۸ دقیقه برای تبدیل سرقت اطلاعات به نفوذ

 در ۲۷ مورد نفوذ بررسی‌شده، فاصله میان آلوده‌شدن دستگاه و تلاش مهاجم برای ورود با اطلاعات سرقت‌شده، به‌طور میانگین تنها ۸ دقیقه بوده است. گزارش جدید Elastic Security Threat Command که بر مجموعه‌ای از نفوذهای واقعی و تحقیقات این شرکت بین آوریل تا سپتامبر ۲۰۲۶ متکی است، نشان می‌دهد مهاجمان بیش از گذشته از نرم‌افزارهای قانونی، ابزارهای مورد اعتماد و حتی دستیارهای هوش مصنوعی برای پیشبرد حملات خود استفاده می‌کنند.

بدافزارهای سرقت اطلاعات یا Infostealer با هدف جمع‌آوری اطلاعاتی مانند گذرواژه‌های ذخیره‌شده، داده‌های نشست مرورگر و سایر اطلاعات حساس روی دستگاه قربانی طراحی شده‌اند.

Elastic در بررسی ۲۷ مورد تأییدشده از فعالیت این بدافزارها مشاهده کرد که مهاجمان پس از آلوده‌شدن دستگاه، به‌طور میانگین تنها هشت دقیقه بعد با استفاده از اعتبارنامه‌های سرقت‌شده برای ورود اقدام کرده‌اند. این یافته نشان می‌دهد پنجره زمانی میان سرقت اطلاعات و بهره‌برداری از آنها می‌تواند بسیار کوتاه باشد.

ClickFix؛ کاربر خودش فرمان مخرب را اجرا می‌کند

یکی از مهم‌ترین یافته‌های Elastic، نقش گسترده تکنیکی موسوم به ClickFix در این حملات است. در ۱۲ مورد از ۲۷ حمله، معادل ۴۴ درصد، مهاجمان از صفحات جعلی استفاده کردند که کاربر را متقاعد می‌کردند برای انجام یک فرایند تأیید، رفع خطا یا تکمیل یک مرحله امنیتی، فرمانی را روی دستگاه خود کپی و اجرا کند. در این روش، برخلاف بسیاری از حملات سنتی، مهاجم لزوماً فایل اجرایی مخربی را مستقیماً برای قربانی ارسال نمی‌کند. کاربر خودش فرمان را اجرا می‌کند و همین موضوع می‌تواند برخی سازوکارهای امنیتی مبتنی بر شناسایی فایل‌های مخرب را دور بزند. Elastic می‌گوید پس از اجرای فرمان اولیه، فعالیت سرقت اطلاعات می‌تواند درون نرم‌افزارهایی ادامه پیدا کند که دستگاه از قبل به آنها اعتماد دارد؛ از جمله ابزارهای به‌روزرسانی مرورگر، نصب‌کننده‌های نرم‌افزاری و ابزارهای داخلی سیستم‌عامل.

گاهی مهاجم فقط ۱۶ ثانیه زمان نیاز دارد

هشت دقیقه تنها عدد قابل توجه این گزارش نیست. Elastic در یکی از پرونده‌های مربوط به بخش سلامت مشاهده کرد که مهاجمان تنها حدود ۱۶ ثانیه پس از فریب کاربر با یک صفحه مخرب، بدافزار را تحویل داده و آن را با استفاده از تکنیکی به نام DLL Sideloading اجرا کردند. در این روش، یک برنامه قانونی به شکلی وادار می‌شود کد مخرب مهاجم را بارگذاری کند. این یافته نشان می‌دهد سرعت اجرای حمله می‌تواند به حدی برسد که فاصله میان یک اشتباه کوچک کاربر و شروع فعالیت مخرب، تنها چند ثانیه باشد.

هکرها فقط به بدافزار متکی نیستند

گزارش Elastic یک روند گسترده‌تر را نیز نشان می‌دهد: مهاجمان تلاش می‌کنند داخل ابزارهایی فعالیت کنند که سازمان و کاربر از قبل به آنها اعتماد دارند. پژوهشگران در ۲۳ مورد مشاهده کردند که مهاجمان نرم‌افزارهای قانونی مدیریت و نظارت از راه دور یا RMM را روی سیستم قربانی نصب کرده‌اند تا دسترسی خود را حفظ کنند. نرم‌افزار ScreenConnect در میان این موارد بیش از سایر ابزارها مشاهده شده است. مشکل برای تیم‌های امنیتی این است که چنین نرم‌افزارهایی ذاتاً مخرب نیستند و معمولاً برای پشتیبانی فنی و مدیریت سیستم‌ها استفاده می‌شوند. بنابراین شناسایی مهاجم تنها بر اساس نام یا امضای نرم‌افزار دشوارتر می‌شود.

وقتی ChatGPT و Claude به ابزار مهاجم تبدیل می‌شوند

یکی دیگر از بخش‌های قابل توجه گزارش، استفاده مهاجمان از ابزارهای هوش مصنوعی نصب‌شده روی سیستم قربانی است. Elastic دو نفوذ واقعی را مستند کرده که در آنها مهاجمان از Claude Code در ویندوز و ChatGPT Desktop در macOS برای اجرای فرمان استفاده کردند. در یکی از حملات، مهاجم از راه دور به یک رایانه ویندوزی متصل شد و از Claude Code برای آماده‌سازی ابزارهای مورد نیاز و برقراری ارتباط با یک سرور خارجی استفاده کرد. در یک حمله دیگر روی macOS، فرمان‌هایی که از طریق برنامه ChatGPT Desktop اجرا شده بودند، ابتدا یک سند داخلی زیرساخت را خواندند و سپس سراغ گذرواژه‌های ذخیره‌شده در Keychain رفتند. Elastic تأکید می‌کند این موارد به معنای وجود نقص امنیتی در Claude یا ChatGPT نیست؛ در این حوادث، مهاجمان ابتدا به سیستم دسترسی پیدا کرده بودند و سپس از ابزارهای موجود روی دستگاه برای اجرای عملیات استفاده کردند.

MFA همیشه پایان راه نیست

Elastic در بخش دیگری از گزارش به حملات Adversary-in-the-Middle یا AiTM اشاره می‌کند. در این روش، مهاجم یک واسطه میان کاربر و صفحه ورود واقعی قرار می‌دهد و می‌تواند اطلاعات احراز هویت و نشست تأییدشده کاربر را به دست آورد. در چنین حملاتی، مهاجم لزوماً مکانیزم MFA را نمی‌شکند؛ بلکه کاربر ممکن است احراز هویت چندمرحله‌ای را به‌طور عادی انجام دهد و مهاجم از نشست احراز هویت‌شده سوءاستفاده کند.

Elastic همچنین مواردی از استفاده از روش‌های قدیمی احراز هویت را مشاهده کرده که در برخی شرایط اجازه دسترسی بدون عبور از لایه دوم احراز هویت را فراهم می‌کردند.