حملات سایبری تکرارپذیر؛ چرا مهاجمان به جای پیچیدگی، مقیاس را انتخاب می‌کنند؟

بیشتر مهاجمان سایبری به‌دنبال طراحی حملات پیچیده و منحصربه‌فرد نیستند؛ چیزی که برای آن‌ها اهمیت دارد، روشی ساده، کم‌هزینه و قابل تکرار است که بتوانند بارها و روی قربانیان مختلف اجرا کنند.

در سال گذشته، یکی از رایج‌ترین مسیرهای نفوذ به سازمان‌ها، نه یک آسیب‌پذیری پیچیده یا بدافزار ناشناخته، بلکه فریب دادن کاربر بود. در حمله‌ای موسوم به ClickFix، یک صفحه وب از کاربر می‌خواهد ثابت کند ربات نیست. در همین فرایند، صفحه بدون اطلاع کاربر دستوری را در کلیپ‌بورد قرار می‌دهد و سپس او را مرحله‌به‌مرحله راهنمایی می‌کند تا ترمینال را باز کرده و دستور را اجرا کند.

بر اساس گزارش Microsoft، ClickFix در سال گذشته رایج‌ترین روش دسترسی اولیه مشاهده‌شده توسط این شرکت بوده و ۴۷ درصد از حملاتی که در اعلان‌های امنیتی Microsoft ثبت شده‌اند را شامل می‌شده است.

مزیت این روش برای مهاجمان روشن است: فایلی برای اسکن وجود ندارد، آسیب‌پذیری خاصی مورد سوءاستفاده قرار نمی‌گیرد و در نتیجه وصله‌ای هم برای متوقف کردن حمله وجود ندارد.

چرا مهاجمان به حملات تکرارپذیر علاقه دارند؟

دنیای جرایم سایبری تا حد زیادی مانند یک کسب‌وکار عمل می‌کند. گروهی که مجبور باشد برای هر قربانی یک حمله کاملاً جدید طراحی کند، نمی‌تواند به‌سادگی مقیاس خود را افزایش دهد.

در مقابل، گروهی که یک Playbook یا الگوی عملیاتی مشخص داشته باشد، می‌تواند همان فرایند را بارها روی اهداف مختلف اجرا کند؛ با مراحل مشخص، هزینه قابل پیش‌بینی و نتیجه‌ای که تا حد زیادی قابل انتظار است.

داده‌های امنیتی نیز این روند را تأیید می‌کنند. طبق جدیدترین گزارش Verizon Data Breach Investigations Report، سوءاستفاده از آسیب‌پذیری‌ها به مهم‌ترین مسیر دسترسی اولیه تبدیل شده و سهم آن به ۳۱ درصد رسیده است؛ در حالی که این رقم در سال قبل ۲۰ درصد بود.

این رشد ۵۵ درصدی نشان می‌دهد مهاجمان بیش از آنکه به مهارت‌های پیچیده نیاز داشته باشند، به دنبال روش‌هایی هستند که امکان اسکن گسترده و اجرای خودکار را فراهم می‌کنند.

آسیب‌پذیری‌های اینترنتی؛ آماده‌ترین هدف برای حملات انبوه

دستگاه‌های متصل به اینترنت لزوماً به این دلیل هدف قرار نمی‌گیرند که فناوری جذابی دارند؛ دلیل اصلی این است که فرایند حمله به آن‌ها را می‌توان بسیار ساده کرد.

مهاجم کافی است آسیب‌پذیری‌های جدید CVE را در تجهیزات متصل به اینترنت زیر نظر بگیرد، آسیب‌پذیری‌هایی را که امکان اجرای کد از راه دور (RCE) دارند و به احراز هویت نیاز ندارند، جدا کند و سپس منتظر انتشار یک نمونه اثبات مفهوم یا Proof of Concept (PoC) بماند.

در بسیاری از موارد، یک PoC عملی تنها چند روز پس از انتشار جزئیات آسیب‌پذیری در GitHub یا سایر مخازن عمومی منتشر می‌شود. از آنجا به بعد، مهاجم می‌تواند اینترنت را در مقیاس وسیع اسکن کند و سیستم‌هایی را که هنوز وصله نشده‌اند، هدف قرار دهد.

