إعصار سيبراني: انكشاف أمني أميركي غير مسبوق

تعرضت كيانات الفضاء السيبراني للولايات المتحدة الأميركية إلى أكبر إعصار سيبراني بتاريخها، في 13 ديسمبر/كانون الأول 2020، عندما اكتشفت بصمات الهجمة الأولية في شبكات ونظم معلومات كل من وزارة الخزانة، ووزارة التجارة، ووزارة إدارة الاتصالات والمعلومات الوطنية(1). إلا أن البيانات الأمنية التي توافرت لدى الخبراء السيبرانيين أكدت أن الاختراق السيبراني قد بدأ منذ مدة ليست بالقصيرة ربما منذ بدايات شهر يناير/كانون الثاني 2020 عندما نجح القراصنة السيبرانيون في اختراق الشفرة البرمجية لبرمجيات تعود لثلاث شركات برمجية عملاقة، هي: مايكروسوفت Microsoft، وسولار ويندز SolarWinds، و(في إم وير) VMware(2).

أحدثت هذه الهجمة الشرسة صدمة كبيرة على مستوى القيادات الأمنية السيبرانية في عموم الولايات المتحدة، مع تنامي القلق لدى المؤسسات الفيدرالية والمحلية المستهدفة وكبريات شركات القطاع الخاص، وذلك لعدم وضوح تفاصيل وعمق الهجمة ومستوى حساسية البيانات التي استطاع القراصنة السيبرانيون حصادها من شبكات ونظم المعلومات والمستودعات الرقمية التي نجحوا بالوصول اليها؛ من أجل هذا هرع الكثير إلى إطلاق مصطلح "التهديد الخطير" وعلى جميع المستويات(3) والذي يُستخدم لوصف أشد أنواع التهديدات التي يمكن أن تتعرض لها نظم معلومات وشبكات المعلومات في الولايات المتحدة في التاريخ المعاصر(4).

الاختراق السيبراني: موارده وتحليل معماريته البرمجية

تسلل قراصنة المعلومات في هجمتهم السيبرانية الصادمة للولايات المتحدة من خلال منصة برمجيات شركة SolarWinds الأميركية(5)، فأضحت هذه الشركة ضحية ولقمة سائغة بيد القراصنة السيبرانيين الذين نجحوا بإقحام أداة برمجية خبيثة أُطلق عليها SUNBURST لتقيم في برمجيات المنصة البرمجية Orion® Platform(6)، والتي عندما تم تنشيطها (بواسطة إيعازات برمجية محددة) وفَّرت للمهاجمين السيبرانيين فرصة اختراق المضيف الرقمي للمنصة الذي يقوم باستضافة برمجيات الشركة(7).

تميزت الهجمة السيبرانية بتعقيد ملحوظ في بيئة توريدها الرقمي بحيث أتاحت للمهاجمين فرصة اعتراض الفيض الرقمي لعدد كبير من مستخدمي البيئة البرمجية وتحقيق الأهداف المرجوة من الهجمة الشرسة التي يعتقد أنها قد تمت بواسطة قراصنة سيبرانيين من خارج حدود الولايات المتحدة، ودون أن تتوافر قرائن لدى خبراء الشركة بتحديد هويتهم أو البلدان التي ينتمون إليها.

وتبيَّن من عملية الفحص والتدقيق التي أجراها خبراء الأمن السيبراني بشركة SolarWinds أن هذه الأداة البرمجية الخبيثة قد تسلَّلت بتاريخ 13 ديسمبر/كانون الأول إلى أكثر من 18 ألف زبون من الزبائن الكبار لهذه المنصة البرمجية، وعن طريق الخدمة التي توفر التحديثات لحزمة البرمجيات الخاصة بمنصة أوريون Orion والتي تُستخدم بكثافة في المؤسسات الفيدرالية بالولايات المتحدة، وشركات Fortune 500 لمراقبة أداء شبكاتها المعلوماتية(8).  

