150 عملية تدميرية في 35 دقيقة
نشرت مايكروسوفت تحليلاً لاختراق سحابي حاول فيه مهاجم تتعقبه باسم Storm-3168 تنفيذ أكثر من 150 عملية تدميرية أو لجمع بيانات الاعتماد داخل مستأجر Azure خلال 35 دقيقة. واستغرقت مرحلة الحذف نفسها نحو سبع دقائق وشملت أكثر من 100 محاولة لحذف حسابات تخزين.
أما شركة Sysdig، التي وثّقت المجموعة لأول مرة في يوليو، فتتعقبها باسم JADEPUFFER وتصفها بأنها أول عملية فدية موثّقة يقودها نموذج لغوي كبير.
وكانت الأهداف حسابات تخزين Azure، حيث نجح معظم عمليات الحذف؛ وخزائن المفاتيح؛ وقواعد بيانات SQL، حيث أخفقت محاولات الحذف لأن إصدارات الواجهة البرمجية المستخدمة غير مدعومة؛ وتطبيقات Function وخطط App Service؛ وأقفال الحماية في Azure Site Recovery وAzure Backup، أي الضوابط التي تتيح الاستعادة أصلاً.
المدخل كان تذكرة عامة على GitHub
نقطة الدخول هي الجزء الذي ينبغي للمدافعين قراءته مرتين. تقول مايكروسوفت إن المهاجمين استخدموا اثنين من «مبادئ الخدمة» المخترقة داخل المستأجر نفسه، وهي الهويات غير البشرية التي تتيح للتطبيقات والأدوات الآلية المصادقة لدى Azure.
وتكتب مايكروسوفت أن بيانات اعتمادهما «كانت قد كُشفت سابقاً بنص صريح في تذكرة عامة على GitHub». وجرى لاحقاً حذف السر من النص، لكنه «ظل متاحاً عبر سجل التعديلات العام للتذكرة».
لا شيء في ذلك يتطلب ذكاءً اصطناعياً. ما يوحي بالتنسيق هو السرعة: يُظهر الجدول الزمني لمايكروسوفت أن مبدأ الخدمة الأول أحصى الموارد 15.5 ساعة، وبدأ الثاني بعد 90 دقيقة، ثم جرى مسح لإعدادات App Service بعد 16 ساعة، تلته مرحلة التدمير التي دامت سبع دقائق، ثم جولة لجمع بيانات الاعتماد بعدها بثلاثين دقيقة.
لا رسالة فدية
التفصيل غير المعتاد هو ما لم يحدث. تقول مايكروسوفت صراحة: «لم نرصد رسالة فدية ولم نؤكد نجاح تسريب بيانات في النشاط الموصوف هنا».
ومع ذلك أزال المهاجم أولاً أقفال النسخ الاحتياطي والاستعادة، وهو تحديداً ما تفعله عمليات الابتزاز كي يصبح الدفع الخيار الوحيد. فإما أن الطلب وصل عبر قناة لم ترصدها مايكروسوفت، وإما أن التدمير كان هو الغاية.
وتضع مايكروسوفت الحادثة في إطار «هجمات ينسّقها الذكاء الاصطناعي، حيث يستطيع الفاعلون تنسيق عمليات معقّدة بعد الاختراق عبر البيئات السحابية بسرعة ونطاق أكبر». ولا تفصّل مدونتها أي منظومة وكلاء استخدمتها Storm-3168، والتمييز جدير بالانتباه: السرعة موثّقة، أما نسبتها إلى نموذج فهو توصيف Sysdig للمجموعة لا أمر تبرهن عليه مايكروسوفت في هذا المنشور.
ما العمل
إجراءات مايكروسوفت غير براقة وأقدم في معظمها من عصر الوكلاء: تفعيل Defender for Cloud، وإبقاء بيانات الاعتماد خارج المستودعات وخيوط التذاكر، وتدوير البيانات المكشوفة فوراً، ومنح مبادئ الخدمة أقل الصلاحيات، وحماية بنية النسخ الاحتياطي. كما توصي بأدوات دفاعها القائمة على الوكلاء.
أما الدرس القابل للنقل فأضيق. فسرّ لُصق في تذكرة على GitHub قبل عامين كان دائماً خطراً. ما تغيّر هو ضآلة الوقت المتاح اليوم للمدافع بين العثور على بيانات الاعتماد واختفاء حسابات التخزين.
