كيف تعمل برمجيات الفدية

برمجية الفدية هي برمجية ضارة تمنع الوصول إلى البيانات أو الأنظمة، عادةً عبر تشفير الملفات، ثم تطالب بدفع مبلغ مقابل استعادتها. وتُدار الحملات الحديثة بواسطة مؤسسات إجرامية منظمة تضم شركاء ومكاتب دعم وأدلة تفاوض.

يتيح لكم فهم آلياتها لأغراض دفاعية، لا لبنائها، قطع سلسلة الهجوم عند نقاط متعددة.

نادرًا ما تبدأ برمجية الفدية بالتشفير فور وصولها. فهي تتبع سلسلة يمكنكم قطعها:

• الدخول الأولي — التصيد الاحتيالي، وRDP المكشوف، وVPN الضعيف
• موطئ القدم والاستمرارية — باب خلفي، أو مهمة مجدولة
• تصعيد الصلاحيات والحركة الجانبية — الانتشار إلى مضيفين آخرين
• الاستكشاف والاستخراج — العثور على البيانات وسرقتها
• الأثر — تشفير واسع النطاق وظهور مذكرة الفدية

يكون اكتشافها خلال فترة التواجد المبكرة أقل كلفة بكثير من التعافي بعد التشفير.

تبدأ معظم عمليات التسلل بعدد قليل من نقاط الدخول المتوقعة:

• التصيد الاحتيالي عبر مرفقات أو روابط ضارة
• خدمات الوصول عن بُعد المكشوفة مثل RDP مع كلمات مرور ضعيفة أو معاد استخدامها
• برمجيات مواجهة للإنترنت وغير مُرقّعة، مثل VPN والبريد وتطبيقات الويب
• بيانات اعتماد صالحة يشتريها المهاجمون من وسطاء الوصول

يمثل إغلاق هذه المسارات الإجراء الوقائي الأعلى أثرًا، وسنتناوله في الدرس التالي.

تستخدم برمجيات الفدية الحديثة التشفير الهجين. فهي تنشئ مفتاحًا متماثلًا سريعًا (AES) لكل ملف أو مضيف لتشفير البيانات بسرعة، ثم تشفّر هذا المفتاح المتماثل باستخدام المفتاح العام للمهاجم (RSA أو منحنى إهليلجي).

لا يملك المهاجم سوى المفتاح الخاص المطابق، لذلك لا يستطيع الضحايا استعادة المفاتيح المتماثلة من دونه. تعيد بعض السلالات سيئة التصميم استخدام المفاتيح أو تسرّبها أحيانًا، ولهذا تتوفر أدوات فك التشفير في بعض الحالات، لكن لا ينبغي لكم الاعتماد على ذلك مطلقًا.

يعرف المهاجمون المحنكون أن النسخ الاحتياطية هي سبيلكم للنجاة، لذلك يبحثون عنها قبل التشفير.

• حذف مستودعات النسخ الاحتياطية أو تشفيرها
• حذف Volume Shadow Copies في Windows
• استهداف بيانات اعتماد مسؤولي النسخ الاحتياطية

ولهذا السبب تكون النسخ الاحتياطية غير القابلة للتغيير أو غير المتصلة أو المعزولة عن الشبكة (في الدرس التالي) حاسمة؛ إذ يتعذر الوصول إليها وتدميرها حتى مع امتلاك صلاحيات مسؤول المجال.

لا ينجح التشفير وحده في مواجهة النسخ الاحتياطية الجيدة، لذلك صعّد المهاجمون وسائل الضغط.

• الابتزاز الأحادي — تشفير البيانات والمطالبة بالدفع مقابل مفتاح فك التشفير
• الابتزاز المزدوج — استخراج البيانات أولًا أيضًا، ثم التهديد بنشرها

يعني الابتزاز المزدوج أن الاستعادة من النسخة الاحتياطية لم تعد كافية؛ فقد حدث خرق البيانات بالفعل. تعاملوا مع كل حالة من حالات برمجيات الفدية باعتبارها خرقًا محتملاً للبيانات، مع ما يترتب على ذلك من التزامات قانونية والتزامات بالإخطار.