وفي يوم 14 ديسمبر/كانون الأول، أعلنت الشركة ذاتها أن حوالي 33 ألف زبون للشركة من مجموع ما يزيد على 300 ألف زبون قد قاموا بتحميل التحديث الخاص بتطبيقات منصة Orion الذي التصقت الأداة الخبيثة ببرمجياته(9). وقد أعلنت الشركة عن الاختراق بتاريخ 15 ديسمبر/كانون الأول بعد أن كشفت شركة الأمن السيبراني الشهيرة FireEye أنها قد تعرضت إلى اختراق نشأ عنه سرقة أكثر من 300 أداة برمجية تقوم الشركة بتجهيزها لزبائنها لضمان الأمن السيبراني للعمليات المعلوماتية والاتصالية لديهم(10).

أما إذا تتبعنا الحدث وراء الكواليس المعلنة، سنجد أن شركة FireEye قد أصدرت منذ يوم 13 ديسمبر/كانون الأول تقريرًا تفصيليًّا حول معمارية الأداة الخبيثة التي استُخدمت في اختراق منصة برمجيات شركة SolarWinds تضمنت دلائل أكيدة بأن منصة برمجياتها قد أصيبت بالأداة الخبيثة منذ شهر مارس/آذار 2020، بيد أن شركة FireEye لم تذكر في تقريرها الأوَّلي أن إصابة منصتها البرمجية قد نشأت عن شركة SolarWinds، لكنها عادت وأكدت الإصابة عن طريق قناة الأخبار الأمنية Krebs On Security(11).

ولم تسلم شركة Microsoft العملاقة من هذه الهجمة بعد أن تبين من التقرير الذي أعدته الوكالة الأميركية للأمن السيبراني وأمن البنى التحتية (CISA)، بتاريخ 17 ديسمبر/كانون الأول(12)، والذي ذُكر فيه أن الوكالة المذكورة قد عثرت على أدلة تثبت أن القراصنة السيبرانيين قد نجحوا في زرع رموز وشهادات المصادقة Authentication Tokens في حسابات الامتيازات العالية للشركة المذكورة في خطوة لتصعيد تأثيرات الهجمة السيبرانية عن طريق فتح الباب للوصول إلى الموارد المعلوماتية التي تستضيف مختلف أشكال الخدمات الداعمة للجهات الحكومية وشركات القطاع الخاص.

ولم يعد خافيًا على الشبكات الإخبارية ما حصل، فأُعلن عن نجاح هجمة القراصنة السيبرانيين ووصولهم إلى موارد المراسلات الإلكترونية في وزارتي الخزينة والتجارة، وبعد يوم واحد أُعلن عن تسللهم إلى شبكات المعلومات في وزارة الأمن الداخلي الأميركية (DHS)، التي أجبرت الوكالة الأميركية للأمن السيبراني وأمن البنى التحتية (CISA) على الطلب من المؤسسات الفيدرالية الأميركية بالتوقف عن استخدام منصة تطبيقات شركة SolarWinds على الفور(13).

وقد بدأت قائمة الجهات التي تعرضت إلى هذه الهجمة السيبرانية الشرسة تتوسع شيئًا فشيئًا فالتحقت بالجهات أعلاه كل من(14): وزارة الدفاع الأميركية (البنتاغون)، ووزارة العدل، ووزارة إدارة الاتصالات والمعلومات، وإدارة الأمن النووي الوطني (NNSA) التي تنهض بمهام تخزين الأسلحة النووية، وهيئة التنظيم الفيدرالي التابعة لوزارة الطاقة (FERC)، والمختبرات الوطنية في واشنطن ونيومكسيكو، ومكتب النقل الآمن ومكتب Richland Field Office.

وقد أعلنت الوكالة الأميركية للأمن السيبراني وأمن البنى التحتية (CISA) تفاصيل أخرى عن الجهات التي طالتها هذه الهجمة السيبرانية(15)، فحذَّرت من وجود جهات أخرى تنتمي إلى المؤسسات الحكومية الأميركية، والمحلية والإقليمية، بالإضافة إلى شركات القطاع الخاص، لم تحدد هويتها لغاية هذا التاريخ بسبب عمق الهجمة. وأضافت أن هناك احتمالًا كبيرًا لتوسع نطاق الهجمة وتأثيره البالغ على نظم المعلومات على المستويين، المحلي والفيدرالي، انظر الشكل (1).

