يدق باحثو الأمن ناقوس الخطر بشأن تكتيك يجعل عصابة فيروس الفدية "أكيرا" صعبة الاكتشاف بشكل خاص: إساءة استخدام برامج المراقبة والإدارة عن بُعد (RMM) المشروعة. فبدلاً من الاعتماد حصريًا على برمجيات خبيثة مخصصة، يلجأ شركاء "أكيرا" بشكل متزايد إلى أدوات موثوقة واسعة الانتشار مثل TeamViewer وAnyDesk للحفاظ على موطئ قدم داخل الشبكات المخترقة مع التسلل عبر أنظمة اكتشاف نقاط النهاية والاستجابة (EDR).

هذا ليس مفهومًا جديدًا في عالم الجرائم الإلكترونية، لكن استمرار "أكيرا" في استخدامه وتحسينه يسلط الضوء على مشكلة أوسع: البرامج التي تعتمد عليها المؤسسات للدعم التقني المشروع يمكن أن تتحول بسهولة إلى باب خلفي للمهاجمين، وغالبًا لا تكون أدوات الأمن التقليدية مصممة لتمييز الفرق.

لماذا تُعد أدوات الوصول عن بُعد المشروعة ناقلات هجوم مثالية

أدوات RMM موجودة لسبب وجيه. تستخدمها أقسام تكنولوجيا المعلومات ومزودو الخدمات المُدارة يوميًا لاستكشاف أخطاء الأجهزة وإصلاحها ودفع التحديثات ودعم الموظفين عن بُعد. هذه المشروعية هي بالضبط ما يجعلها ذات قيمة كبيرة لمشغلي برامج الفدية.

عندما يقوم شركاء "أكيرا" بتثبيت أو اختطاف أدوات مثل TeamViewer وAnyDesk على شبكة الضحية، غالبًا ما تبدو الاتصالات الناتجة كنشاط إداري عادي وليس حركة مرور ضارة للتحكم والقيادة. برامج الأمان التي تضع علامات على الملفات التنفيذية غير المعروفة أو الإشارات الشبكية غير المعتادة قد تمرر هذه الاتصالات ببساطة، لأن الأدوات نفسها موقعة رقميًا ومنتشرة على نطاق واسع ونادرًا ما يتم حظرها تمامًا بواسطة سياسات الشركات.

يُشار إلى هذا الأسلوب أحيانًا باسم تقنية "العيش على الأرض"، على الرغم من أن المهاجمين في هذه الحالة لا يستخدمون فقط الأدوات الموجودة بالفعل على النظام. بل يقومون بنشر برامج طرف ثالث موثوقة بنشاط للاندماج مع العمليات التجارية العادية، مما يمنحهم قناة مستمرة ومنخفضة الظهور للعودة إلى الشبكة حتى بعد اكتشاف الاختراق الأولي ومعالجته جزئيًا.

الاستمرارية، وليس مجرد الوصول الأولي

ما يجعل هذا الاتجاه مثيرًا للقلق بشكل خاص هو زاوية الاستمرارية. لا تنتقل مجموعات الفدية دائمًا فورًا من الاختراق الأولي إلى التشفير. أظهر شركاء "أكيرا" نمطًا من إنشاء مواطئ قدم متعددة، وأدوات RMM تمنحهم طريقة موثوقة للحفاظ على الوصول بمرور الوقت، حتى لو تم إغلاق نقطة دخول واحدة.

هذا مهم لأنه يغير حساب الاستجابة للحوادث بالنسبة للمؤسسات. مجرد إزالة قطعة معروفة من البرمجيات الخبيثة ليس كافيًا إذا كان المهاجمون لا يزالون يحتفظون بأداة وصول عن بُعد تبدو مشروعة على خادم أو محطة عمل، جاهزة لإعادة تنشيطها. تحتاج فرق الأمان إلى التعامل مع التثبيتات غير المتوقعة أو غير المصرح بها لبرامج الوصول عن بُعد كعلامة حمراء خطيرة، وليس مجرد انتهاك بسيط للسياسة.