بالإضافة إلى التشفير وتسريب البيانات، تضيف مجموعات المهاجمين وسائل ضغط لإجبار الضحية على الدفع سريعًا:

• الابتزاز الثلاثي — تهديد عملاء الضحية أو شركائها مباشرة
• شن هجمات DDoS على الضحية أثناء المفاوضات
• التواصل مع وسائل الإعلام أو الجهات التنظيمية لتضخيم الضرر الذي يلحق بالسمعة

تستهدف هذه الأساليب النشاط التجاري، لا الأنظمة فحسب، ولهذا يجب أن تشمل الاستجابة الشؤون القانونية والاتصالات والقيادة، لا قسم تقنية المعلومات وحده.

أصبحت هذه المنظومة صناعية الطابع. يبني مشغلو RaaS البرمجيات الخبيثة وموقع تسريب البيانات ويصونونهما، ثم يؤجرونهما إلى الشركاء التابعين الذين ينفذون عمليات الاختراق ويتقاسمون الأرباح.

الآثار المترتبة على المدافعين:

• يستخدم متسللون مختلفون حزمة الأدوات نفسها، ولذلك تساعد المؤشرات المشتركة
• تختلف مهارات الشركاء التابعين؛ فبعضهم صاخب ويسهل اكتشافه
• يؤدي تعطيل مشغل واحد إلى إزاحة التهديد، لكنه لا يقضي عليه

الدفع ليس حلًا مضمونًا، وقد يكون مقيدًا قانونيًا في بعض الحالات.

• لا يوجد ضمان بأن أداة فك التشفير ستعمل أو ستُقدَّم أصلًا
• غالبًا ما تكون أدوات فك التشفير بطيئة أو تتسبب في تلف الملفات
• قد تُسرَّب البيانات المسروقة أو يُعاد بيعها رغم ذلك
• يموّل الدفع هجمات مستقبلية، وقد ينتهك قوانين العقوبات
• يضعكم في قائمة من يدفعون، مما يشجع على استهدافكم مرة أخرى

الموقف القابل للدفاع عنه هو امتلاك القدرة على الاستعادة من دون الدفع، من خلال الاستعداد.

للتهرب من الاكتشاف، يسيء المهاجمون استخدام الأدوات المشروعة المدمجة بدلًا من إسقاط برمجيات خبيثة واضحة. ويُعرف ذلك باسم الاستفادة من أدوات النظام.

• أدوات الإدارة الأصلية للتنفيذ عن بُعد والاستكشاف
• إعادة توظيف برامج الوصول عن بُعد المشروعة للتحكم
• استخدام إمكانات البرمجة النصية المدمجة لتعطيل وسائل الحماية والانتشار

نظرًا إلى أن الملفات التنفيذية موثوقة، ينتقل الاكتشاف من مطابقة التواقيع إلى رصد السلوك: الاستخدام غير المعتاد لأدوات الإدارة بواسطة حسابات غير متوقعة.

تتيح كل مرحلة فرصة دفاعية:

• الوصول الأولي — المصادقة متعددة العوامل، وتطبيق التصحيحات، ومقاومة التصيد الاحتيالي
• الحركة الجانبية — تقسيم الشبكة، وأقل قدر من الصلاحيات
• استخراج البيانات — مراقبة حركة الخروج، وDLP
• التأثير — نسخ احتياطية غير قابلة للتغيير حتى لا يكون التشفير دائمًا

لا يلزمكم النجاح في كل مرحلة؛ فتعطيل أي مرحلة يمكن أن يوقف العملية. تبني الدروس التالية هذه الطبقات.

طبّقوا دورة الحياة على قرار متعلق بالاستعادة.

أصبحتم الآن تفهمون الآلية بما يكفي للدفاع ضدها.

• تتبع برمجيات الفدية دورة حياة تشمل: الوصول، والاستمرارية، والحركة الجانبية، واستخراج البيانات، ثم التأثير
• تستخدم التشفير الهجين وتدمّر النسخ الاحتياطية عمدًا أولًا
• يضيف الابتزاز المزدوج والثلاثي تسريب البيانات والضغط الخارجي، مما يجعل الحادثة خرقًا للبيانات أيضًا
• تعمل RaaS على تحويل الهجمات إلى صناعة؛ وتستخدم الاستفادة من أدوات النظام للتهرب من التواقيع
• الدفع محفوف بالمخاطر؛ والهدف هو الاستعادة من دون الدفع

التالي: منع الهجوم من ترسيخ وجوده أصلًا.