الشكل (1) يبيِّن توزيع آثار الهجمة السيبرانية على المؤسسات الفيدرالية والمحلية والقطاع الخاص بالولايات المتحدة الأميركية(16).

تعد هذه الهجمة من أشد الهجمات تأثيرًا على الكيانات الرقمية ومستودعات المعلومات الحساسة بتاريخ الولايات المتحدة، ولقد اتسمت هذه الهجمات بتقنية عالية وتعقيد بنيوي ملحوظ بحيث ساد الاعتقاد بأن الكثير من الكيانات المعلوماتية التي طالتها الهجمة لن تتمكن من إزالة جميع آثارها التخريبية المحتملة على المستوى القريب، وأن هناك حاجة ماسَّة إلى مراجعة أمنية-معلوماتية شاملة لضمان خلوها من البصمة التأثيرية للأداة الخبيثة والتسلل السيبراني في منظومات شبكات المعلومات والاتصالات الأميركية.

كذلك، فإن العمق التأثيري لهذه الهجمة ونوع وحجم البيانات التي استطاع القراصنة السيبرانيون الظفر بها(17)، والآثار المستقبلية التي قد تترتب على زرع أدوات خبيثة وبرمجيات تجسس أثناء عملية الاختراق لم تتضح لهذا التاريخ لأسباب عدة، لعل أهمها أن الهجمة السيبرانية لا يمكن استباق حصولها وإنما تأتي الإجراءات بعد حصولها، وبمدة زمنية قد تزيد على بضعة أيام، أو شهور أو قد تستغرق أكثر من ذلك لحين عثور الجهات المسؤولة عن أمن النظام المعلوماتي على آثار مريبة.

من هو المهاجم الشرس؟

إن الإجابة عن هذا التساؤل ليست عملية سهلة عندما نتعامل مع هجمة بُوشرت في فضاء سيبراني لا تحكمه مؤثرات المكان والزمان التقليديين، ويسري فيض هجماته في فضاء متخيل، لا تحكمه حدود البلدان الجغرافية والسياسية.

بصورة عامة، فإن فضاء المنازعة والتجاذب السيبراني للولايات المتحدة الأميركية مع خصومها تقيم فيه جيوش وفصائل وميليشيات سيبرانية تعود لأربعة دول تناصبها العداء، هي: روسيا، والصين، وإيران، وكوريا الشمالية(18). ورغم أن التصريحات الرسمية بالولايات المتحدة قد وجهت إصبع الاتهام إلى روسيا على لسان الرئيس المنتخب، جو بايدن، ووزير الخارجية الحالي، بومبيو، وعضو الكونغرس، ميت رومني(19)، وخبراء أمنيين ووسائل الإعلام الأميركية، من جهة، بينما انفرد الرئيس الأميركي الحالي، دونالد ترامب، فقلَّل من أهميتها ثم وجه إصبع اتهامه إلى الصين، إلا أننا نرى من الضروري التريث في قبول هذه الاتهامات التي لم تثبتها أدلة قاطعة (من ذوي الاختصاص) في تحديد هوية الجهة المهاجمة التي لم يُعثر على أثر غفل عنه الفاعلون في الشفرات البرمجية للأداة الخبيثة، ولم تتضح جغرافية مسار الفيض الرقمي من مصدره إلى الجهة المستهدفة، كما لم يتحدد، لغاية هذا التاريخ، مستوى عمق الهجمة وحجم الآثار التخريبية التي حصلت نتيجة عنها.

من أجل هذا، سنحاول تحليل عناصر ميدان الصراع السيبراني والجهات التي تقيم فيه، مع تركيز اهتمامنا على وقائع النزاعات السيبرانية خلال عام 2020، لكي تتضح الصورة أمامنا ونستطيع تحديد تراتبية الدور المحتمل للخصوم السيبرانيين الأربع للولايات المتحدة.