نکته مهم اینجاست که مهاجم برای ایجاد این زنجیره، الزاماً هیچ فناوری جدیدی توسعه نداده است. پژوهشگر دیگری آسیب‌پذیری را کشف کرده، فرد دیگری PoC را نوشته و مهاجم تنها آن را در مقیاس وسیع اجرا می‌کند.

به بیان ساده، آسیب‌پذیری و ابزار حمله به کالایی آماده مصرف تبدیل می‌شوند.

مدل «تولید انبوه» در دنیای باج‌افزار

این رویکرد را می‌توان در فعالیت گروه‌های باج‌افزاری نیز مشاهده کرد.

برای مثال، گروه Qilin بیش از یک سال در صدر رتبه‌بندی سایت‌های افشای اطلاعات قربانیان باج‌افزار قرار داشت و در این بازه حدود ۱۶۰۰ قربانی را به خود نسبت داد. در ماه ژوئن، گروه The Gentlemen با ادعای ۱۲۱ قربانی در برابر ۸۰ قربانی Qilin، جایگاه نخست را به خود اختصاص داد.

البته این اعداد توسط خود گروه‌ها منتشر شده‌اند و نمی‌توان آن‌ها را ارقام حسابرسی‌شده دانست. با این حال، روند کلی نشان می‌دهد رقابت اصلی میان این گروه‌ها بر سر تعداد قربانیان و سرعت اجرای عملیات است، نه میزان پیچیدگی فنی حملات.

حتی جالب‌تر اینکه The Gentlemen از یک عضو سابق شبکه وابسته به Qilin شکل گرفته است. گزارش Bitdefender نشان می‌دهد این گروه‌ها در حال بازاستفاده و بهبود Playbookهای موفق باج‌افزاری هستند.

یعنی چیزی که از یک سازمان به سازمان دیگر منتقل می‌شود، لزوماً یک اکسپلویت یا ابزار مخفی نیست؛ بلکه روش انجام حمله است.

ClickFix؛ یک Playbook آماده برای نفوذ

اگر ClickFix را از همین زاویه نگاه کنیم، دلیل محبوبیت آن مشخص می‌شود.

در این روش، مهاجم نیازی ندارد هر بار یک Payload جدید بسازد. اساساً Payload سنتی در کار نیست. همچنین اگر یک آسیب‌پذیری وصله شود، مهاجم مجبور نیست اکسپلویت خود را بازطراحی کند؛ چون حمله به آن آسیب‌پذیری وابسته نیست.

اگر متن فریبنده دیگر مؤثر نباشد، مهاجم می‌تواند محتوای صفحه وب را تغییر دهد و دوباره همان فرایند را اجرا کند.

این ویژگی باعث می‌شود ClickFix برای اجرای هزاران حمله مناسب باشد.

از سوی دیگر، این روش به فناوری خاصی در سمت قربانی وابسته نیست. ClickFix بیشتر به رفتار انسان متکی است؛ کاربری که دستورالعمل را دنبال می‌کند، ترمینال را باز می‌کند و فرمانی را که مهاجم در کلیپ‌بورد قرار داده، اجرا می‌کند.

در نتیجه، مهاجم می‌تواند تقریباً همان روش را در محیط‌های مختلف تکرار کند.

مزیت بزرگ حملاتی که چیزی نصب نمی‌کنند

ClickFix یک مزیت امنیتی مهم برای مهاجم دارد: بسیاری از نشانه‌هایی که سیستم‌های دفاعی معمولاً به دنبال آن‌ها هستند، اصلاً ایجاد نمی‌شوند.

فایل مخربی برای اسکن وجود ندارد، Exploit مشخصی برای شناسایی وجود ندارد و Signature سنتی هم ممکن است قابل استفاده نباشد.

با این حال، دلیل اصلی موفقیت ClickFix لزوماً فرار از شناسایی نیست.

مزیت واقعی آن این است که تکرارپذیر است.

فرار از شناسایی در واقع مزیتی است که همراه با این مدل حمله به دست می‌آید.

Living off the Land؛ استفاده از ابزارهای خود سیستم

مرحله اولیه نفوذ تنها بخشی از عملیات است. پس از ورود به سیستم، مهاجم باید مسیر خود را برای سرقت داده یا رمزگذاری سیستم‌ها ادامه دهد.

اینجاست که تکنیک Living off the Land وارد عمل می‌شود.

