اختراق بيانات خادم مايكروسوفت إكستشينج 2021

بدأت موجة عالمية من الهجمات الإلكترونية واختراقات البيانات في يناير 2021 بعد اكتشاف أربع ثغرات أمنية غير معروفة (ثغرات اليوم الصفر) في خوادم مايكروسوفت إكستشينج المحلية ، مما منح المهاجمين وصولاً كاملاً إلى رسائل البريد الإلكتروني وكلمات مرور المستخدمين على الخوادم المتأثرة، وصلاحيات المسؤول على الخادم، والوصول إلى الأجهزة المتصلة على نفس الشبكة. عادةً ما يقوم المهاجمون بتثبيت باب خلفي يسمح لهم بالوصول الكامل إلى الخوادم المتأثرة حتى لو تم تحديث الخادم لاحقًا ليصبح غير قابل للاختراق. (اعتبارًا من 9 مارس 2021)  تشير التقديرات إلى أن 250 ألف خادم قد وقع ضحية للهجمات، بما في ذلك خوادم تابعة لحوالي 30 ألف مؤسسة في الولايات المتحدة، و7 آلاف خادم في المملكة المتحدة، ^{[ 8 ]} بالإضافة إلى هيئة الرقابة المصرفية الأوروبية ، والبرلمان النرويجي ، ولجنة السوق المالية في تشيلي. ^{[ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ]}

في 2 مارس 2021، أصدرت مايكروسوفت تحديثات لخوادم مايكروسوفت إكستشينج 2010 و2013 و2016 و2019 لمعالجة الثغرة الأمنية؛ إلا أن هذه التحديثات لا تُصلح الأضرار بأثر رجعي ولا تُزيل أي ثغرات أمنية زرعها المهاجمون. ومن المعروف أن الشركات الصغيرة والمتوسطة والمؤسسات المحلية والحكومات المحلية هي الضحايا الرئيسيين لهذا الهجوم، نظرًا لميزانياتها المحدودة في الغالب للتأمين ضد التهديدات الإلكترونية، ولجوئها عادةً إلى الاستعانة بمصادر خارجية لخدمات تكنولوجيا المعلومات من مزودين محليين يفتقرون إلى الخبرة اللازمة للتعامل مع الهجمات الإلكترونية. ^{[ 15 ]}

في 12 مارس 2021، أعلنت مايكروسوفت عن اكتشاف "عائلة جديدة من برامج الفدية " التي تُنشر على الخوادم المصابة، حيث تقوم بتشفير جميع الملفات، مما يجعل الخادم غير قابل للتشغيل، وتطالب بدفع فدية لإصلاح الضرر. ^{[ 16 ]} وفي 22 مارس 2021، أعلنت مايكروسوفت أنه في 92% من خوادم Exchange، تم إصلاح الثغرة أو التخفيف من آثارها. ^{[ 17 ]}

يُعدّ Microsoft Exchange برنامج خادم بريد إلكتروني واسع الانتشار، وهو هدف متكرر للهجمات الإلكترونية على شبكات الأعمال. ووفقًا لمايكروسوفت، فإن بيئته تسمح للمهاجمين بإساءة استخدام الأدوات الإدارية المدمجة أو البرامج النصية لأغراض خبيثة. ^{[ 18 ]} وقد استُهدف Microsoft Exchange سابقًا من قِبل جهات تهديد تابعة لدول . ^{[ 19 ] [ 20 ]}

في 5 يناير 2021، أبلغت شركة DEVCORE لاختبارات الأمن السيبراني شركة مايكروسوفت عن الثغرة الأمنية، وهو ما أكدته مايكروسوفت في 8 يناير. ^{[ 21 ]} وفي 6 يناير 2021، رصدت شركة Volexity للأمن السيبراني أول اختراق معروف لخادم مايكروسوفت Exchange. ^{[ 1 ]} وبحلول أواخر يناير، رصدت Volexity اختراقًا سمح للمهاجمين بالوصول إلى بيانات اثنين من عملائها، وأبلغت مايكروسوفت عن الثغرة الأمنية. وبعد إخطار مايكروسوفت بالاختراق، أفادت Volexity بأن المتسللين أصبحوا أقل حذرًا تحسبًا لإصدار تحديث أمني . ^{[ 22 ]}

