دنیای امنیت سایبری شبیه یک رمان کارآگاهی پرهیجان است که هر روز پیچیدگیهای جدیدی در داستان آن ظاهر میشود. از حقههای هوشمندانه مهندسی اجتماعی گرفته تا ارتشهای عظیم دستگاههای هکشده، تشخیص اینکه کدام تهدیدها واقعی و کدامها فقط سروصدا هستند، روزبهروز سختتر میشود. این مقاله با کنار زدن هیاهوی اخبار روزانه، ۱۰ مورد از غافلگیرکنندهترین و تأثیرگذارترین داستانها و روندهای امنیتی را که واقعاً اهمیت دارند، بر اساس آخرین تحقیقات متخصصان برجسته این حوزه، برای شما آشکار میسازد.
1. هوش مصنوعی، بزرگترین کانال نشت اطلاعات شرکت شماست (و تقصیر خودتان است!)
در حالی که همه مجذوب قدرت هوش مصنوعی شدهاند، کمتر کسی متوجه شده است که این فناوری بیسروصدا به کانال شماره یک برای خروج غیرمجاز دادهها از شرکتها تبدیل شده است. نکته جالب اینجاست که خود هوش مصنوعی مقصر نیست، بلکه نحوه استفاده کارمندان از آن، این فاجعه را رقم زده است. این موضوع اهمیت استراتژیک «حاکمیت هوش مصنوعی» را بیش از پیش آشکار میکند.
بر اساس تحلیلها، نشت اطلاعات از دو مسیر اصلی اتفاق میافتد:
- استفاده کارمندان از حسابهای شخصی: طبق گزارش LayerX، اصلیترین راه برای خروج دادههای شرکتی، کپی و پیست کردن اطلاعات حساس (مانند اطلاعات هویتی مشتریان یا کدهای داخلی) توسط کارمندان در حسابهای شخصی ChatGPT یا ابزارهای مشابه است. این کار یک نقطه کور عظیم برای تیمهای امنیتی ایجاد میکند، زیرا هیچ نظارتی بر این فعالیتها ندارند.
- عاملهای هوش مصنوعی (AI Agents) با قوانین سهلگیرانه: یک عامل هوش مصنوعی را مانند یک «کارآموز مشتاق اما بیتجربه» در نظر بگیرید. تحقیقات واحد ۴۲ نشان میدهد که اگر این عاملها دستورالعملهای امنیتی بسیار دقیقی نداشته باشند (مانند محدود کردن پرامپتها و اجرای آنها در یک محیط ایزوله یا سندباکس)، مهاجمان میتوانند به راحتی آنها را فریب دهند تا اطلاعات حساس را فاش کنند، از ابزارها سوءاستفاده کنند یا حتی کدهای مخرب را از راه دور اجرا کنند. این ریسکها به یک فریمورک خاص مانند CrewAI یا AutoGen محدود نمیشوند، بلکه ناشی از طراحی ناامن هستند. این موضوع به قدری جدی گرفته شده که غولهای این صنعت حاضرند برای حل آن پول خرج کنند. برای مثال، گوگل اخیراً یک برنامه جایزه (باگ بانتی) مخصوص هوش مصنوعی راهاندازی کرده و تا ۲۰,۰۰۰ دلار به محققانی پاداش میدهد که آسیبپذیریهای منجر به نشت اطلاعات یا دستکاری مدلها را پیدا کنند؛ این یعنی حتی سیستمهای خود گوگل هم به نظارت دائمی بیرونی نیاز دارند.
بذار خلاصه بگم 👇 کارمندان با کپی کردن اطلاعات حساس شرکت در اکانتهای شخصی هوش مصنوعی و همچنین تنظیمات امنیتی ضعیف در «عاملهای هوش مصنوعی»، باعث شدهاند که هوش مصنوعی به اصلیترین راه برای دزدیده شدن اطلاعات تبدیل شود.
2. اینترنت آمریکا در حال فلج شدن است، و مقصر اصلی روتر وایفای شماست!
