزها، امنیت برنامه، کنترل خروجی‌ها، جلوگیری از نشت اطلاعات و بررسی نحوه استفاده از داده‌ها همچنان ضروری است. خرید یک شرکت فعال در این حوزه نیز به‌خودی‌خود به معنای عرضه فوری قابلیت‌های جدید یا تضمین امنیت کامل محصولات نیست.