في 2 مارس 2021، أفادت شركة الأمن السيبراني ESET برصدها العديد من الجهات الخبيثة، بالإضافة إلى شركة Hafnium ، تستغل الثغرات الأمنية. ^{[ 4 ]} وفي 10 مارس 2021، ذكرت مجلة Wired أنه بعد إصدار التحديث، من المرجح أن تقوم جهات خبيثة أخرى بهندسة عكسية للإصلاح لاستهداف الخوادم غير المحدثة. وأفاد محللون في شركتين أمنيتين برصد مؤشرات على استعداد المهاجمين لنشر برامج تعدين العملات الرقمية على الخوادم المتأثرة. ^{[ 23 ]}

في 10 مارس 2021، نشر الباحث الأمني ​​نغوين جانغ رمزًا تجريبيًا على منصة غيت هاب التابعة لمايكروسوفت، يُوضح كيفية عمل الثغرة الأمنية، ويتألف من 169 سطرًا برمجيًا. كُتب البرنامج عمدًا مع وجود أخطاء، مما سمح للباحثين الأمنيين بفهم الثغرة مع منع الجهات الخبيثة من استخدامها للوصول إلى الخوادم. في وقت لاحق من ذلك اليوم، حذفت غيت هاب الرمز، مُعلنةً أنه "يحتوي على رمز تجريبي لثغرة أمنية تم الكشف عنها مؤخرًا ويجري استغلالها بنشاط". ^{[ 24 ] [ 25 ]} في 13 مارس، نشرت مجموعة أخرى بشكل مستقل رمزًا برمجيًا للاستغلال، والذي لم يتطلب سوى تعديلات طفيفة ليعمل. صرّح ويل دورمان من مركز تنسيق الاستجابة لحوادث أمن الحاسوب (CERT) بأن "الثغرة الأمنية أصبحت معروفة تمامًا الآن". ^{[ 26 ]}

جاءت هذه الهجمات بعد فترة وجيزة من اختراق بيانات الحكومة الفيدرالية الأمريكية عام 2020 ، والذي شمل أيضاً اختراق تطبيق مايكروسوفت أوتلوك وسلسلة التوريد الخاصة به. وقد صرحت مايكروسوفت بأنه لا توجد صلة بين الحادثتين. ^{[ 27 ]}

أعلنت مايكروسوفت أن الهجوم نُفِّذ في البداية من قِبَل مجموعة هافنيوم ، وهي مجموعة قرصنة مدعومة من الدولة الصينية ( تهديد مستمر متقدم ) تعمل انطلاقًا من الصين. ^{[ 5 ] [ 22 ] [ 6 ] [ 26 ]} ومن المعروف أن هافنيوم تقوم بتثبيت برنامج التجسس الإلكتروني تشاينا تشوبر . ^{[ 26 ]} وصفت مايكروسوفت هافنيوم بأنها "جهة فاعلة ذات مهارات عالية وخبرة واسعة" استهدفت تاريخيًا "كيانات في الولايات المتحدة بهدف تسريب المعلومات من عدد من القطاعات الصناعية، بما في ذلك باحثو الأمراض المعدية، وشركات المحاماة، ومؤسسات التعليم العالي، وشركات المقاولات الدفاعية، ومراكز الفكر السياسي، والمنظمات غير الحكومية". ^{[ 28 ]} عند إعلانها عن الاختراق، صرّحت مايكروسوفت بأن هذه "هي المرة الثامنة خلال الاثني عشر شهرًا الماضية التي تكشف فيها مايكروسوفت علنًا عن مجموعات تابعة لدول تستهدف مؤسسات حيوية للمجتمع المدني". ^{[ 28 ]} اعتبارًا من 12 مارس 2021، كان هناك، بالإضافة إلى هافنيوم، تسع مجموعات أخرى على الأقل تستغل الثغرات الأمنية، ولكل منها أساليبها وإجراءاتها الخاصة. ^{[ 7 ] [ 29 ]}

نفت الحكومة الصينية تورطها، واصفةً الاتهامات بأنها "لا أساس لها من الصحة". ^{[ 22 ] [ 30 ]}

في بيان مشترك صدر في 19 يوليو/تموز 2021، اتهمت الولايات المتحدة والمملكة المتحدة والاتحاد الأوروبي وحلف شمال الأطلسي ( الناتو) ودول غربية أخرى وزارة أمن الدولة الصينية بتنفيذ اختراق نظام Exchange، إلى جانب هجمات إلكترونية أخرى، "مع تأكيدها بدرجة عالية من الثقة على أن جهات فاعلة إلكترونية خبيثة تابعة لوزارة أمن الدولة الصينية نفذت عمليات تجسس إلكتروني مستغلة ثغرات أمنية غير معروفة في خادم Microsoft Exchange تم الكشف عنها في أوائل مارس/آذار 2021". ^{[ 31 ] [ 32 ] [ 33 ] [ 34 ]}

