روزنامه پرشین‌سکیوریتی — ۱۶ مهر ۱۴۰۵ — تلاقی هوش مصنوعی و زنجیره‌های تأمین در عصر جدید تهدیدات سایبری
روایت روز
در روزهای اخیر، چشم‌انداز تهدیدات سایبری با ظهور ابزارهای هوش مصنوعی، وارد مرحله‌ای متناقض شده است؛ جایی که AI هم به عنوان سلاحی برای مهاجمان و هم به عنوان سطحی جدید برای آسیب‌پذیری عمل می‌کند. در حالی که بات‌نت PoeLLM با روشی نوآورانه و استفاده از اشعار در GitHub برای مخفی‌سازی سرورهای فرماندهی و کنترل (C2)، هزاران سرور AI از جمله LiteLLM و Ollama را برای استخراج رمزارز آلوده کرده است، در سوی دیگر شاهدیم که زیرساخت‌های این فناوری نیز آسیب‌پذیرند. کشف یک نقص بحرانی RCE در LMCache با امتیاز ۹.۸ که به دلیل استفاده ناامن از Python pickle رخ داده و در حال حاضر فاقد وصله امنیتی است، نشان می‌دهد که شتاب در توسعه ابزارهای هوش مصنوعی نباید منجر به نادیده گرفتن اصول بنیادین امنیت شود. این خطر زمانی دوچندان می‌شود که ابزارهای AI مانند ARTEX به مهاجمان تک‌نفره اجازه می‌دهند تا با سرعتی باورنکردنی به سازمان‌های مالی بزرگ، از جمله در کره جنوبی، نفوذ کنند.
در کنار تحولات AI، حملات زنجیره تأمین با پیچیدگی بیشتری در حال تکامل هستند و محیط‌های توسعه را به میدان نبردی حساس تبدیل کرده‌اند. کمپین GhostAction با تزریق گردش‌کارهای مخرب در GitHub Actions، توانسته است اعتبارنامه‌های CI/CD صدها سازمان را به سرقت ببرد. همزمان، آلودگی بسته npm با نام tensorlake و انتشار کرم Shai-Hulud، لبه جدیدی از این حملات را به نمایش گذاشت؛ بدافزاری که نه تنها توکن‌های محیط‌های Kubernetes و Vault را می‌رباید، بلکه از قراردادهای هوشمند اتریوم برای مدیریت C2 استفاده می‌کند تا شناسایی خود را برای سیستم‌های دفاعی دشوار سازد. در واکنش به این موج، پلتفرم Gitea با انتشار به‌روزرسانی جدید، ۲۷ آسیب‌پذیری از جمله نقص‌های بحرانی در احراز هویت SSH را برطرف کرده است تا سدی در برابر این نفوذهای گسترده ایجاد کند.
در سطح عملیات‌های پیشرفته (APT)، شاهد تداوم رقابت‌های ژئوپلیتیک در فضای سایبری هستیم. گروه UAC-0099 وابسته به روسیه با تکامل بدافزار Matchboil، ابزاری پیچیده برای جاسوسی از زیرساخت‌های اوکراینی ایجاد کرده است که با تکنیک‌های Obfuscation پیشرفته، مسیر دسترسی برای گروه Sandworm را هموار می‌کند. از سوی دیگر، عاملان تهدید کره شمالی با بهره‌گیری از زیرساخت‌های Web3، در حال مسموم کردن زنجیره تأمین متن‌باز برای سرقت کلیدهای IAM و توکن‌های حساس هستند. این رویکردها نشان می‌دهد که مهاجمان دولتی دیگر به زیرساخت‌های سنتی اکتفا نمی‌کنند و در حال ادغام با فناوری‌های غیرمتمرکز برای دور زدن سیستم‌های شناسایی هستند.
همزمان با این حملات هدفمند، آسیب‌پذیری‌های زیرساختی در لایه‌های پایین‌تر، یعنی هسته سیستم‌عامل و سخت‌افزار، همچنان تهدیدی جدی هستند. کیت اکسپلویت BlueMoon با ترکیب سه آسیب‌پذیری در کروم و هسته ویندوز، امکان اجرای بدافزارهای جاسوسی مانند ShadowPad را فراهم کرده است. در حوزه تجهیزات شبکه نیز، هشدار FBI درباره کمپین FortiBleed و کشف آسیب‌پذیری تزریق دستورات در تجهیزات Iskratel Innbox، ریسک مسدود شدن دسترسی مدیران و ایجاد دسترسی‌های پنهان در هزاران دستگاه را به شدت افزایش داده است. این زنجیره از نقص‌ها نشان می‌دهد که حتی با وجود لایه‌های امنیتی مدرن، حفره‌های موجود در Firmware و Kernel می‌توانند تمام تلاش‌های دفاعی را بی‌اثر کنند.
در نهایت، پیامدهای انسانی و سازمانی این بحران‌ها در نشت گسترده داده‌های ۲۰ میلیون کاربر Oracle Health و حملات باج‌افزاری گروه Storm به مراکز خدمات اضطراری کانادا (CETAM) و سازمان TheraCare در آمریکا متجلی شده است. این حوادث، به‌ویژه در حوزه سلامت، ریسک‌های حیاتی امنیت سایبری را برجسته می‌کند. نکته تأمل‌برانگیز در این میان، تحلیل‌های جدید درباره ناکارآمدی مسدود کردن دامین‌ها در برابر فیشینگ است؛ رویکردی که نشان می‌دهد SOCها باید از لایه دامین فراتر رفته و بر ردیابی زیرساخت سرورها و ابطال نشست‌های (Session) سرقتی تمرکز کنند، زیرا مهاجمان با استفاده از تکنیک‌هایی مانند Bookmarkletهای مخرب در پلتفرم Fomo، حتی بدون نیاز به Seed Phrase، دارایی‌های Web3 کاربران را تخلیه می‌کنند.
مهم‌ترین نکات امروز
- بروزرسانی فوری: مدیران زیرساخت توسعه باید فوراً Gitea را به نسخه 28.1.0 ارتقا داده و دسترسی‌های مدیریتی در تجهیزات Iskratel را از طریق WAN مسدود کنند.
- بازنگری در دفاع: تیم‌های امنیتی (SOC) باید استراتژی مقابله با فیشینگ را از مسدود کردن دامین‌ها به تحلیل توکن‌های نشست و شناسایی حملات AiTM تغییر دهند.
- پایش محیط‌های CI/CD: بررسی دقیق گردش‌کارهای GitHub Actions برای شناسایی تزریق‌های احتمالی مشابه GhostAction و نظارت بر بسته‌های npm مورد استفاده در پروژه.
پیوندهای این شماره
آسیب‌پذیری بحرانی LMCache: لینک
حمله GhostAction: لینک
تکامل بدافزار Matchboil: لینک
کیت اکسپلویت BlueMoon: لینک
نشت داده‌های Oracle Health: لینک
بات‌نت PoeLLM: لینک
کرم Shai-Hulud: لینک
اصلاحات امنیتی Gitea: لینک
