خداع شبكة خبيثة عمرها 23 عاما لعزل أجهزتها المصابة
عطلت عملية دولية شبكة Sality عبر تزييف قوائم الاتصال التي تستخدمها أكثر من 15 ألف حاسوب مصاب، فعزلتها عن المشغل بعد 23 عاما من النشاط. لكن الأجهزة ما زالت تحتاج إلى تنظيف، وقد يحاول المسؤول المجهول بناء الشبكة من جديد.
تعرضت شبكة Sality الخبيثة لعملية تعطيل دولية بعد 23 عاما من النشاط. لم يعتمد المدافعون على إغلاق خادم مركزي، لأن الأجهزة المصابة كانت تتبادل الأوامر مباشرة. بدلا من ذلك، تلاعبوا بالقوائم التي تستخدمها الأجهزة للعثور على بعضها، فعزلوا أعدادا متزايدة منها عن المشغل.
الخلاصة في 30 ثانية
- ماذا حدث؟ عزلت CrowdStrike وجهات أميركية وأوروبية أكثر من 15 ألف جهاز مصاب، وصادرت نطاقات مرتبطة بالشبكة.
- لماذا يهم؟ تثبت العملية أن الشبكات الند للند ليست محصنة أمام التعطيل إذا فهم المدافعون بروتوكول اتصالها بدقة.
- ما الذي لم يُثبت؟ انقطاع قناة الأوامر لا يزيل البرمجيات الخبيثة تلقائيا من أجهزة الضحايا، كما أن هوية المشغل لم تُكشف.
شبكة بلا مفتاح إيقاف واحد
ظهرت Sality عام 2003 كبرمجية تصيب الملفات التنفيذية، ثم تطورت إلى شبكتين تعملان بنموذج الند للند. كانت الحواسيب المخترقة تتبادل الأوامر فيما بينها بدلا من الرجوع إلى خادم تحكم مركزي، ولذلك لم يكن الاستيلاء على جهاز أو نطاق واحد كافيا لإيقافها.
انتشرت البرمجية عبر المجلدات المشتركة ووسائط التخزين القابلة للإزالة ومشاركة الملفات، ثم حمّلت أدوات إضافية لسرقة بيانات الدخول وإرسال الرسائل المزعجة وتشغيل خدمات وسيطة وتنفيذ هجمات حجب الخدمة. وتقول CrowdStrike إن حمولة EggJagger راقبت الحافظة خلال الأعوام الثمانية الأخيرة، واستبدلت عناوين محافظ العملات الرقمية المنسوخة بعناوين يسيطر عليها المهاجم.
الرقم الأهم: كانت Sality توزع حمولات خبيثة على أكثر من 15 ألف جهاز مصاب قبل عملية التعطيل، وفقا لـCrowdStrike.
كيف سُممت خريطة زائفة للشبكة؟
احتفظ كل جهاز مصاب بقائمة من «الأقران الفائقين» المتاحين عبر الإنترنت كي يعثر من خلالهم على بقية الشبكة. وكانت البرمجية تفحص هذه العناوين كل 40 دقيقة تقريبا، وتحذف من لا يستجيب. استغل الفريق هذه الآلية بإدخال عناوين تقود إلى بنية يسيطر عليها المدافعون، مع إبعاد الأقران الحقيقيين من القوائم.
دفعت المعلومات الزائفة أعدادا متزايدة من الأجهزة إلى الاتصال بمصائد رقمية بدلا من مشغل الشبكة. وبالتوازي، صادر وزارة العدل ومكتب التحقيقات الفيدرالي وجهة التحقيق في وزارة الدفاع الأميركية نطاقات مرتبطة بـSality، بينما اتخذت سلطات بلغاريا والمجر ورومانيا إجراءات ضد نطاقات أوروبية.
لماذا كانت العملية أصعب من مصادرة نطاق؟
يمكن لمصادرة النطاقات تعطيل منصات تعتمد عليها مباشرة، كما حدث عندما عطلت الولايات المتحدة أدوات قرصنة اختبأت خلف أجهزة إنترنت مصابة. أما Sality فاستطاعت مواصلة توزيع الأوامر بين الأجهزة من دون مركز واحد، ما فرض التدخل داخل طريقة تعارف الأقران واتصالهم.
تعمل مؤسسة Shadowserver الآن مع مزودي الإنترنت وفرق الاستجابة للحوادث لتحديد الأجهزة المتضررة ومساعدة أصحابها. وتبقى هذه الخطوة ضرورية، لأن عزل الحاسوب عن المشغل لا يحذف الملفات الخبيثة الموجودة داخله ولا يعالج الثغرات الأخرى.
قبل أن نبالغ في النتيجة
تقول CrowdStrike إن الشبكة لم تعد تحت سيطرة مشغلها، لكن الشخص المسؤول لم يُعتقل وقد يحاول بناء بنية بديلة. ويعبر رقم 15 ألف جهاز عن مدى الرصد الحالي، لا عن جميع الإصابات التاريخية بالضرورة. كما أن العملية قطعت الاتصال ولم تنظف حواسيب الضحايا عن بعد، ولذلك ما زال إخطار المتضررين وفحص الأجهزة ومعالجتها مطلوبا.
الاختبار التالي
سيتضح نجاح العملية على المدى الأطول من قدرة المصائد الرقمية على الاحتفاظ بالأجهزة وهي تحدث قوائمها، ومن رد المشغل المحتمل. وتكشف Sality مفارقة مهمة للمدافعين: إزالة مركز الشبكة قد تخفي نقطة ضعف تقليدية، لكن البروتوكول الذي يحافظ على ترابط الأقران يمكن أن يصبح مدخلا مختلفا للتعطيل.
كيانات وموضوعات موثّقة
المصادر والمراجع4 مصادر
المراجع الخارجية المستخدمة لدعم المعلومات الواردة في هذا المقال.
نشر بواسطة
مكتب نيو تقنية – سياسات التقنية
فريق تحريري مؤسسي تابع لنيو تقنية