استغلّ المخترقون أربع ثغرات أمنية غير معروفة ( ثغرات اليوم الصفر) لاختراق خدمة Outlook Web Access (OWA) لخوادم Microsoft Exchange، ^{[ 2 ]} مما منحهم إمكانية الوصول إلى خوادم الضحايا وشبكاتهم بالكامل، بالإضافة إلى رسائل البريد الإلكتروني ودعوات التقويم، ^{[ 4 ]} حيث لم يتطلب الأمر في البداية سوى عنوان الخادم، والذي يمكن استهدافه مباشرةً أو الحصول عليه من خلال مسح شامل للخوادم المعرضة للخطر؛ ثم يستخدم المهاجم ثغرتين، تسمح الأولى للمهاجم بالاتصال بالخادم والتحقق من هويته كمستخدم عادي. وبذلك، يمكن استغلال ثغرة ثانية، مما يرفع صلاحيات هذا المستخدم إلى صلاحيات المسؤول . ^{[ 35 ] [ 36 ]} أما الثغرتان الأخيرتان فتسمحان للمهاجمين بتحميل شيفرة برمجية إلى الخادم في أي مكان يرغبون فيه، ^{[ 36 ]} والتي تعمل تلقائيًا بصلاحيات المسؤول. ثم يستخدم المهاجمون هذه الشيفرة عادةً لتثبيت برنامج خبيث (Web Shell) ، مما يوفر بابًا خلفيًا للخادم المخترق، ^{[ 37 ]} والذي يمنح المخترقين إمكانية الوصول المستمر إلى الخادم طالما بقي البرنامج الخبيث نشطًا وخادم Exchange قيد التشغيل. ^{[ 29 ]}

من خلال واجهة الويب التي يثبّتها المهاجمون، يمكن تنفيذ الأوامر عن بُعد. ومن بين الإجراءات التي لوحظت: تنزيل جميع رسائل البريد الإلكتروني من الخوادم، وتنزيل كلمات مرور وعناوين البريد الإلكتروني للمستخدمين لأن مايكروسوفت إكستشينج يخزنها غير مشفرة في الذاكرة ، وإضافة مستخدمين، وإضافة ثغرات أمنية أخرى إلى الأنظمة المتأثرة، والوصول إلى أنظمة أخرى في الشبكة غير متأثرة بالثغرة الأصلية، وتثبيت برامج الفدية . ^{[ 38 ]} ولأن تحديث خادم إكستشينج ضد الثغرة لا يزيل الثغرات الأمنية المثبتة بأثر رجعي، يستمر المهاجمون في الوصول إلى الخادم حتى تتم إزالة واجهة الويب والثغرات الأمنية الأخرى وحسابات المستخدمين التي أضافها المهاجمون. ^{[ 39 ]}

في 27 و28 فبراير 2021، وقع هجوم آلي، وفي 2 و3 مارس 2021، استخدم المهاجمون برنامجًا نصيًا للعودة إلى العناوين لزرع برنامج خبيث على الويب لتمكينهم من العودة لاحقًا. ^{[ 29 ]} وفي إشارة إلى الأسبوع المنتهي في 7 مارس، صرّح ديمتري ألبيروفيتش، المؤسس المشارك لشركة كراود سترايك : "كل ضحية محتملة لم تُحدّث أنظمتها بحلول منتصف أو نهاية الأسبوع الماضي قد تعرضت بالفعل لهجوم من جهة واحدة على الأقل أو عدة جهات". ^{[ 40 ]} بعد الإعلان عن التحديث، تغيّرت التكتيكات عند استخدام نفس سلسلة الثغرات الأمنية. ^{[ 29 ] [ 41 ]}

تم التأكد من أن إصدارات Microsoft Exchange Server لعام 2010 و2013 و2016 و2019 معرضة للخطر، مع العلم أن تحديد الإصدارات الأكثر عرضة للخطر لم يتم بعد بشكل كامل. ^{[ 42 ]} أما خدمات Exchange Online و Office 365 السحابية فهي غير متأثرة. ^{[ 43 ]}

استغلّ المخترقون هذه الثغرات الأمنية للتجسس على مجموعة واسعة من الأهداف، ما أثر على ما يُقدّر بنحو 250 ألف خادم. ^{[ 11 ] [ 44 ]} وكتب توم بيرت، نائب رئيس مايكروسوفت لأمن العملاء والثقة، أن الأهداف شملت باحثين في مجال الأمراض، ومكاتب محاماة، وجامعات، وشركات مقاولات دفاعية، ومنظمات غير حكومية ، ومراكز أبحاث . ^{[ 28 ] [ 9 ] [ 45 ]}