حملات منع سرویس توزیعشده (DDoS) موضوع جدیدی نیستند، اما منشأ و مقیاس آنها اخیراً تغییری تکاندهنده داشته است. تصور کنید دستگاههای معمولی خانگی در ایالات متحده، مانند روتر و دوربینهای امنیتی، به قدرتمندترین سلاح سایبری جهان تبدیل شدهاند و اینترنت این کشور را با اختلال جدی مواجه کردهاند.
بر اساس گزارش Krebs on Security، یک باتنت به نام Aisuru که بر پایه کدهای باتنت بدنام Mirai ساخته شده، مسئول این حملات است. نکات غافلگیرکننده درباره این باتنت عبارتند از:
- مقیاس بیسابقه: حجم حملات این باتنت به رقم حیرتانگیز نزدیک به ۳۰ ترابیت بر ثانیه (Tbps) رسیده است که یک رکورد تاریخی محسوب میشود.
- منشأ غافلگیرکننده: بخش عمدهای از قدرت این باتنت از دستگاههای اینترنت اشیاء (IoT) هکشده در خانههای کاربران شرکتهای بزرگ اینترنتی آمریکا مانند AT&T، Comcast و Verizon تأمین میشود.
- مشکل ترافیک «خروجی»: تمرکز این دستگاههای آلوده در یک منطقه، مشکل بزرگی ایجاد کرده است. شرکتهای اینترنتی برای مقابله با حملات ورودی مجهز هستند، اما وقتی حجم عظیمی از ترافیک مخرب خروجی از دستگاههای مشتریان خودشان شبکه را ترک میکند، باعث اختلال گسترده در سرویسدهی به سایر کاربران میشود.
“برای مثال، ما تنها از شبکه Comcast ترافیکی معادل ۵۰۰ گیگابیت را مشاهده کردهایم. این حجم از ترافیک خروجی از شبکه آنها… منجر به ازدحام و اختلال در دسترسی به سایر سرویسها در حین حمله میشود.”
این حملات گسترده و غیرشخصی، در تضاد کامل با حقههای مهندسی اجتماعی بسیار شخصی قرار دارند که در ادامه به آن میپردازیم.
بذار خلاصه بگم 👇 یک ارتش بزرگ از دستگاههای اینترنت اشیاء (مثل مودم و دوربین) در خانههای آمریکاییها هک شده و بزرگترین حملات سایبری تاریخ را رقم زده که حتی باعث اختلال در سرویسدهی شرکتهای اینترنتی بزرگ میشود.
3. «برای تعمیر کلیک کنید»: حقه جدیدی که شما را به هکر سیستم خودتان تبدیل میکند!
آگاهی کاربران همیشه یکی از مهمترین سدها در برابر حملات مهندسی اجتماعی بوده است. اما تکنیک جدیدی به نام «ClickFix» با سوءاستفاده هوشمندانه از غریزه کاربر برای حل مشکلات فنی ساده، این سد را دور میزند و خود شما را به عامل اجرای بدافزار تبدیل میکند.
بر اساس گزارش وبلاگ امنیتی مایکروسافت، زنجیره این حمله به شکل زیر عمل میکند:
- کاربر از طریق فیشینگ، تبلیغات مخرب یا یک وبسایت هکشده، به یک صفحه وب کشانده میشود.
- این صفحه یک پیام خطای جعلی، یک کپچا یا درخواست تأیید هویت (اغلب با جعل هویت برندهایی مانند Cloudflare یا Discord) نمایش میدهد.
- سپس از کاربر میخواهد تا با فشردن یک دکمه (که مخفیانه یک دستور مخرب را در کلیپبورد کپی میکند) و سپس باز کردن پنجره «Run» ویندوز (با کلیدهای Win + R) و پیست کردن آن دستور، مشکل را «تعمیر» کند.
- کاربر که گمان میکند در حال حل یک مشکل ساده است، شخصاً بدافزار را روی سیستم خود اجرا میکند!
