هجوم فدية أفسد نفسه

وثّق باحثون أمنيون في Huntress حالةً قام فيها تابعٌ لبرمجية Akira للفدية بتخريب هجومه عن طريق الخطأ أثناء محاولته تعطيل أدوات كشف التهديدات والاستجابة على نقاط النهاية (EDR) على الشبكة المستهدفة. فبدلاً من التسلل دون اكتشاف، تسببت محاولة التهرب التي نفذها المهاجم في انهيار عملية التشفير الخاصة ببرمجية الفدية نفسها، ما أدى إلى عدم اكتمال الحمولة المقصودة.

هذه ليست المرة الأولى التي يُضعف فيها تابعٌ لـ Akira عمليته الخاصة أثناء محاولته الالتفاف على حمايات EDR. ففي حادثة منفصلة غطيناها سابقًا، أعاد أحد التابعين تشغيل جهاز Windows مخترق إلى الوضع الآمن مع الاتصال بالشبكة خصيصًا لتجريد الجهاز من دفاعات نقاط النهاية قبل نشر برمجية الفدية. وقد انقلبت هذه الخطوة على المهاجمين أيضًا، حيث عطلت الأنظمة التي كانوا يحتاجون إليها لإكمال عملية التشفير. وتشير هاتان الحادثتان معًا إلى نمط: يجرّب تابعو Akira تقنيات مكافحة EDR بقوة، لكن هذه التقنيات تثبت هشاشتها في التطبيق العملي.

لماذا يستمر التلاعب بأدوات EDR في الانقلاب على أصحابه

صُممت برمجيات EDR لتستقر في عمق نظام التشغيل، وتراقب العمليات ونشاط الملفات واستدعاءات النظام في الوقت الفعلي. وهذا التكامل العميق هو ما يجعلها قيّمة للمدافعين، وهو أيضًا ما يجعل التلاعب بها محفوفًا بالمخاطر التقنية للمهاجمين. فعندما يحاول مشغلو برمجيات الفدية إنهاء عمليات EDR أو تعطيل برامج التشغيل أو إجبار النظام على حالة مجردة لتجنب الاكتشاف، فإنهم يعملون في منطقة غير مألوفة على شبكة شخص آخر. خطوة واحدة خاطئة، أو اعتمادية مفقودة، أو برنامج تشغيل لا يُفرَّغ بشكل نظيف، أو عملية تنتهي على نحو غير متوقع، يمكنها أن تُسقط الحمولة ذاتها التي يحاول المهاجم نشرها.

ويضيف توثيق Huntress لهذه الحادثة إلى مجموعة متزايدة من الأدلة على أن أدوات مكافحة EDR، رغم أنها تهديد حقيقي ونشط، ليست مضمونة النجاح من جانب المهاجم أيضًا. إنها أدوات مخصصة أو شبه مخصصة تُبنى بسرعة وتُنشر تحت ضغط الوقت أثناء اختراق مباشر. هذه البيئة لا تترك مجالًا كبيرًا للاختبار، ويمكن للأخطاء الصغيرة أن تكون لها عواقب كبيرة على عملية المهاجم.

ما الذي يعنيه ذلك للخصوصية وحماية البيانات

في حين أن هذه الحادثة تمثل انتصارًا تقنيًا للمدافعين المعنيين، يجدر بنا أن نكون واضحين بشأن ما تعنيه وما لا تعنيه للخصوصية. إن انهيار حمولة التشفير لا يعني بالضرورة أن المهاجم لم يصل إلى بيانات حساسة أبدًا. فالكثير من عمليات برمجيات الفدية، بما فيها عمليات Akira التي استهدفت نطاقًا واسعًا من الصناعات وأحجام الشركات، تتبع الآن نموذج الابتزاز المزدوج. فغالبًا ما تُسرَّب البيانات قبل محاولة التشفير أصلًا، ما يعني أن فشل مرحلة التشفير لا يمنع تلقائيًا حدوث خرق للمعلومات الشخصية أو التجارية أو استغلالها لاحقًا في الابتزاز.

وهذا مهم لأي شخص ينظر إلى هذه القصة من منظور الخصوصية. فالمنظمات التي تتعرض لهجوم فدية فشل جزئيًا ينبغي أن تتعامل مع الحادثة على أنها حدث محتمل لتسريب البيانات، لا مجرد رصاصة نجت منها. ولا ينبغي تخطي التزامات الإخطار والتحقيق الجنائي الرقمي ومراقبة البيانات المسربة لمجرد أن العَرَض المرئي، أي الشبكة المشفرة، لم يكتمل أبدًا.

وتندرج هذه الحادثة أيضًا ضمن مشهد أوسع لبرمجيات الفدية حيث تعمل المجموعات باستمرار على تطوير تكتيكاتها. فقد أظهر تتبع الصناعة الحديث أن Akira لا تزال من بين أكثر عمليات الفدية نشاطًا إلى جانب أسماء بارزة أخرى، ما يؤكد أن التابعين يتعرضون لضغط للتحرك بسرعة وتجربة أساليب تهرب جديدة، أحيانًا على حساب الموثوقية.

ما الذي يعنيه ذلك لك

بالنسبة لفرق تقنية المعلومات والأمن، الدرس ليس التراخي. بل إنه تأكيد على أن إعدادات EDR المقاومة للتلاعب والمراقبة متعددة الطبقات ترفع فعلًا التكلفة وخطر الفشل على المهاجمين. فحتى الاختراق الذي يفشل جزئيًا يمكن أن يؤدي إلى بيانات مسروقة، لذلك ينبغي أن تفترض خطط الاستجابة للحوادث أن التسريب حدث ما لم يثبت الدليل عكس ذلك. أما بالنسبة للمستخدمين العاديين والمنظمات الأصغر التي لا تملك فرق أمن متخصصة، فالخلاصة أبسط: حافظ على تحديث أدوات حماية نقاط النهاية، وتجنب تعطيل برامج الأمان ولو مؤقتًا، وتعامل مع أي علامة على تغييرات غير مصرح بها في النظام، بما في ذلك عمليات إعادة التشغيل غير المتوقعة أو مطالبات الوضع الآمن، على أنها علامة خطر تستحق التحقيق الفوري.

خلاصات عملية

  • لا تفترض أن فشل تشفير برمجية الفدية أو عدم اكتماله يعني عدم سرقة أي بيانات؛ تحقق من احتمالية التسريب بغض النظر عن النتيجة.
  • حافظ على تحديث أدوات EDR وحماية نقاط النهاية وضبطها مع تفعيل الحماية من التلاعب حيثما أمكن.
  • راقب سلوك النظام غير المعتاد، مثل إعادة التشغيل غير المتوقعة إلى الوضع الآمن، فقد استُخدمت كأسلوب للتهرب من EDR من قبل تابعي Akira.
  • راجع خطط النسخ الاحتياطي والتعافي بانتظام، لأن محاولات الفدية، سواء نجحت أم لا، غالبًا ما تشير إلى اختراق أوسع للشبكة.

تُظهر محاولات التهرب من EDR من برمجية Akira مثل هذه أن المهاجمين ما يزالون يصقلون خططهم الهجومية، وأن حتى المجموعات المتطورة يمكن أن تتعثر بأدواتها الخاصة. ويبقى توخي اليقظة، بدلاً من افتراض أن النجاة القريبة تعني غياب الضرر كليًا، هو النهج الأكثر أمانًا للمدافعين.