عادةً ما يُعطّل مديرو الخوادم التحديثات التلقائية لتجنب انقطاع الخدمة ومشاكل البرامج، ^{[ 46 ]} ويُثبّتونها يدويًا بعد اختبارها مع البرامج وإعدادات الخادم الحالية؛ ^{[ 47 ]} ونظرًا لأن المؤسسات الصغيرة غالبًا ما تعمل بميزانية محدودة لتنفيذ ذلك داخليًا أو الاستعانة بمصادر خارجية من مزودي خدمات تكنولوجيا المعلومات المحليين غير المتخصصين في الأمن السيبراني، فإن هذا الإجراء لا يُتخذ إلا عند الضرورة القصوى، إن حدث أصلًا. وهذا يعني أن الشركات الصغيرة والمتوسطة، والمؤسسات المحلية كالمدارس والحكومات المحلية، هي الضحايا الرئيسيين للهجوم، إذ من المرجح أنها لم تتلقَّ تحديثات لسدّ الثغرة . ويُلاحظ أن ضحايا المناطق الريفية "يعتمدون على أنفسهم إلى حد كبير"، لعدم قدرتهم على الوصول إلى مزودي خدمات تكنولوجيا المعلومات. ^{[ 15 ]} وفي 11 مارس 2021، كشف بحث أجرته شركة Check Point أن "عدد محاولات الاستغلال على المؤسسات التي ترصدها قد تضاعف ثلاث مرات كل ساعتين إلى ثلاث ساعات خلال الـ 24 ساعة السابقة". ^{[ 48 ] [ 49 ]}

لاحظت أبحاث شركة تشيك بوينت أن الولايات المتحدة هي الدولة الأكثر تعرضًا للهجمات بنسبة 17% من إجمالي محاولات الاختراق، تليها ألمانيا بنسبة 6%، ثم المملكة المتحدة وهولندا بنسبة 5% لكل منهما، وروسيا بنسبة 4%. ويُعد القطاع الحكومي / العسكري الأكثر استهدافًا بنسبة 23% من محاولات الاختراق، يليه قطاع التصنيع بنسبة 15%، ثم الخدمات المصرفية والمالية بنسبة 14%، ثم موردي البرمجيات بنسبة 7%، وأخيرًا قطاع الرعاية الصحية بنسبة 6%. ^{[ 26 ] [ 50 ]}

تم اكتشاف الهجوم بعد رصد قيام المهاجمين بتحميل جميع رسائل البريد الإلكتروني الخاصة بمستخدمين محددين على خوادم Exchange منفصلة تابعة للشركة. ^{[ 38 ]} أفاد مركز أبحاث في واشنطن، لم يُكشف عن اسمه، بأن المهاجمين أرسلوا رسائل بريد إلكتروني مقنعة إلى جهات اتصال في هجوم هندسة اجتماعية حثّ المستلمين على النقر على رابط. ^{[ 45 ]} في 11 مارس 2021، أعلن البرلمان النرويجي (ستورتينغ ) أنه ضحية للاختراق، مصرحًا بأنه "تم استخراج البيانات". ^{[ 51 ]}

كما أفادت الهيئة المصرفية الأوروبية بأنها كانت هدفاً للهجوم، ^{[ 10 ]} وذكرت لاحقاً في بيان صحفي أن نطاق التأثير على أنظمتها كان "محدوداً" وأن "سرية أنظمة وبيانات الهيئة المصرفية الأوروبية لم تُمس". ^{[ 52 ]}

حددت شركة الأمن السيبراني ESET ما لا يقل عن 10 مجموعات تهديد متقدمة مستمرة تستهدف قطاعات تكنولوجيا المعلومات، والأمن السيبراني، والطاقة، وتطوير البرمجيات، والمرافق العامة ، والعقارات، والاتصالات، والهندسة، بالإضافة إلى وكالات حكومية في الشرق الأوسط وأمريكا الجنوبية. وتم رصد إحدى هذه المجموعات وهي تستخدم برامج تنزيل PowerShell ، وتستغل الخوادم المتأثرة لتعدين العملات المشفرة. ^{[ 7 ]} وأشار ليئور ديف، الرئيس التنفيذي لشركة Cybereason، إلى أن مجموعة Hafnium "استهدفت الشركات الصغيرة والمتوسطة... إن الهجوم على Microsoft Exchange أشد فتكًا بألف مرة من هجوم SolarWinds ." ^{[ 53 ]}