بر اساس گزارش Microsoft Threat Intelligence، این تکنیک اکنون کاربران macOS را نیز هدف قرار داده و بدافزارهای سرقت اطلاعات مانند Atomic macOS Stealer (AMOS) را منتشر میکند. درحالیکه حقه «ClickFix» یک کاربر را به همدست ناآگاه خود تبدیل میکند، سندیکاهای جرایم سازمانیافتهای که پشت این حملات هستند، بسیار بزرگتر فکر میکنند و برای گسترش عملیات خود در سطح جهانی، در حال تشکیل اتحادهای استراتژیک هستند.
بذار خلاصه بگم 👇 هکرها با نمایش یک خطای جعلی یا کپچای ساختگی، شما را فریب میدهند تا یک دستور مخرب را کپی کرده و در کامپیوتر خود اجرا کنید. در واقع، شما با دست خودتان در را برایشان باز میکنید!
4. گروههای باجافزاری در حال تشکیل «ابرگروه» هستند، درست مثل یک گروه موسیقی شرور!
مدل کسبوکار باجافزارها در حال تحول است. گروههای باجافزاری که زمانی رقیب یکدیگر بودند، اکنون به جای رقابت، در حال تشکیل اتحادهای استراتژیک هستند تا سازمانیافتهتر و قدرتمندتر از همیشه عمل کنند.
اخیراً شاهد شکلگیری یک ائتلاف استراتژیک میان گروههای برجستهای مانند LockBit، Qilin و DragonForce بودهایم. این همکاری را میتوان به تشکیل یک «ابرگروه موسیقی» از شخصیتهای شرور تشبیه کرد. هدف این ائتلاف، به اشتراک گذاشتن تکنیکها، منابع و زیرساختها برای اجرای حملات مؤثرتر است.
بر اساس تحلیل ReliaQuest، این اتحاد میتواند به بازسازی اعتبار LockBit پس از عملیات پلیسی علیه آن کمک کرده و منجر به موج جدیدی از حملات علیه زیرساختهای حیاتی شود. جالب اینجاست که گروه Qilin اخیراً به یکی از فعالترین گروههای باجافزاری تبدیل شده و به طور نامتناسبی سازمانهای آمریکای شمالی را هدف قرار میدهد. اما تشکیل اتحاد تنها نیمی از ماجراست؛ جایزه اصلی، اطلاعات ورود (credentials) است. و همانطور که یک حادثه اخیر نشان میدهد، گاهی ویرانگرترین سرقت اطلاعات ورود نه از یک حمله پیچیده، بلکه از پیدا کردن کلیدی ناشی میشود که با بیدقتی در یک صندوقچه دیجیتال رها شده است.
بذار خلاصه بگم 👇 بزرگترین گروههای باجافزاری به جای رقابت، با هم متحد شدهاند تا با به اشتراک گذاشتن ابزارها و اطلاعاتشان، حملات بزرگتر و موفقتری را سازماندهی کنند و خطرناکتر از همیشه شوند.
5. هکرها کلیدهای قلعه را دزدیدند (به معنای واقعی کلمه، از یک نسخه پشتیبان ابری!)
مؤثرترین حملات سایبری اغلب آنهایی هستند که پیچیدهترین دفاعها را به طور کامل دور میزنند. حادثه اخیر SonicWall نمونه بارزی از این استراتژی است؛ چرا باید در را شکست، وقتی میتوان با کلید دزدیدهشده به راحتی وارد شد؟
بر اساس گزارش SecurityAffairs، اخیراً شاهد موج گستردهای از نفوذ به دستگاههای SSL VPN شرکت SonicWall بودهایم که در آن مهاجمان با استفاده از نام کاربری و رمز عبور کاملاً معتبر وارد سیستم شدهاند.
- علت اصلی چه بود؟ یک رخنه امنیتی قبلی که در آن مهاجمان به فایلهای پیکربندی فایروالها که در سرویس پشتیبانگیری ابری SonicWall ذخیره شده بودند، دسترسی پیدا کردند.
- چه چیزی دزدیده شد؟ این فایلهای پشتیبان حاوی اطلاعات حساسی از جمله اطلاعات ورود رمزنگاریشده کاربران بودند که مهاجمان احتمالاً موفق به شکستن رمز آنها شدهاند.
