تحوّلت خدمة التخزين السحابي إلى ناقل هادئ في أثر تجسّس ماليزي
يشير مسار اختراق قائم على السحابة ومرتبط بشبكات ماليزية إلى كيف يمكن إعادة توظيف خدمات التخزين والحوسبة العادية لتصبح قناة تسريب خفية.
أكثر ما يبعث على القلق في التجسّس الحديث هو مدى مظهره المألوف. ففي هذه الحالة، تربط الأنشطة المُبلّغ عنها بين آلة افتراضية على Azure وأدوات مخصّصة وCloudflare Storage كوجهة لملفات الشبكة المأخوذة من عدة منظمات ماليزية. لا يبدو أيٌّ من هذه العناصر غريبًا بحد ذاته. وهذا بالضبط ما يجعل الأمر مهمًا: فالبنية التحتية تبدو كإدارة سحابية روتينية إلى أن تبدأ البيانات بالتحرك في الاتجاه الخاطئ.
حقائق سريعة
- تم الإبلاغ عن استهداف عدة منظمات ماليزية في حملة تجسّس سيبراني.
- استُخدمت آلة افتراضية على Azure بعنوان IP 20.17.161.118 لتنسيق النشاط.
- استُخدم Cloudflare Storage كوجهة لتسريب ملفات الشبكة.
- يُقال إن الحملة مزجت أدوات مخصّصة مع بنية تحتية سحابية.
- لا يزال السبب الجذري التقني الكامل والنطاق الكامل للتأثير غير مؤكَّدين.
لماذا يصعب رصد هذا النمط
من منظور دفاعي، هذا مثال كلاسيكي على التسريب عبر خدمة ويب مشروعة. وتتبع MITRE هذا السلوك على أنه T1567.002، لأن المهاجمين يستطيعون تمرير المواد المسروقة عبر قنوات سحابية موثوقة تمتزج غالبًا بحركة HTTPS المشفرة. لا تكمن المخاطرة الأساسية في منصة التخزين نفسها فقط، بل أيضًا في الثقة التي يمنحها المدافعون لأنماط الاستخدام السحابي العادية.
يمكن أن يكون تخزين الكائنات السحابي جذابًا في سيناريوهات الإساءة لأن عمليات الرفع تبدو عادية من الناحية التشغيلية: استدعاءات API، ورموز المصادقة، وحركة ويب قياسية. وإذا كانت بيانات الاعتماد أو الرموز متاحة، فقد تتحول حاوية التخزين إلى نقطة نقل منخفضة الاحتكاك للملفات التي لا ينبغي لها مغادرة البيئة أصلًا. ولهذا فإن ضوابط الهوية، ونطاق الرموز، ومراقبة حركة الخروج لا تقل أهمية عن حماية نقاط النهاية.
تضيف تفاصيل آلة Azure الافتراضية طبقة أخرى. توضح Microsoft أن الآلة الافتراضية قد تكون قابلة للوصول من الإنترنت إذا تم إعدادها بعنوان IP عام، لكن قابلية الوصول العامة وحدها لا تثبت الملكية الخبيثة أو الدور الخبيث. في حالات كهذه، قد تعمل الآلة الافتراضية كعقدة تجهيز، أو نقطة تنسيق، أو مجرد جزء واحد من سلسلة أكبر. تدعم المعلومات المتاحة تحليلًا للمخاطر، لا إسنادًا نهائيًا للتحكم.
تُوثّق خدمة R2 التابعة لـ Cloudflare على أنها تخزين كائنات متوافق مع S3، وهذا التصميم يجعلها وجهة تسريب محتملة بشكل معقول عمومًا. ومع ذلك، ينبغي التعامل بحذر مع المطابقة الدقيقة للخدمة الكامنة وراء عبارة “Cloudflare Storage” ما لم يتم تأكيدها بشكل مستقل. والاستنتاج الأكثر أمانًا هو أضيق نطاقًا: يمكن إساءة استخدام التخزين السحابي السائد لأنه يوفّر للمهاجم طبقة نقل مألوفة وموثوقة على نطاق واسع.
حتى وقت كتابة هذا التقرير، لم تُثبت المعلومات العامة بالكامل السبب الجذري التقني، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق.
ما الذي ينبغي للمدافعين استخلاصه من هذا
ينبغي لفرق الأمن مراقبة عمليات الرفع غير المعتادة إلى خدمات التخزين السحابي، خاصة من الخوادم أو الشبكات الفرعية التي لا تنقل عادةً أحجامًا كبيرة من البيانات. كما أن نظافة رموز السحابة مهمة بالقدر نفسه: فبيانات الاعتماد محددة النطاق، والإبطال السريع، وصلاحيات الحاويات الضيقة تقلل من احتمال أن يصبح التخزين طريق خروج صامتًا. ويمكن لربط سجلات الهوية وسجلات الوصول السحابي والقياسات الشبكية أن يكشف سلسلة لا يستطيع أي عنصر تحكم منفرد اكتشافها وحده.
والدرس الأوسع بسيط: لا يحتاج المهاجمون دائمًا إلى برمجيات خبيثة غامضة عندما تستطيع خدمات السحابة العادية حمل البيانات المسروقة إلى خارج الأنظار.
TECHCROOK
مفتاح أمان مادي: بالنسبة لمديري السحابة وفرق الأمن، يمكن لعامل ثانٍ مادي أن يعزز عمليات تسجيل الدخول إلى الحسابات ويقلل الاعتماد على كلمات المرور وحدها. إنه خيار عملي لحماية الوصول المميّز إلى لوحات تحكم السحابة والبريد الإلكتروني وغيرها من الخدمات عالية القيمة.
WIKICROOK
- التسريب إلى التخزين السحابي: أسلوب تُرسل فيه البيانات المسروقة إلى خدمة تخزين سحابي بدلًا من خادم المهاجم التقليدي.
- تخزين الكائنات: خدمة سحابية تخزن البيانات كملفات أو كائنات يمكن الوصول إليها عبر واجهات API.
- عنوان IP عام: عنوان قابل للتوجيه عبر الإنترنت يمكن أن يجعل جهازًا سحابيًا متاحًا من خارج شبكته.
- رمز API: اعتماد يُستخدم بواسطة التطبيقات أو الخدمات للمصادقة لدى منصة سحابية.
- عقدة تجهيز: نظام يُستخدم لإعداد نشاط المهاجم أو تمريره أو تنسيقه قبل الاختراق أو أثناءه.
