هکرها در ۸ دقیقه به حساب شما نفوذ می‌کنند
نتایج تحقیقات جدید حاکی از آن است که مهاجمان سایبری برای ورود به حساب‌های کاربری به‌طور میانگین تنها ۸ دقیقه زمان نیاز دارند.
هکرها برای نفوذ به سیستم‌های سازمانی همیشه به بدافزارهای پیچیده یا آسیب‌پذیری‌های ناشناخته نیاز ندارند. گاهی یک رمز عبور سرقت‌شده، یک نرم‌افزار معتبر یا حتی اپلیکیشنی که کارمندان برای انجام کارهای روزمره از آن استفاده می‌کنند، می‌تواند مسیر ورود مهاجمان به شبکه یک سازمان را هموار کند.
بر اساس گزارشی که واحد تحقیقات تهدیدات امنیتی شرکت Elastic منتشر کرده، مهاجمان در ۲۷ مورد نفوذ تأییدشده با استفاده از بدافزارهای سرقت اطلاعات، به‌طور میانگین تنها هشت دقیقه پس از آلوده‌شدن سیستم توانسته‌اند با اطلاعات کاربری سرقت‌شده وارد حساب‌ها شوند. این گزارش همچنین از مواردی پرده برداشته که در آن‌ها مهاجمان برای اجرای فرمان‌های مخرب از اپلیکیشن‌های هوش مصنوعی و برای حفظ دسترسی خود از ابزارهای قانونی مدیریت از راه دور استفاده کرده‌اند.
هکرها چگونه در کمتر از ۸ دقیقه به حساب‌های کاربری دسترسی پیدا می‌کنند؟
یکی از مهم‌ترین یافته‌های گزارش Elastic، سرعت استفاده مهاجمان از اطلاعات سرقت‌شده است. بدافزارهای سرقت اطلاعات یا Infostealer می‌توانند داده‌هایی مانند رمزهای عبور ذخیره‌شده در مرورگر، اطلاعات نشست‌های کاربری و جزئیات پرداخت را جمع‌آوری کنند.
پس از سرقت این اطلاعات، مهاجمان می‌توانند از آن‌ها برای ورود به حساب‌های کاربری و دسترسی به سرویس‌های سازمانی استفاده کنند. نکته نگران‌کننده این است که در بسیاری از موارد، آن‌ها برای ورود دوباره به حساب قربانی حتی به رمز عبور هم نیاز ندارند؛ زیرا اطلاعات نشست‌های کاربری سرقت‌شده می‌تواند امکان استفاده از حساب را بدون واردکردن مجدد رمز عبور فراهم کند.
پژوهشگران در بررسی ۲۷ پرونده نفوذ متوجه شدند مهاجمان برای اجرای حملات خود از برنامه‌هایی استفاده کرده‌اند که سیستم‌عامل یا کاربران از قبل به آن‌ها اعتماد داشته‌اند. این ابزارها شامل نرم‌افزارهای مدیریت از راه دور، به‌روزرسان‌های مرورگر، نصب‌کننده‌های نرم‌افزاری و ابزارهای اسکریپت‌نویسی اپل بوده‌اند.
ChatGPT و Claude Code چگونه به ابزار هکرها تبدیل شدند؟
در یکی از بخش‌های گزارش Elastic به سواستفاده مهاجمان از اپلیکیشن‌های هوش مصنوعی اشاره شده است. ابزارهایی مانند Claude Code و Cursor می‌توانند فرمان‌های سیستمی را اجرا کنند و به فایل‌ها، اطلاعات ورود و سایر برنامه‌های نصب‌شده روی دستگاه دسترسی داشته باشند. همین قابلیت‌ها در صورت دسترسی مهاجم به سیستم قربانی، می‌توانند به ابزاری برای پیشبرد حملات سایبری تبدیل شوند.
پژوهشگران دو نمونه نفوذ را شناسایی کرده‌اند که در آن‌ها از Claude Code روی ویندوز و اپلیکیشن دسکتاپ ChatGPT روی macOS سواستفاده شده است. در یکی از این حملات، مهاجم پس از اتصال از راه دور به یک رایانه ویندوزی، از Claude Code در قالب افزونه Visual Studio Code برای آماده‌سازی ابزارهای موردنیاز خود استفاده کرد. او همچنین توانست از طریق یک اتصال مخفی با سروری خارج از شبکه ارتباط برقرار کند.
در مورد دیگر، مهاجم با اجرای فرمان‌هایی از طریق اپلیکیشن دسکتاپ ChatGPT در macOS، ابتدا یک سند داخلی مرتبط با زیرساخت سازمان را خواند و سپس به محل ذخیره رمزهای عبور کاربر دسترسی پیدا کرد. گفتنی است این یافته‌ها به معنای وجود آسیب‌پذیری امنیتی در ChatGPT یا Claude نیست. در هر دو مورد، مهاجمان پس از دستیابی اولیه به سیستم از قابلیت‌های این اپلیکیشن‌ها برای پیشبرد عملیات خود استفاده کرده‌اند.