- نتیجه چه شد؟ این اتفاق به مهاجمان اجازه داد تا بدون نیاز به حملات Brute-force و حتی با وجود احراز هویت چندعاملی (MFA)، به عنوان یک کاربر قانونی وارد شبکه شوند، شبکههای داخلی را اسکن کنند و خود را برای حملات بعدی مانند استقرار باجافزار Akira آماده کنند.
حالا که مهاجمان کلیدها را در دست دارند، بدافزارهایشان چگونه از چشم سیستمهای دفاعی باقیمانده پنهان میشوند؟
بذار خلاصه بگم 👇 هکرها به جای تلاش برای هک کردن VPN شرکتها، به سراغ فایلهای پشتیبان آنلاین فایروالها رفتند و اطلاعات ورود کارمندان را از آنجا دزدیدند. حالا با استفاده از یوزرنیم و پسوردهای واقعی، به راحتی وارد شبکهها میشوند.
6. آنتیویروس شما بدافزارهای «هزارچهره» را نمیبیند!
آنتیویروسهای سنتی مانند یک نگهبان امنیتی عمل میکنند که فقط مجرمان شناختهشده را از روی آلبوم عکس تشخیص میدهد، اما در برابر یک استاد تغییر چهره کاملاً بیدفاع است. بدافزارهای مدرن دقیقاً همینگونه عمل میکنند و با استفاده از تکنیکهای «ابهامسازی» (Obfuscation) خود را از چشم آنتیویروسها پنهان میکنند.
ابهامسازی یعنی پنهان کردن کد مخرب برای فرار از شناسایی. در اینجا چند تکنیک کلیدی را با زبانی ساده توضیح میدهیم:
- بستهبندی و رمزگذاری (Packing & Encryption): این کار شبیه قرار دادن یک بمب در یک عروسک ماتریوشکا است؛ اسکنر امنیتی فقط عروسک بیرونی و بیخطر را میبیند، در حالی که تهدید واقعی در لایههای درونی پنهان شده است.
- کد چندریخت و دگرریخت (Polymorphic & Metamorphic Code): این بدافزارها مانند یک «تغییرشکلدهنده» عمل میکنند و با هر بار آلودهسازی، ساختار کد خود را تغییر میده دهند. به این ترتیب، امضای دیجیتال آنها هیچوقت یکسان نیست و در آلبوم عکس نگهبان امنیتی قرار نمیگیرد.
- زندگی با ابزارهای موجود (Living Off the Land – LOLBins): در این روش، بدافزار سلاحهای خود را به همراه نمیآورد، بلکه از ابزارهای قانونی و موجود روی خود کامپیوتر (مانند PowerShell) برای انجام کارهای مخرب استفاده میکند. این باعث میشود فعالیت آن کاملاً عادی به نظر برسد.
- دور زدن AMSI: حتی دفاعهای مدرن ویندوز مانند AMSI (Antimalware Scan Interface) نیز میتوانند فریب بخورند. مهاجمان با دستکاری حافظه، آن را کور میکنند؛ درست مانند اینکه روی لنز دوربین امنیتی چسب بزنند.
این بدافزارهای پنهانکار اکنون در بستهبندیهای جدید و فریبندهتری نیز عرضه میشوند.
بذار خلاصه بگم 👇 بدافزارهای جدید مثل یک بازیگر حرفهای دائماً چهره و کد خود را تغییر میدهند یا از ابزارهای خود ویندوز برای مخفی شدن استفاده میکنند. به همین دلیل، آنتیویروسهای قدیمی که فقط دنبال کدهای شناختهشده میگردند، نمیتوانند آنها را شناسایی کنند.
7. آن «آپدیت نرمافزار» که دانلود میکنید، شاید یک اسب تروا در بستهبندی جدید باشد.
مهاجمان سایبری دائماً در حال تطبیق خود برای سوءاستفاده از فناوریهای جدید و قانونی هستند. فرمت نصب نرمافزار MSIX آخرین نمونه از یک ابزار قابل اعتماد است که به سلاحی در دست هکرها تبدیل شده است.
