بعد تحذير أمن المعلومات.. كيف تتسلل Vipere إلى جهازك؟
بقلم هلا يوسف
يعد الحفاظ على الأمن السيبراني اليوم من أكثر التحديات أمام المواطنين العاديين الذين يعتمدون في أعمالهم على الأدوات الرقمية، وأمام الحكومة التي يعد أمنها السيبراني لمواقعها الحكومية أساسياً في ظل الهجمات المتكررة. والفكرة أن الفيروس لا يمكن اكتشافه بشكل بسيط بالنسبة للمواطنين، فقد يعمل الشخص على الجهاز الرقمي بينما في الخلفية الفيروس يخرب جهازه. وهذا ما جعل من تحذير مركز أمن المعلومات (CERT) من أداة هجومية جديدة تحمل اسم “Vipere” أمراً مهماً، لأنها تعمل بأساليب من الصعب رصدها واكتشافها.
وبحسب الهيئة الوطنية لتقانة المعلومات، فإن الأداة تستغل خدمة مرتبطة بـ Visual Studio Installer، وتعتمد على اختطاف AppDomainManager، كما تستطيع تنفيذ عملياتها داخل ذاكرة الجهاز من دون كتابة ملفات على القرص. وهذا ما يضعنا أمام سؤال حول تفسير هذه العملية، ومدى خطورتها على المستخدمين والمؤسسات في نفس الوقت.
كيف تستطيع “Vipere” التخفي داخل الجهاز؟
عندما نقول إن هناك فيروساً فإننا نقصد بذلك أنه يوجد برنامج ضار على جهاز ما، قد يترك وراءه ملفاً أو أثراً يمكن لبرامج الحماية البحث عنه واكتشافه. لكن بعض الأدوات الحديثة تحاول تجاوز هذه الطريقة من خلال تنفيذ نشاطها داخل الذاكرة بدلاً من إنشاء ملفات واضحة على القرص.
وهذا تحديداً ما يعتمد عليه برنامج “Vipere”. فهي قادرة على تنفيذ عملياتها داخل الذاكرة، مما يجعل أدوات الحماية التقليدية التي يتم استخدامها بالعادة غير مفيدة. عدا عن أنها تستفيد من تقنيات تسمح لها بالاختباء خلف ملفات وعمليات يعتبرها النظام موثوقة ونظامية. ومن بينها استغلال خدمة مرتبطة بـ Visual Studio Installer، بالإضافة إلى AppDomainManager Hijacking، وهي طريقة تستغل آلية موجودة في بيئة تشغيل تطبيقات .NET لتنفيذ تعليمات من خلال مكونات تبدو في الأصل طبيعية.
كما يمكن للأداة أن تحاول رفع مستوى الصلاحيات التي تعمل بها، بحيث تحصل على إمكانية العمل براحة داخل النظام وبطريقة متاحة أكثر مما هو معتاد.
المشكلة هنا أن النشاط الضار قد يبدو، في بعض مراحله، قريباً من نشاط طبيعي يقوم به النظام أو أحد البرامج الموثوقة. وعندما تجتمع هذه الأساليب مع القدرة على تعطيل أو إرباك تتبع الأحداث، يصبح اكتشاف الاختراق والاستجابة له أكثر صعوبة.
لكن هل تحتاج إلى أداة متطورة حتى تتعرض للاختراق؟
في الحقيقة الجواب لا، فالعادات اليومية التي نستخدمها أثناء عملنا على الأجهزة الرقمية تساهم في وقوعنا بأدوات وبرامج فيروسية بسيطة، خصوصاً وأن البيانات والحسابات الشخصية أصبحت هدفاً أساسياً للهجمات السيبرانية وما تحتويه من ملفات وصور.
وفي هذا الخصوص توضح المهندسة علا برهوم، الحاصلة على شهادة جامعية في الهندسة المعلوماتية، أن الاختراقات تعتمد في كثير من الحالات على التصيد الاحتيالي وسرقة كلمات المرور واستغلال الثغرات الأمنية، عدا عن استخدام البرامج الخبيثة للوصول إلى الأجهزة والبيانات.
وقد يبدأ الأمر برسالة تبدو عادية، أو رابط يطلب منك تسجيل الدخول إلى حسابك، أو ملف مرفق يصل إلى بريدك أو هاتفك. وضغطة واحدة قد تكون كافية لفتح الطريق أمام المهاجم، خصوصاً إذا كان المستخدم لا يعرف مصدر الرابط أو الملف.
وتشير برهوم أيضاً إلى أن شبكات الإنترنت غير الآمنة قد يتم استغلالها للوصول إلى المعلومات، لكن الأخطاء البشرية تبقى من أبرز المشكلات. فالمستخدم قد يضغط على رابط مشبوه، أو يشارك كلمة المرور، أو يستخدم كلمة المرور نفسها في أكثر من حساب.
وهنا يكمن الفرق، فقد يمتلك الشخص جهازاً حديثاً وبرامج حماية جيدة، لكنه يخسر جزءاً كبيراً من هذه الحماية إذا تعامل مع رسالة مشبوهة على أنها آمنة.