در این روش، مهاجم به‌جای نصب ابزارهای اختصاصی، از ابزارهایی استفاده می‌کند که از قبل روی سیستم قربانی وجود دارند؛ ابزارهای اسکریپت‌نویسی، نرم‌افزارهای مدیریت از راه دور، ابزارهای فشرده‌سازی و Binaryهای مدیریتی سیستم‌عامل.

بر اساس تحلیل Bitdefender از ۷۰۰ هزار رخداد امنیتی، ۸۴ درصد از رخدادهای با شدت بالا شامل Binaryهایی بوده‌اند که از قبل روی دستگاه وجود داشته‌اند.

این ابزارها برای مهاجمان جذاب‌اند، نه فقط به دلیل پنهان‌کاری، بلکه چون در تقریباً همه محیط‌ها وجود دارند و رفتار آن‌ها برای تیم‌های IT کاملاً عادی به نظر می‌رسد.

مهاجمی که یک بار نحوه استفاده از این ابزارها را یاد گرفته باشد، می‌تواند همان توالی دستورات را در قربانی بعدی نیز اجرا کند.

هیچ چیزی برای انتقال به سیستم جدید وجود ندارد، نیازی به سازگار کردن ابزار با محیط قربانی نیست و مهاجم مجبور نیست آن را با یک Stack ناشناخته آزمایش کند.

چرا ابزارهای قانونی می‌توانند خطرناک باشند؟

استفاده از ابزارهای داخلی سیستم یک مزیت مهم دیگر نیز دارد: تشخیص رفتار مخرب از فعالیت‌های قانونی دشوارتر می‌شود.

اجرای یک ابزار مدیریت از راه دور به‌تنهایی غیرعادی نیست.

ورود یک حساب کاربری نیز لزوماً نشانه حمله نیست.

ارتباط یک سیستم با سرویس ذخیره‌سازی ابری هم می‌تواند کاملاً طبیعی باشد.

اما اگر این سه رویداد با ترتیب مشخص، روی یک سیستم خاص و در یک زمان غیرمعمول اتفاق بیفتند، ممکن است بخشی از یک زنجیره حمله باشند.

به همین دلیل، دفاع مؤثر نیازمند تحلیل هم‌بسته رویدادها است، نه بررسی جداگانه هر رویداد.

اقتصاد جرایم سایبری به نفع حملات ارزان‌تر است

اگر جرایم سایبری را یک کسب‌وکار مبتنی بر حجم و مقیاس در نظر بگیریم، رفتار مالی این صنعت نیز منطقی به نظر می‌رسد.

طبق گزارش Verizon، سهم باج‌افزار از نقض‌های امنیتی به ۴۸ درصد افزایش یافته است؛ در حالی که این رقم سال قبل ۴۴ درصد بود.

اما در همین مدت، درآمد مهاجمان از هر حمله الزاماً افزایش پیدا نکرده است. حدود ۶۹ درصد قربانیان باج‌افزار حاضر به پرداخت باج نشده‌اند و مبلغ میانه باج پرداخت‌شده نیز از ۱۵۰ هزار دلار به ۱۳۹٬۸۷۵ دلار کاهش یافته است.

در مقابل، Bitdefender تنها در ژوئن ۲۰۲۶، ۷۰۴ سازمان را در سایت‌های افشای اطلاعات باج‌افزارها به‌عنوان قربانی ثبت کرده است.

یعنی تعداد قربانیان بیشتر شده، اما درآمد هر حمله کاهش یافته است.

در چنین شرایطی، واکنش منطقی مهاجم این نیست که هر حمله را پیچیده‌تر و گران‌تر کند؛ بلکه باید هزینه هر حمله را پایین بیاورد و تعداد حملات را افزایش دهد.

چرا هوش مصنوعی هنوز الزاماً انتخاب اول مهاجمان نیست؟

این موضوع بحث استفاده از هوش مصنوعی در حملات سایبری را نیز تحت تأثیر قرار می‌دهد.

اگر یک Playbook موجود بتواند با هزینه بسیار پایین هزاران هدف را بررسی کند، افزودن یک مدل هوش مصنوعی به هر مرحله از عملیات لزوماً توجیه اقتصادی ندارد.

اسکن کردن ارزان است، بسیاری از Exploitها به‌صورت عمومی در دسترس هستند و ابزارهای موردنیاز نیز ممکن است از قبل روی سیستم قربانی نصب شده باشند.