نرم‌افزارهای قانونی دسترسی از راه دور؛ مسیر تازه نفوذ هکرها
ابزارهای مدیریت و نظارت از راه دور (RMM) برای اتصال کارشناسان فناوری اطلاعات به رایانه‌های سازمانی، انتقال فایل و اجرای فرمان‌های سیستمی طراحی شده‌اند. با این حال، همین قابلیت‌ها می‌توانند به مهاجمان اجازه دهند کنترل دستگاه آلوده را در اختیار بگیرند و ابزارهای مخرب بیشتری روی آن نصب کنند.
پژوهشگران ۲۳ مورد سواستفاده از این نرم‌افزارها را شناسایی کرده‌اند. در این حملات، مهاجمان با استفاده از صفحات فیشینگ یا فایل‌های فشرده حاوی اسکریپت‌های مخرب، کاربران را به نصب نرم‌افزارهای دسترسی از راه دور ترغیب کرده‌اند. ScreenConnect یکی از ابزارهایی بوده که در این پرونده‌ها بیش از سایر موارد مشاهده شده است.
در یکی از کارزارهای شناسایی‌شده، مهاجمان با ارسال یک دعوت‌نامه دیجیتال جعلی، قربانی را به نصب مخفیانه ScreenConnect ترغیب کردند. این نرم‌افزار پس از نصب به سروری تحت کنترل مهاجم متصل شد و به‌عنوان یک سرویس ویندوز به فعالیت خود ادامه داد.
در مورد دیگری نیز مهاجم پس از ناکامی در ایجاد حساب‌های کاربری جدید روی یک سرور آلوده، نرم‌افزار دسترسی از راه دور را روی آن نصب کرد تا امکان کنترل سیستم را حفظ کند.
فیشینگ همچنان یکی از مهم‌ترین راه‌های ورود مهاجمان است
گزارش Elastic نشان می‌دهد صفحات جعلی تأیید هویت به سبک ClickFix در میان روش‌های اولیه نفوذ، بیشترین سهم را داشته‌اند و در ۱۲ مورد از ۲۷ پرونده شناسایی‌شده به کار رفته‌اند. در این روش، مهاجمان با نمایش یک صفحه جعلی تأیید هویت یا پیام راهنمای رفع مشکل، کاربر را متقاعد می‌کنند فرمانی را در سیستم خود کپی و اجرا کند. به این ترتیب، خود کاربر ناخواسته زمینه اجرای کد مخرب را فراهم می‌کند.
در یک مرکز درمانی، تنها حدود ۱۶ ثانیه پس از آنکه کاربر فریب این روش را خورد، نصب‌کننده مخرب اجرا شد و مهاجم با استفاده از تکنیکی به نام DLL Sideloading کد مخرب خود را بارگذاری کرد. در مورد دیگری مهاجمان از روش‌های پیشرفته فیشینگ برای سرقت نشست‌های احراز هویت استفاده کرده‌اند. در حملات مرد میانی (AiTM)، مهاجم ارتباط میان کاربر و صفحه اصلی ورود را واسطه‌گری می‌کند و پس از واردکردن اطلاعات کاربری و تکمیل احراز هویت چندعاملی توسط قربانی، نشست تأییدشده او را به سرقت می‌برد.
چرا ابزارهای مورد اعتماد به تهدیدی برای امنیت سایبری تبدیل شده‌اند؟
یافته‌های گزارش Elastic نشان می‌دهد مرز میان ابزارهای کاربردی و ابزارهای مورد استفاده مهاجمان در حال کمرنگ‌شدن است. نرم‌افزارهایی که برای مدیریت سیستم‌ها، برنامه‌نویسی یا افزایش بهره‌وری کارکنان طراحی شده‌اند، در صورت دسترسی مهاجم به محیط سازمانی می‌توانند برای اجرای فعالیت‌های مخرب به کار گرفته شوند.
به همین دلیل، شناسایی بدافزارها و مسدودکردن فایل‌های مشکوک به‌تنهایی برای مقابله با این تهدیدها کافی نیست. کارشناسان Elastic بر اهمیت تحلیل رفتار کاربران و موجودیت‌ها (UEBA)، بررسی الگوهای معمول فعالیت و ایجاد دید یکپارچه بر بخش‌های مختلف زیرساخت امنیتی سازمان تأکید کرده‌اند.
این گزارش بار دیگر نشان می‌دهد سرعت حملات سایبری افزایش یافته و مهاجمان می‌توانند در فاصله‌ای کوتاه از سرقت اطلاعات ورود تا دسترسی به حساب‌های سازمانی پیش بروند. در چنین شرایطی، نظارت مستمر بر رفتار نرم‌افزارهای مورد اعتماد و شناسایی فعالیت‌های غیرعادی، نقش مهمی در جلوگیری از گسترش حملات خواهد داشت.