كلمة مرور واحدة قد تفتح أكثر من باب
إذا كنت تستخدم كلمة المرور نفسها لحساباتك المختلفة، فهذه من أول الأشياء التي عليك تغييرها. ففي المنطق، إذا نجح المهاجم من معرفة كلمة مرور لأحد حساباتك على أي تطبيق، قد يسمح له توحيد كلمة المرور من دخول حساباتك الباقية. لذلك تنصح برهوم باستخدام كلمات مرور قوية ومختلفة لكل حساب، إلى جانب تفعيل المصادقة الثنائية.
والمصادقة الثنائية تعني ببساطة أن كلمة المرور لن تكون وحدها كافية للدخول إلى الحساب، إذ يحتاج المستخدم إلى خطوة تحقق إضافية، مثل رمز يصل إلى الهاتف أو وسيلة أخرى للتأكد من هويته. ويعد هذا الإجراء مهماً لأن كلمة المرور، مهما كانت قوية، يمكن أن تُسرق بطرق مختلفة.
كما أن تحديث نظام التشغيل والتطبيقات باستمرار ليس مجرد إجراء روتيني. فالتحديثات قد تتضمن إصلاحات لثغرات أمنية يمكن للمهاجمين استغلالها إذا بقيت الأنظمة قديمة.
وتشدد برهوم كذلك على ضرورة عدم فتح الروابط القادمة من مصادر مجهولة، وعدم مشاركة المعلومات الشخصية إلا مع المواقع الموثوقة.
أما إذا حدث الاختراق بالفعل، فلا ينبغي الانتظار. والخطوة الأولى لمعالجة الاختراق هي تغيير كلمة المرور فوراً، ثم تسجيل الخروج من جميع الأجهزة المرتبطة بالحساب، وتفعيل المصادقة الثنائية، وفحص الجهاز باستخدام برنامج حماية موثوق. ومن المفيد أيضاً مراجعة النشاط الأخير للحساب والتواصل مع الجهة التي تقدم الخدمة إذا ظهرت عمليات أو محاولات دخول غير معروفة.
الحماية تبدأ من المستخدم.. وتحتاج إلى أدوات أقوى
إذا كانت الهجمات القديمة تعتمد أحياناً على ملف ضار واضح أو ثغرة محددة، فإن الأمر أصبح أكثر تعقيداً اليوم، لأن الهندسة الاجتماعية أصبحت جزءاً أساسياً من الهجمات، إذ يحاول المهاجم فهم طريقة تفكير المستخدم وسلوكه ثم يقوم باستغلالها.
وزاد الذكاء الاصطناعي من صعوبة هذه المهمة، بعدما أصبح من الممكن إنتاج رسائل ومحتوى احتيالي مقنع، مما يجعل اكتشاف الخداع أصعب حتى بالنسبة للمستخدمين الذين لديهم معرفة جيدة بأساسيات الأمن الرقمي.
لذلك يرى مختصون في الأمن السيبراني أن مواجهة هذه المخاطر تحتاج إلى أكثر من برنامج حماية. فإذا أخذنا المؤسسات مثالاً، تعد المطالبة بإدارة الصلاحيات ومراقبة أنظمتها بشكل مستمر وتدريب الموظفين على التعامل مع الهجمات من أولويات الحماية، بالإضافة إلى استخدام الأدوات التقنية المناسبة.
وفي حالة “Vipere”، أوصى مركز أمن المعلومات بتحديث بيئات Visual Studio وWindows، وتطبيق مبدأ الصلاحيات الأدنى، أي منح المستخدم أو البرنامج الصلاحيات التي يحتاج إليها فقط، وليس صلاحيات أوسع من ذلك.
كما أوصى باستخدام سياسات KWDAC لمنع تحميل المكتبات غير الموثوقة، ومراقبة متغيرات بيئة .NET وعمليات تحميل ملفات DLL المشبوهة باستخدام أدوات مثل Sysmon.
وتشمل التوصيات أيضاً الاعتماد على أدوات حماية تعمل على مستوى النواة، وتفعيل ميزات الحماية مثل CET، بهدف إضافة طبقات أخرى من الحماية أمام الأساليب التي تحاول استغلال النظام أو تجاوز وسائل المراقبة التقليدية.
في النهاية، الأمن السيبراني أصبح ضرورة في عالم الرقمية اليوم، وأيضاً تعد توعية الناس عبر فيديوهات ومقاطع شارحة لطرق الاختراق من الأشياء الواجب العمل عليها. فالكثير من الناس تنخدع برابط مقنع، خصوصاً من ليس لديهم معلومات كافية حول الفيروسات وطريقة عملها. ومع التحذير من برنامج “Vipere” نكتشف أن الهجمات الإلكترونية أصبحت تعتمد على أساليب أكثر تطوراً وإقناعاً.
اقرأ أيضاً: اختراق وتعدّي حدود .. ما حال الأمن السيبراني السوري؟