لقد قمنا بمعالجة مسألة تحديد الهوية من خلال ثلاثة محاور(20):

المحور الأول: حصة كل جهة من عدد الهجمات على الفضاء السيبراني الأميركي، انظر الشكل (2)؛ حيث يبدو واضحًا أن القراصنة الإيرانيين قد مارسوا هجمات سيبرانية أكثر من بقية الخصوم وبنسبة وصلت إلى 34.48% من مجموع الهجمات، بينما جاءت كل من روسيا والصين بالمرتبة الثانية وبنسبة 20.6%.

الشكل (2) يبيِّن حصة كل جهة من خصوم الولايات المتحدة السيبرانيين من الهجمات السيبرانية الموثقة خلال عام 2020.

المحور الثاني: هوية الأهداف التي حاولت الهجمات السيبرانية بلوغها، والتي أودعناها في الشكل (3)، والتي حاولنا تصنيفها إلى: مؤسسات حكومية، ومؤسسات بحثية وأكاديمية، وسرقة بيانات من مستودعات رقمية، أو استهداف شبكات المعلومات، أو سرقة أموال.

الشكل (3) يبين هوية الأهداف التي ضربتها الهجمات خلال عام 2020

ويبدو واضحًا أن إيران تبوأت المقام الأول على صعيد المؤسسات الحكومية، وعلى المؤسسات البحثية والأكاديمية، بينما تبوأت كوريا الشمالية المقام الأول على صعيد سرقة الأموال لدعم اقتصادها المتهالك، بينما تقاسمت كل من روسيا والصين وإيران المقام ذاته على صعيد مهاجمة شبكات المعلومات الوطنية بالولايات المتحدة.

المحور الثالث: حجم تأثير الهجمات السيبرانية على كيانات الفضاء السيبراني بالولايات المتحدة الأميركية والتي أودعناها في الشكل (4).

الشكل (4) يبين حجم التأثيرات المترتبة على الهجمات السيبرانية في الفضاء السيبراني للولايات المتحدة خلال عام 2020

ويبدو واضحًا أن الهجمات السيبرانية الخطيرة قد مورست من قبل القراصنة السيبرانيين الروس بينما تبوأت إيران المرتبة الأولى على صعيد الهجمات متوسطة التأثير وبنسبة كبيرة مقارنة مع بقية الخصوم.

رغم ما تناقلته وسائل الإعلام عن خبراء في الأمن السيبراني(21)، وصفوة الطبقة السياسية الأميركية، حول توجيه أصابع الاتهام إلى مجاميع من القراصنة الروس الذين يدعمهم النظام الروسي بهذه الهجمة الشرسة إلا أن المقال الذي صدر صباح يوم الجمعة، 25 ديسمبر/كانون الأول، عن صحيفة BBC News قد شكَّك بهوية المهاجمين التي لم تتضح لغاية هذا التاريخ. وقد أكَّد ذلك تصريح مستشار الأمن القومي الأميركي، روبرت أوبراين Robert O'Brien، لشبكة Fox News الإخبارية بأن ما توافر لديهم هو أن هناك هجمة سيبرانية شرسة، استبطنت عملًا استخباريًّا، بواسطة آليات سيبرانية بالغة التعقيد، بوشرت بواسطة قراصنة سيبرانيين، تدعمهم دول مناهضة للولايات المتحدة الأميركية(22).