تم توثيق البراعة التقنية للمجموعة في التهرب من الاكتشاف من قبل. في إحدى الحالات التي غطيناها في تقريرنا عن محاولة تهرب شريك "أكيرا" من EDR التي تسببت في انهيار هجومه، وجد باحثون في Huntress أن محاولات المهاجم نفسه لتعطيل حماية نقاط النهاية جاءت بنتيجة عكسية، مما عطّل الهجوم الذي كان يحاول تنفيذه. تلك الحادثة تذكير بأنه بينما تتقدم أساليب "أكيرا"، فهي ليست معصومة من الخطأ، والمدافعون الذين يراقبون عن كثب يمكنهم التقاط الأخطاء التي يرتكبها المهاجمون على طول الطريق.

المخاطر المتعلقة بالخصوصية للأفراد والشركات

بينما يستهدف فيروس الفدية "أكيرا" المؤسسات بشكل أساسي وليس المستهلكين الأفراد، فإن الآثار المترتبة على الخصوصية في المراحل النهائية كبيرة. عندما ينجح "أكيرا" في تشفير بيانات الشركة وسرقتها، غالبًا ما تتضمن تلك البيانات سجلات العملاء ومعلومات الموظفين والتفاصيل المالية وغيرها من البيانات الشخصية التي تخص أشخاصًا لم يكن لهم دور مباشر في الاختراق.

تزاوج مجموعات الفدية مثل "أكيرا" بشكل متزايد بين التشفير وسرقة البيانات، مهددة بتسريب الملفات المسروقة إذا لم يتم دفع الفدية. هذا يعني أن أي شخص توجد معلوماته الشخصية في أنظمة المؤسسة المخترقة، سواء كعميل أو مريض أو موظف، قد ينتهي به الأمر إلى تعريض بياناته الخاصة للخطر بغض النظر عن مدى قوة عاداته الشخصية في الأمن.

ما يعنيه هذا بالنسبة لك

إذا كنت تعمل في تكنولوجيا المعلومات أو عمليات الأمن، فهذا التطور دعوة مباشرة لمراجعة أدوات الوصول عن بُعد المصرح بها على شبكتك ومراقبة التثبيتات غير المصرح بها لبرامج مثل TeamViewer أو AnyDesk. ظهور أدوات وصول عن بُعد غير مفسرة على نقاط النهاية يجب أن يطلق نفس المستوى من التدقيق مثل البرمجيات الخبيثة غير المعروفة.

بالنسبة للمستخدمين اليوميين والمستهلكين، فإن الخلاصة غير مباشرة أكثر لكنها لا تزال مهمة. نظرًا لأن هجمات فيروس الفدية "أكيرا" يمكن أن تكشف البيانات الشخصية التي تحتفظ بها الشركات التي تتعامل معها، فمن الجدير الانتباه إلى إشعارات الاختراق من الشركات التي تتعامل معها والتصرف بسرعة إذا كانت معلوماتك متورطة.

خلاصات قابلة للتنفيذ

يجب على المؤسسات تقييد أدوات الوصول عن بُعد المسموح بها على الشبكة والتنبيه على أي أدوات أخرى. مراقبة برامج RMM المثبتة خارج مهام عمل تكنولوجيا المعلومات المعتمدة أمر بالغ الأهمية، لأن المهاجمين يعتمدون على هذه الأدوات للاندماج مع حركة المرور العادية. يساعد المصادقة متعددة العوامل على حسابات الوصول عن بُعد، والتدقيق المنتظم للبرامج المثبتة، والمراجعة الدقيقة للاتصالات الصادرة غير المعتادة، كل ذلك في تقليل مخاطر تمكن "أكيرا" أو مجموعات مماثلة من الحفاظ على الوصول بهدوء. بالنسبة للأفراد، يظل البقاء يقظًا تجاه إشعارات الاختراق واستخدام كلمات مرور فريدة عبر الحسابات واحدة من أبسط الطرق للحد من التداعيات عندما تصبح شركة تعتمد عليها هدفًا.