بنابراین استفاده از AI برای هر قربانی هزینه جدیدی ایجاد می‌کند؛ در حالی که مدل سنتی حمله تلاش می‌کند هزینه هر عملیات را تا حد امکان به صفر نزدیک کند.

البته این به معنای آن نیست که مهاجمان از AI استفاده نخواهند کرد.

اگر روزی اجرای یک مدل روی سیستم قربانی از اجرای Playbook سنتی ارزان‌تر و مؤثرتر شود، مهاجمان نیز به‌سرعت به سمت آن حرکت خواهند کرد.

مشکل اصلی AI مستقل؛ مقابله با ماهیت تکرارپذیر حمله

یک AI Agent مستقل معمولاً برای سازگاری و تصمیم‌گیری در محیط‌های مختلف طراحی شده است. عامل هوشمند محیط را بررسی می‌کند، مسیر حمله را پیدا می‌کند و ممکن است در هر سازمان مسیر متفاوتی را انتخاب کند.

این ویژگی از نظر فنی چشمگیر است، اما با مدل اقتصادی بسیاری از عملیات‌های باج‌افزاری تناقض دارد.

در مدل Ransomware-as-a-Service (RaaS)، گروه اصلی یک فرایند استاندارد در اختیار Affiliateها قرار می‌دهد. هدف این است که یک دستورالعمل مشخص بتواند توسط افراد مختلف و روی قربانیان متفاوت اجرا شود.

در چنین مدلی، تغییرپذیری زیاد یک نقطه ضعف است.

یک روش حمله که برای هر قربانی تصمیم متفاوتی می‌گیرد، سخت‌تر مستندسازی، آموزش و کنترل می‌شود.

احتمالاً AI ابتدا برای ساخت Playbook استفاده می‌شود

با این حال، یک مدل استفاده از AI برای مهاجمان کاملاً منطقی به نظر می‌رسد: استفاده از هوش مصنوعی برای توسعه Playbook.

مهاجمان می‌توانند از مدل‌های هوش مصنوعی برای تحقیق درباره تکنیک‌های جدید، تولید ابزار، نوشتن کد یا بهینه‌سازی پیام‌های فیشینگ استفاده کنند و سپس خروجی نهایی را به یک فرایند ثابت و قابل تکرار تبدیل کنند.

در این مدل، AI بیشتر نقش نویسنده و توسعه‌دهنده را دارد تا مجری مستقل عملیات.

همین منطق درباره کشف آسیب‌پذیری‌های جدید نیز صدق می‌کند. مهاجمان همین حالا می‌توانند منتظر بمانند تا پژوهشگران آسیب‌پذیری‌ها را کشف و PoC آن‌ها را به‌صورت عمومی منتشر کنند.

وقتی انتظار کشیدن تقریباً هیچ هزینه‌ای ندارد، سرمایه‌گذاری سنگین برای کشف آسیب‌پذیری‌های جدید همیشه از نظر اقتصادی منطقی نیست.

مدافعان چگونه می‌توانند با حملات تکرارپذیر مقابله کنند؟

نکته امیدوارکننده این است که حمله استاندارد، یک مسئله دفاعی استاندارد ایجاد می‌کند.

مدافعان لزوماً با خلاقیتی نامحدود مواجه نیستند؛ بلکه باید تعداد محدودی از مسیرهایی را که Playbook مهاجم به آن‌ها وابسته است، مسدود کنند.

۱. وصله‌کردن هوشمندانه

لازم نیست همه آسیب‌پذیری‌ها را هم‌زمان وصله کنید. ابتدا باید آسیب‌پذیری‌هایی را در اولویت قرار دهید که:

• روی تجهیزات متصل به اینترنت قرار دارند؛
• امکان اجرای کد از راه دور دارند؛
• به احراز هویت نیاز ندارند.

این همان فیلتری است که مهاجمان نیز برای انتخاب اهداف خود استفاده می‌کنند.

۲. محدود کردن اجرای برنامه و اسکریپت

کنترل اجرای برنامه‌ها و اعمال سیاست‌های مناسب برای Scriptها می‌تواند زنجیره ClickFix را در نقطه‌ای که دستور Paste‌شده به یک Process تبدیل می‌شود، متوقف کند.

۳. محدود کردن ابزارهای داخلی سیستم

ابزارهای مدیریت از راه دور و Scriptهای داخلی ممکن است برای برخی کاربران ضروری نباشند.

