يقول باحثون إن أداة ذكاء اصطناعي متاحة للعامة احتاجت إلى أقل من 20 توجيهًا فقط لاكتشاف ثغرة في Zoom.
الثغرة التي تم إصلاحها الآن كانت تسمح لأي شخص داخل المكالمة بالسيطرة على جهاز مشارك آخر.
#الذكاء الاصطناعي يغيّر لعبة اكتشاف الثغرات
مع تطور قدرات نماذج الذكاء الاصطناعي في اكتشاف الثغرات البرمجية، لم يعد الأمر يتوقف عند العثور عليها.
أصبحت هذه النماذج قادرة أيضًا على ابتكار طرق لاستغلالها، بل وتنفيذ حملات اختراق بشكل شبه مستقل.
ويوم الثلاثاء، كشف باحثون عن مثال جديد ومقلق على هذا التحول.
فقد أعلنوا عن ثغرات أمنية في منصة Zoom كان من الممكن استغلالها للسيطرة على أجهزة الضحايا.
والأخطر أن أي شخص في مكالمة تتضمن مشاركة الشاشة كان معرضًا للهجوم.
سواء كان مشاركًا عاديًا أو حتى مضيف المكالمة.
وكان بالإمكان تنفيذ الهجوم بصمت، من دون أي مؤشر واضح، ومن دون أن يحتاج الضحية إلى الضغط على شيء أو التفاعل مع المهاجم.
#أقل من 20 توجيهًا كانت كافية
يقول باحثون من شركة الأمن الرقمي A Security إنهم اكتشفوا الثغرة في أوائل يونيو باستخدام نماذج ذكاء اصطناعي متاحة للعامة.
وبحسبهم، احتاج الأمر إلى أقل من 20 توجيهًا فقط لاكتشاف الثغرات وبناء هجوم يعمل فعليًا.
أصدرت Zoom يوم الثلاثاء تنبيهًا أمنيًا يتضمن تفاصيل الإصلاحات التي بدأت الشركة بالفعل في طرحها.
وكانت الثغرات تؤثر على الأجهزة التي تعمل بجميع أنظمة التشغيل التي يدعمها Zoom.
وهذا يشمل Windows وmacOS وLinux وiOS وAndroid.
#الحاجز أمام المهاجمين ينخفض بسرعة
قال Omer Gull، الشريك المؤسس لشركة A Security، لمجلة WIRED قبل الكشف عن الثغرة:
ما يثير اهتمامنا وما نراه خطيرًا هو أن هذه القدرات أصبحت متاحة لعدد أكبر من الناس، والحاجز اللازم للدخول إلى هذا المجال ينخفض بسرعة كبيرة.
وأضاف أن الوصول إلى نتيجة كهذه كان قد يتطلب سابقًا فريقًا من خمسة أشخاص يعمل لنحو ستة أشهر.
مع الكثير من الاختبارات والتعديل وإعادة المحاولة.
أما اليوم، فيمكن الوصول إلى النتيجة نفسها باستخدام أقل من 20 توجيهًا للذكاء الاصطناعي.
ويرى Gull أن Zoom يمثل هدفًا مهمًا تحديدًا بسبب عنصر الثقة.
فالناس يدخلون مكالمات Zoom وهم يفترضون أن البيئة آمنة، ولا يتعاملون معها عادة على أنها مصدر تهديد.
#المشكلة كانت داخل ميزة تبدو عادية جدًا
تركزت الثغرات تحديدًا في البروتوكول المستخدم لتشغيل ميزة التعليقات التوضيحية الفورية أثناء مشاركة الشاشة.
وهي الميزة التي تسمح للمشاركين بالرسم أو الكتابة فوق الشاشة المشتركة خلال المكالمة.
ويقول الباحثون إن أنظمة الذكاء الاصطناعي التي استخدموها للبحث عن الثغرات ركزت على هذا الجزء بشكل خاص.
والسبب يشبه الطريقة التي يفكر بها الباحثون البشر في مجال الأمن.
فالوظائف المعقدة وغير الواضحة غالبًا ما تكون مكانًا جيدًا للبحث عن الأخطاء التي لم ينتبه لها أحد.
ويصبح هذا الأمر أكثر أهمية عندما نتحدث عن برامج مغلقة المصدر.
من المفترض أن شركة بحجم Zoom تجري مراجعات واختبارات واسعة للكود والميزات المختلفة.
لكن من دون المراجعة العامة المفتوحة، قد تبقى بعض الوظائف المعقدة والأقل استخدامًا عرضة للأخطاء.
وميزة التعليقات التوضيحية مثال جيد على ذلك.
لم تستجب Zoom لطلبات متعددة من WIRED للتعليق على نتائج A Security.
#الثغرات أُصلحت، لكن الفكرة نفسها مخيفة
تم الآن إصلاح الثغرات.
وأصدرت Zoom تحديثات على مستوى الخوادم وعلى مستوى التطبيقات الموجودة على أجهزة المستخدمين.
لكن الباحثين يقولون إن الجزء المقلق فعلًا هو التفكير فيما كان يمكن فعله بهذه الثغرات.
فكل ما كان يحتاجه المهاجم هو أن يجعل الضحية يدخل معه إلى مكالمة Zoom.
وهذه نقطة حساسة جدًا.
فالدخول إلى مكالمة بحد ذاته نوع من الثقة.
ومع انتشار مكالمات الفيديو في الحياة الشخصية والعمل، أصبح الناس أقل حذرًا عند الانضمام إليها.
خصوصًا أن Zoom لا يستخدم فقط للاجتماعات الخاصة.
بل يستخدم أيضًا للفعاليات والندوات الإلكترونية والأنشطة التي قد تكون شبه عامة.
#مجرد مكالمة قد تكون كافية
قال Yossi Torati، الشريك المؤسس في A Security، لمجلة WIRED أثناء مكالمة معهم:
إذا دخلت معنا إلى مكالمة Zoom فقط، يمكننا السيطرة على جهازك.
والمفارقة أن المكالمة التي قال فيها ذلك كانت مستضافة عبر Microsoft Teams.
لكن السيناريو الأسوأ بالنسبة له يتجاوز اختراق جهاز شخص واحد.
فالثغرة كان من الممكن أن تتحول إلى بوابة للدخول إلى شركة كاملة.
يقول Torati إن المهاجم قد يدخل مكالمة مع موظف في شركة.
ثم يسيطر على جهازه ويحصل على بيانات اعتماده.
ومن هناك يمكنه استخدام تلك الصلاحيات للانتقال إلى أنظمة وأجهزة أخرى داخل المؤسسة.
#لعبة القط والفأر أصبحت سباقًا
غالبًا ما يصف العاملون في الأمن السيبراني المواجهة بين المهاجمين والمدافعين بأنها لعبة قط وفأر.
كل طرف يتحرك، ثم يحاول الطرف الآخر اللحاق به.
لكن مع انتشار استخدام الذكاء الاصطناعي في البحث عن الثغرات، يبدو أن هذه اللعبة الهادئة نسبيًا بدأت تتحول إلى سباق مفتوح.
والسؤال لم يعد فقط من يستطيع اكتشاف الثغرة.
بل من سيصل إليها أولًا.