في 12 مارس 2021، أعلنت وحدة الاستخبارات الأمنية في مايكروسوفت عن "عائلة جديدة من برامج الفدية " تُدعى DearCry، يتم نشرها على الخوادم التي أُصيبت في البداية، حيث تقوم بتشفير محتويات الأجهزة، مما يجعل الخوادم غير قابلة للاستخدام، وتطالب بدفع فدية لاستعادة الملفات. ^{[ 16 ]} وصرحت مايكروسوفت قائلةً: "لا يوجد ما يضمن أن دفع الفدية سيمنحك الوصول إلى ملفاتك." ^{[ 54 ]}

في 18 مارس/آذار 2021، ادّعت جهة تابعة لعصابة برامج الفدية الإلكترونية REvil أنها سرقت بيانات غير مشفرة من شركة Acer التايوانية للأجهزة والإلكترونيات ، بما في ذلك تشفير عدد غير مُعلن من الأجهزة. وربطت شركة الأمن السيبراني Advanced Intel هذا الاختراق وهجوم الفدية بثغرات في نظام Microsoft Exchange. وكانت Advanced Intel قد رصدت استهداف أحد خوادم Microsoft Exchange التابعة لشركة Acer لأول مرة في 5 مارس/آذار 2021. وطالبت REvil بفدية قدرها 50 مليون دولار أمريكي ، مدعيةً أنها ستوفر "أداة فك تشفير، وتقريرًا عن الثغرات الأمنية، وحذف الملفات المسروقة" في حال دفعها، مشيرةً إلى أن الفدية ستتضاعف إلى 100 مليون دولار أمريكي إذا لم تُدفع بحلول 28 مارس/آذار 2021. ^{[ 55 ]}

في 2 مارس 2021، نشر مركز استجابة أمن مايكروسوفت (MSRC) تحديثًا خاصًا بثغرات أمنية شائعة (CVE)، حثّ فيه عملاءه على تحديث خوادم Exchange الخاصة بهم لمعالجة عدد من الثغرات الأمنية الحرجة . ^{[ 3 ]} وفي 15 مارس، أصدرت مايكروسوفت أداة PowerShell سهلة الاستخدام بنقرة واحدة ، وهي أداة Exchange On-Premises Mitigation Tool، التي تُثبّت التحديثات المحددة للحماية من التهديد، وتُجري فحصًا للبرامج الضارة يكشف أيضًا عن برامج التجسس المثبتة، وتزيل التهديدات التي تم اكتشافها؛ ويُوصى باستخدام هذه الأداة كإجراء وقائي مؤقت، لأنها لا تُثبّت التحديثات الأخرى المتاحة. ^{[ 56 ]}

في 3 مارس 2021، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) توجيهًا طارئًا يُلزم الشبكات الحكومية بتحديث نظام Exchange إلى إصدار مُرَقَّع. وفي 8 مارس، نشرت الوكالة تغريدة وصفتها شبكة NBC News بأنها "رسالة صريحة بشكل غير معتاد"، تحث فيها "جميع المؤسسات في جميع القطاعات" على معالجة الثغرات الأمنية. ^{[ 57 ] [ 58 ]}

ومن بين الهيئات الرسمية الأخرى التي أعربت عن قلقها البيت الأبيض ، وهيئة الأمن القومي النرويجية ، ومكتب الأمن السيبراني والمعلوماتي في جمهورية التشيك. ^{[ 59 ] [ 60 ]} وفي 7 مارس/آذار 2021، أفادت شبكة CNN أنه من المتوقع أن تُشكّل إدارة بايدن فريق عمل لمعالجة هذا الاختراق؛ ^{[ 61 ]} وقد دعت إدارة بايدن منظمات القطاع الخاص للمشاركة في فريق العمل، وستزودها بالمعلومات السرية حسب الحاجة. وصرح مستشار الأمن القومي الأمريكي، جيك سوليفان، بأن الولايات المتحدة ليست في وضع يسمح لها بتحديد المسؤولية عن هذه الهجمات. ^{[ 48 ]}

في يوليو/تموز 2021، اتهمت إدارة بايدن، بالتعاون مع تحالف من الحلفاء الغربيين، الصين رسميًا بالمسؤولية عن الهجوم الإلكتروني. وسلطت الإدارة الضوء على التهديد المستمر من قراصنة الإنترنت الصينيين، لكنها لم تُرفق الإدانة بأي شكل من أشكال العقوبات. ووفقًا للمتحدثة باسم البيت الأبيض، جين ساكي ، فإن الإدارة لا تستبعد عواقب مستقبلية على الصين. ^{[ 62 ]}