بر اساس گزارش Red Canary، سوءاستفاده از این فرمت در حال افزایش است:
- MSIX چیست؟ این یک فرمت مدرن و رسمی بستهبندی نرمافزار در ویندوز است که توسط توسعهدهندگان برای ارائه برنامههای قانونی استفاده میشود.
- چگونه از آن سوءاستفاده میشود؟ گروههایی مانند FIN7 با استفاده از تبلیغات مخرب یا دستکاری نتایج موتورهای جستجو (SEO Poisoning)، کاربران را فریب میدهند تا نسخههای جعلی نرمافزارهای محبوب مانند Zoom، Grammarly یا Microsoft Teams را دانلود کنند.
- چرا این روش مؤثر است؟ از آنجایی که MSIX یک فرمت مورد اعتماد ویندوز است، گاهی اوقات میتواند بررسیهای امنیتی اولیه را دور بزند و به راحتی اجرا شود.
- نتیجه چیست؟ این نصبکنندههای مخرب برای توزیع بدافزارهای خطرناکی مانند NetSupport RAT، Zloader و Redline stealer استفاده میشوند.
در حالی که این تکنیکها کاربران عادی را هدف قرار میدهند، بازیگران دولتی از روشهای بسیار پیچیدهتری استفاده میکنند.
بذار خلاصه بگم 👇 هکرها دارند از فرمت جدید و رسمی نصب نرمافزار در ویندوز (MSIX) برای پخش بدافزار استفاده میکنند. شما فکر میکنید در حال نصب یک برنامه معتبر مثل Zoom هستید، اما در واقع دارید به یک بدافزار اجازه ورود میدهید.
8. هکرهای دولتی اکنون از تاکتیک «آوردن درایور آسیبپذیر خود» استفاده میکنند!
بازیگران دولتی از روشهای بسیار پیچیده و پنهانی برای نفوذ به سیستمها استفاده میکنند. تکنیک «آوردن درایور آسیبپذیر خود» (BYOVD) یکی از این روشهای نینجا-مانند است که به آنها اجازه میدهد سیستمهای امنیتی را از درون غیرفعال کنند.
بر اساس گزارش واحد ۴۲، یک گروه هکری وابسته به ایران به نام Agonizing Serpens از این تکنیک برای اهداف خود استفاده کرده است:
- هدف آنها چیست؟ دور زدن راهحلهای پیشرفته شناسایی و واکنش در نقاط پایانی (EDR).
- تکنیک چگونه کار میکند؟ مهاجمان به جای حمله مستقیم به نرمافزار امنیتی، یک قطعه نرمافزار قانونی اما قدیمی و آسیبپذیر (یک درایور کرنل مانند
gmer64.sys) را با خود به سیستم قربانی میآورند. - جادوی کار کجاست؟ آنها از سطح دسترسی بالای این درایور آسیبپذیر استفاده میکنند تا فرآیندهای نرمافزار امنیتی را از داخل سیستم متوقف کنند. این کار شبیه جاسوسی است که با استفاده از یک شاهکلید قدیمی و فراموششده، کل سیستم امنیتی را خاموش میکند.
- اهمیت موضوع: این تکنیک نشاندهنده تکامل تواناییهای این گروه و تمرکز آنها بر روی پنهانکاری و فرار از شناسایی است.
از حملات به نقاط پایانی، به سراغ آسیبپذیریهای کلاسیک در وباپلیکیشنها میرویم.
بذار خلاصه بگم 👇 هکرهای حرفهای به جای جنگیدن با نرمافزارهای امنیتی، یک درایور قدیمی و آسیبپذیر را با خود به سیستم میآورند و از آن به عنوان یک «شاه کلید» برای خاموش کردن کامل سیستم امنیتی از داخل استفاده میکنند.
9. آپلود یک «عکس ساده» هنوز هم میتواند سرور شما را منفجر کند!
