كيف أسقطت CrowdStrike شبكة الروبوتات 'الزجاجية الدودية' التي ظُن أنها لا تُقتل

بنية القيادة والتحكم رباعية الرؤوس

ما جعل Glassworm فريدة من نوعها في مرونتها هو بنيتها التحتية للقيادة والتحكم (C2) متعددة القنوات. فقد تجنب المشغلون عمداً نقاط الفشل الوحيدة من خلال توجيه الاتصالات عبر أربع قنوات متميزة وزائدة عن الحاجة .

1. معاملات بلوكتشين سولانا: استخدمت شبكة الروبوتات سلسلة كتل سولانا العامة كمرحّل سري، وهو نهج يجعل الرقابة أو التعطيل بالغ الصعوبة لأن السجل موزع وغير قابل للتغيير .
2. جدول التجزئة الموزع لبت تورنت (DHT): وفر استخدام شبكات مشاركة الملفات من نظير إلى نظير مسار اتصال لامركزي آخر وشديد المرونة .
3. نقاط إسقاط ميتة في تقويم جوجل: استخدم المهاجمون عناوين الأحداث في مدخلات تقويم جوجل كلوحة رسائل مخفية لنشر أوامر جديدة، ممزوجين بذلك حركة المرور الخبيثة مع خدمة ويب شرعية ومستخدمة على نطاق واسع .
4. خوادم افتراضية خاصة تقليدية (VPS): إلى جانب الأساليب الجديدة، حافظ المشغلون أيضاً على بنية تحتية على خوادم افتراضية خاصة تجارية، وهو مكون أكثر تقليدية لكنه لا يزال أساسياً .

كانت هذه البنية متعددة الطبقات هي جوهر طبيعة الشبكة "غير القابلة للقتل". فإسقاط قناة أو اثنتين كان سيترك البقية تعمل بكامل طاقتها، مما يسمح للمشغلين بإعادة تشكيل سيطرتهم بسرعة .

استراتيجية التعطيل المنسق

كان السبيل الوحيد القابل للتطبيق للتعطيل هو توجيه ضربة متزامنة ضد جميع قنوات القيادة والتحكم الأربع. وصفت CrowdStrike التحدي بوضوح: "تطلب تعطيل هذه البنية الدقة والتوقيت. إسقاط قناة واحدة فقط كان سيترك القنوات الأخرى عاملة، مما يسمح للمشغلين بإعادة التشكيل بسرعة" .

في تمام الساعة 14:00 بالتوقيت العالمي المنسق (UTC) من يوم 26 مايو، نفذ التحالف إجراءً منسقاً بدقة قطع الاتصال بين مشغلي الشبكة وشبكتهم العالمية من الأجهزة المصابة . لم يؤد هذا الإجراء إلى إزالة برمجية GlasswormRAT الخبيثة تلقائياً من نقاط النهاية المخترقة، لكنه منع المشغلين من إصدار أوامر جديدة أو إيصال حمولات خبيثة جديدة . جردت العملية شبكة الروبوتات فعلياً من قدرتها الهجومية، على الرغم من أن البرمجية الخبيثة لا تزال تشكل تهديداً كامناً على عدد غير معروف من الأجهزة حول العالم .

العزو وملف الخصم

عزا تقييم استخباراتي من CrowdStrike عملية Glassworm إلى مجرمين إلكترونيين يُرجح أن مقرهم روسيا . يمثل تركيز المجموعة على سلسلة توريد البرمجيات مفتوحة المصدر تطوراً خطيراً في استراتيجية جهات التهديد، بالانتقال من استهداف المنظمات المستخدمة النهائية إلى تسميم المطورين والأدوات التي تعتمد عليها هذه المنظمات.

المعالجة والإجراءات الواجب اتخاذها الآن

التعطيل هو انتصار دفاعي حاسم، لكنه ليس علاجاً. أوصت CrowdStrike بمجموعة محددة من خطوات المعالجة للمؤسسات لتحديد وتطهير أي أنظمة مصابة .

• البحث عن البرمجيات الخبيثة: يجب على المؤسسات التي تستخدم منصة CrowdStrike Falcon فحص بيئاتها فوراً بحثاً عن مؤشرات برمجية GlasswormRAT الخبيثة.
• التحقق من مؤشرات الاختراق (IoCs): ينبغي على فرق الأمان تدقيق سجلات الشبكة بحثاً عن اتصالات بعنوان IP تديره CrowdStrike (164.92.88[.]210) واستخدام قواعد YARA المقدمة في منشورهم التقني للبحث عن الإصابات .
• إعادة البناء الكامل: الحل الوحيد المؤكد لمعالجة جهاز مصاب هو إعادة بنائه بالكامل من صورة نظام نظيفة ومعروفة بأنها خالية من المشاكل .
• تغيير بيانات الاعتماد: يجب تغيير جميع بيانات الاعتماد والرموز والأسرار التي قد يكون الوصول إليها متاحاً على محطة عمل مطور مخترقة فوراً لمنع أي وصول غير مصرح به إضافي .