ولما كانت الهجمة قد صُنِّفت ضمن فئة هجمات (APT(23) وبالخصوص فئة الهجمات (APT29(24)؛ فإن هذه الفئة من الهجمات ترتبط بفريق القراصنة الروس الذي يُعرف في ميدان الأمن السيبراني باسم Cozy Bear الذي سبق وأن مارست مجموعته سلسلة هجمات سيبرانية على أهداف معلوماتية في الولايات المتحدة وكندا، والمملكة المتحدة، منذ عام 2008، والتي يُعتقد أنها تعمل كجناح للتجسس السيبراني لصالح جهاز المخابرات الروسي(25). كذلك، فإن هذا النمط من الهجمات تمارسه الفصائل الرقمية الإيرانية التي تدعمها إيران التي نجحت كوادر الشركة الأمنية الأميركية FireEye، في شهر نوفمبر/تشرين الثاني 2014، في الكشف عنها وحمَّلتها مسؤولية استهداف شركات الاتصالات، وشركات النقل بالولايات المتحدة لجمع واستقصاء بيانات موسعة عن أشخاص محددين. كذلك تخصصت هذه المجموعة بممارسات التجسس الرقمي، والتي تستثمر مواردها في دعم العمليات التي يمارسها النظام الإيراني في دول المنطقة، ودول أخرى، ودعم أنشطة مجاميع أخرى للقرصنة المعلوماتية، ولدعم أنشطة مؤسسات أمنية واستخباراتية وتقنية بالبلاد(26).

لذا، نعتقد أن مصادر هذه الهجمة الشرسة تتأرجح بين جهتين، هما: روسيا وإيران(27)، لأن لكل منهما مبررات في المباشرة بها في هذا التوقيت. فالفرصة سانحة لروسيا في خضم التجاذبات العميقة بين الرئيس المنتخب وترامب والتنازع بشأن نتيجة الانتخابات وآليات تسليم السلطة. أما إيران، فإن هذا النمط من الهجمات يلبي رغبتها الأكيدة في الانتقام من الجهة التي اغتالت قاسم سليماني والخبير النووي الإيراني، محسن فخري زاده، بالإضافة إلى الهجمات السيبرانية المستمرة التي تمارسها الولايات المتحدة على الفضاء السيبراني للمنشآت النووية الإيرانية، وبنهج غير معلن، وبعيدًا عن الانتقام بالوسائل التقليدية والذي قد يورثها مجابهة عسكرية أكيدة مع الولايات المتحدة الأميركية.

وستفصح عملية تتبع الآثار التخريبية عن هذه الهجمة السيبرانية في المستقبل القريب، ونتائج المراجعة البرمجية للمعمارية الرقمية الخاصة بالأداة الخبيثة، واقتفاء الآثار التي قد غفل عنها المهاجمون في القطع بهوية إحدى هاتين الجهتين.

احتمالات الانتقام الأميركي

أصيبت الإدارة الأميركية (بشقيها، الحالية والمنتخبة) بصدمة كبيرة نتيجة لحجم الهجمة السيبرانية التي شملت عددًا كبيرًا من المؤسسات الفيدرالية الحساسة ومؤسسات الحكومة المحلية بالإضافة إلى عدد كبير من شركات المصنفة أولى في قائمة Fortune 500، بالإضافة إلى عدم وضوح مستوى تغلغل الهجمة السيبرانية في شبكات ونظم المعلومات، وحجم تأثيراتها، وطبيعة ومستوى حساسية البيانات التي استطاع قراصنة المعلومات حصادها من المستودعات الرقمية، مع عدم معرفة فيما إذا كانت الهجمة قد انتهت أم إن آلتها الخبيثة لا تزال مستمرة بالتغلغل في الفضاء السيبراني الاستراتيجي للولايات المتحدة لغاية هذا التاريخ.

وفي خضم التهديد غير المسبوق للأمن الوطني الأميركي، فإن الساحة السياسية لا تزال مشحونة بالنزاع المحتدم بين الرئيس المنتهية ولايته والرئيس المنتخب حول ادعاءات دونالد ترامب وأنصاره بوجود تزوير في نتائج الانتخابات.

فيلاحظ وجود تناقض كبير بين الرئيس المنتهية ولايته من جهة وإدارته من جهة أخرى بالتعامل مع هذا التهديد الخطير. فبينما لم يُبْدِ الرئيس الحالي، دونالد ترامب، اهتمامًا يُذكر بالهجمة السيبرانية، واقتصر في تصريحه للإعلام على حدوثها بعد مرور أسبوع على تناول الصحف الأميركية لتفاصيل الهجمة والانشغال بتحديد هوية المؤسسات الفيدرالية والحكومية وشركات القطاع الخاص التي بلغتها آثارها الضارة. وقلَّل من شأنها، وشكَّك في الاتهامات التي وُجِّهت نحو روسيا وتحميلها مسؤولية التخطيط والتنفيذ لعملياتها السيبرانية التجسسية(28).