گاهی اوقات قدیمیترین حقهها، مؤثرترینها هستند، بهویژه در دنیای امنیت وب. فرمهای آپلود فایل یک ویژگی فریبنده و ساده به نظر میرسند، اما در دل خود خطرات پنهان بزرگی دارند. بر اساس مقاله Acunetix، ایمنسازی این فرمها کار دشواری است و مهاجمان راههای خلاقانهای برای دور زدن دفاعهای رایج دارند:
- شکست لیست سیاه (Blacklist): مسدود کردن پسوندهایی مانند
.phpبیفایده است، زیرا مهاجمان میتوانند از جایگزینهایی مانند.phtml، حروف بزرگ (.PhP) یا پسوندهای دوگانه (shell.php.jpg) استفاده کنند. - حقه
**.htaccess**: در یک سرور آپاچی، مهاجم ابتدا یک فایل.htaccessآپلود میکند که به سرور دستور میدهد فایلهای تصویری (مانند.jpg) را به عنوان اسکریپتهای اجرایی در نظر بگیرد. سپس، کد مخرب خود را که در قالب یک عکس پنهان شده، آپلود میکند. - جعل هِدِر (Header Spoofing): حتی اگر سرور بررسی کند که فایل دارای هِدِر معتبر یک تصویر است، مهاجم میتواند به سادگی کد مخرب خود را در متادیتای تصویر (مانند بخش نظرات) جاسازی کند.
حالا که با ترفندهای مهاجمان آشنا شدیم، ببینیم مدافعان چگونه برای مقابله با آنها آماده میشوند.
بذار خلاصه بگم 👇 فرمهای آپلود فایل در وبسایتها بسیار خطرناک هستند. هکرها میتوانند کدهای مخرب را در قالب یک فایل عکس بیخطر پنهان کنند و با ترفندهایی سرور را مجبور به اجرای آن کنند، که میتواند منجر به هک کامل سرور شود.
10. خوبها هم بیکار ننشستهاند: تمرین در باشگاه دیجیتال برای مبارزه با هکرها!
در مقابل هر تکنیک جدید حمله، مدافعان نیز روشهای نوینی برای آموزش و آمادهسازی خود توسعه میدهند. خوشبختانه، دنیای امنیت از یک رویکرد واکنشی به سمت یک وضعیت پیشگیرانه در حال حرکت است.
مفهوم شبیهسازی دشمن (Adversary Emulation) یا شبیهسازی تهدید (Threat Simulation) در همین راستا شکل گرفته است. این رویکرد را میتوان به یک «باشگاه دیجیتال» یا «ربات مبارز تمرینی» تشبیه کرد.
- ابزارها چگونه کار میکنند؟ ابزارهایی مانند Atomic Red Team و SWAT مجموعهای از تستهای ایمن و از پیش آمادهشده را ارائه میدهند که تکنیکهای مهاجمان در دنیای واقعی را (بر اساس چارچوب MITRE ATT&CK) شبیهسازی میکنند.
- نتیجه چیست؟ تیمهای امنیتی (تیم آبی) میتوانند این شبیهسازیها را در محیط خود اجرا کنند تا ببینند آیا ابزارهای شناسایی و رویههایشان واقعاً کار میکنند یا خیر. این کار به آنها اجازه میدهد تا شکافهای امنیتی را قبل از وقوع یک حمله واقعی پیدا و اصلاح کنند.
- اهمیت استراتژیک: این رویکرد نشاندهنده یک تغییر بنیادین در استراتژی دفاعی است؛ از انتظار برای حمله به سمت شکار فعالانه نقاط ضعف.
نتیجهگیری
چشمانداز امنیت سایبری دائماً در حال تغییر است، اما کلید ایمن ماندن، آگاهی و دفاع پیشگیرانه است. مهاجمان خلاقتر و سازمانیافتهتر میشوند و روشهای غافلگیرکنندهای را برای دور زدن دفاعها ابداع میکنند. از خود بپرسید: با توجه به این تهدیدهای جدید و غیرمنتظره، سازمان شما چقدر برای شناسایی و مقابله با آنها آماده است؟
“Clarity builds trust. Let’s make complexity simple — together.” — ClaritySec