سازمان‌ها باید مشخص کنند چه کسانی و تحت چه شرایطی اجازه اجرای این ابزارها را دارند.

۴. هویت را به‌عنوان مرز اصلی امنیت در نظر بگیرید

اعتبارنامه‌های مشترک، حساب‌های سرویس با دسترسی بیش از حد و کلیدهایی که در سراسر سازمان دسترسی مدیریتی دارند، می‌توانند یک سیستم آلوده را به یک حادثه امنیتی گسترده تبدیل کنند.

اصل Least Privilege یا حداقل سطح دسترسی، در اینجا اهمیت زیادی دارد.

۵. رویدادها را در کنار یکدیگر تحلیل کنید

هیچ‌یک از رفتارهای حمله Living off the Land ممکن است به‌تنهایی غیرعادی نباشد.

اما ترکیب آن‌ها می‌تواند تصویر متفاوتی ایجاد کند.

برای مثال، اجرای یک ابزار مدیریت از راه دور، ورود یک حساب کاربری و سپس ارتباط با یک سرویس ابری، اگر به ترتیب خاصی و روی یک سیستم مشخص رخ دهد، می‌تواند نشانه یک حمله باشد.

بنابراین ابزارهای امنیتی باید به‌جای بررسی رویدادها به‌صورت جداگانه، زنجیره فعالیت‌ها را تحلیل کنند.

۶. مطمئن شوید هشدارهای امنیتی واقعاً دیده می‌شوند

داشتن EDR یا ابزار تشخیص تهدید به‌تنهایی کافی نیست.

یکی از مشکلات رایج این است که سازمان ابزار امنیتی دارد، هشدار نیز تولید می‌شود، اما کسی آن را بررسی نمی‌کند.

اگر هیچ تیم امنیتی یا سرویس MDR در سمت دیگر هشدار حضور نداشته باشد، یک Alert بدون پاسخ عملاً ارزش محدودی دارد.

هشداری که کسی آن را نمی‌بیند، بیشتر شبیه یک فایل Log است که بعداً قرار است خوانده شود.

مهاجمان به دنبال لامبورگینی نیستند؛ تویوتا می‌خواهند

می‌توان کل ماجرا را با یک مثال ساده توضیح داد.

مهاجمان سایبری الزاماً به دنبال «لامبورگینی» نیستند؛ آن‌ها یک تویوتا می‌خواهند: چیزی که هر روز روشن شود، هر عضو تیم بتواند از آن استفاده کند، تعمیرش در هر جایی ممکن باشد و فردا همان کاری را انجام دهد که امروز انجام داده است.

ClickFix دقیقاً چنین چیزی است.

Living off the Land نیز همین ویژگی را دارد.

هیچ‌کدام الزاماً از نظر فنی شگفت‌انگیز نیستند؛ اما قابل اعتماد و تکرارپذیرند و زمانی که قرار است یک حمله هزاران بار اجرا شود، همین ویژگی مهم‌ترین مزیت است.

در نهایت، مهاجمان هر زمانی که AI را وارد این فرایند کنند، احتمالاً با همان منطق اقتصادی این کار را انجام خواهند داد: نه زمانی که هوش مصنوعی صرفاً قدرتمندتر شده باشد، بلکه زمانی که استفاده از آن ارزان‌تر و مؤثرتر از روش‌های فعلی باشد.

تا آن زمان، بسیاری از مسیرهایی که مهاجمان واقعاً از آن‌ها وارد سازمان‌ها می‌شوند، همان مسیرهایی هستند که مدافعان می‌توانند با کنترل مناسب، آن‌ها را مسدود کنند.

جمع‌بندی

مهاجمان سایبری لزوماً به دنبال پیچیده‌ترین حملات نیستند؛ آن‌ها به دنبال حملات تکرارپذیر، ارزان و مقیاس‌پذیر هستند. ClickFix، سوءاستفاده از آسیب‌پذیری‌های عمومی و تکنیک Living off the Land نمونه‌هایی از همین رویکرد هستند.

برای مقابله با این تهدیدها، سازمان‌ها باید به‌جای تمرکز صرف بر حملات پیچیده، روی بستن مسیرهای پرتکرار نفوذ، مدیریت آسیب‌پذیری‌ها، محدودسازی ابزارهای داخلی، کاهش سطح دسترسی و پایش مداوم رویدادهای امنیتی تمرکز کنند.