أما موقف إدارته(29) فقد ناقض بوضوح ما ذهب إليه دونالد ترامب عندما وجَّه كل من وزير الخارجية الأميركي، مايك بومبيو، والمدعي العام، وليام بار، أصابعي اتهامهم إلى روسيا، ذلك لأن تعقيد الهجمة السيبرانية والتطور التقني الذي اتسمت به يتسق إلى حدٍّ كبير مع التفوق السيبراني الذي يتمتع به القراصنة السيبرانيون الذين يعملون بمعيَّة المخابرات الروسية#a30.

من جهة أخرى، نقل المسؤول في وزارة الدفاع الأميركية (البنتاغون)، جيسون ريد Jason Reed، موقف الرئيس المنتخب، جو بايدن، الذي أكَّد أنه متى ما زالت الشكوك واتضحت هوية الجهة التي مارست هذه الهجمة فإنه سيتخذ القرارات التي ستضمن توجيه عقوبة صارمة ضدها، وأنه لن يقف مكتوف الأيدي وهو يلاحظ أن المؤسسات الفيدرالية والمحلية وكبريات الشركات الأميركية الخاصة قد تعرضت لمثل هذه الهجمة الشرسة(31).

أما فريق الرئيس المنتخب، جو بايدن، فقد ذكروا أن أمامهم أكثر من خيار لمعاقبة روسيا على هذه الهجمة السيبرانية وذلك من خلال سلسلة إجراءات عقابية اقتصادية، على التوازي مع ممارسة هجمات سيبرانية شرسة على البنية التحتية للمعلومات والاتصالات في روسيا. وأكدوا على أن من الضروري أن يكون الرد قاسيًا لتوجيه ضغوط اقتصادية وتقنية على كيانات الفضاء السيبراني الروسي ولكن بعيدًا عن أي تصعيد للنزاع والأجواء المشحونة مع النظام. وفي الوقت نفسه، أكد الرئيس المنتخب، بايدن، على ضرورة إعادة مراجعة أداء المؤسسة الأمنية السيبرانية الوطنية، وتخصيص مبالغ إضافية لتطوير أدواتها، والارتقاء بأداء مواردها البشرية بحيث تحافظ الولايات المتحدة على مكانتها المتقدمة بامتلاك مقومات الردع السيبراني الأمثل على المستوى العولمي لدرء مثل هذه المخاطر ومنع تكرار حدوثها بالمستقبل(32).

ويبدو واضحًا أن إجابة مستشاري إدارة الرئيس المنتخب، جو بايدن، تتسم بكونها بعيدة عن التعامل الرشيد مع مثل هذا التهديد والذي يحتم مراجعة دقيقة لملابسات الهجمة، وتقدير حجم الأضرار التي نتجت عنها، والتأكد من هوية القراصنة السيبرانيين، والغايات التي رُسِمت لها لكي يكون القرار قريبًا من الواقع(33). يضاف إلى ذلك إلى أن وجودهم خارج البيت الأبيض، وبعيدًا عن الجهات المسؤولة عن تقدير مستوى الردع السيبراني الذي تمتلكه الولايات المتحدة قبالة القدرات السيبرانية للجهة التي مارست الهجمة سيجعل من قراراتها غير ذات قيمة معنوية ما لم تصدقها قدرات ردع سيبراني يمكن أن تحقق التأثير المناظر لما حصل في نظم وشبكات المعلومات بالولايات المتحدة، وبعكسه فسوف تقتصر الإجراءات على فرض المزيد من العقوبات التي لن ترقى إلى مستوى الأضرار التي نجمت عن الهجمة السيبرانية غير المسبوقة(34).

أسئلة معلقة