ما الذي حدث: خطأ شريك أكيرا في الوضع الآمن

تبذل عصابات برامج الفدية جهدًا كبيرًا لضمان عمل برمجياتها الخبيثة بسلاسة. لذا فمن المُرضي نوعًا ما أن نعلم أن أحد شركاء أكيرا نجح في تخريب هجومه بقرار واحد سيئ.

وفقًا للتقارير حول الحادثة، قام أحد شركاء برنامج الفدية أكيرا بإعادة تشغيل جهاز الضحية المُخترق إلى الوضع الآمن، وهو وضع بدء تشغيل ويندوز المجرّد المخصص عادةً لاستكشاف الأخطاء وإصلاحها. كان الهدف واضحًا: يُحمّل الوضع الآمن مجموعة دنيا فقط من برامج التشغيل والخدمات، مما يمنع عادةً أدوات كشف نقطة النهاية والاستجابة (EDR) وبرامج مكافحة الفيروسات من الانطلاق. وبدون عمل هذه الدفاعات، تصوّر المهاجم أن حمولة التشفير يمكنها القيام بمهمتها دون مقاومة.

وبدلاً من ذلك، تسبّب إعادة التشغيل في كسر أداة التشفير الخاصة بالمهاجم نفسه. فالبيئة المحدودة ذاتها التي عطّلت برامج أمان الضحية جردت أيضًا المكوّنات التي تحتاجها البرمجية الخبيثة لتعمل. توقف الهجوم، وانهارت محاولة الابتزاز المخطط لها بعناية من الشريك قبل أن تكتمل عملية التشفير.

إنها تفصيلة صغيرة، شبه هزلية وسوداء، في قصة جدية بخلاف ذلك: عصابات برامج الفدية لا تنجح دائمًا في تنفيذ مخططاتها، ويمكن أن تكون أدواتها هشة تمامًا مثل أي شيء آخر يعمل على شبكة مخترقة.

لماذا كسر الوضع الآمن المُشفِّر وليس فقط الدفاعات

يوجد الوضع الآمن لمساعدة موظفي تكنولوجيا المعلومات والمستخدمين على استكشاف أخطاء جهاز ويندوز الذي لا يعمل بشكل صحيح، وذلك عن طريق تحميل برامج التشغيل وخدمات النظام الأساسية فقط. ولهذا السبب بالتحديد اعتمد عليه مشغلو برامج الفدية في الماضي: فالكثير من وكلاء كشف نقطة النهاية والاستجابة (EDR) ومنتجات مكافحة الفيروسات مسجلة كخدمات بدء تشغيل عادية، ولن يقوم ويندوز بتحميلها في هذه الحالة المقيدة. نظريًا، يمهد ذلك الطريق أمام المُشفِّر لقفل الملفات دون أي اعتراض من أي جهة أو شخص.

لكن المأزق هو أن الوضع الآمن لا يعطل برامج الأمان فحسب بشكل انتقائي. إنه بيئة كل شيء أو لا شيء تقيّد برامج التشغيل والخدمات ومكونات النظام المتاحة على الإطلاق. فإذا اعتمد المُشفِّر على أي شيء خارج هذا النطاق الأدنى، سواء كان برنامج تشغيل محددًا، أو خدمة خلفية، أو اعتماد لم يفكر مؤلف البرمجية الخبيثة في أخذه بالحسبان، فقد تفشل الحمولة بسهولة تمامًا كما يفشل منتج مكافحة الفيروسات الذي كان يحاول تفاديه.

في هذه الحالة، يبدو أن أدوات شريك أكيرا لم تكن مصممة لتنجو في تلك الحالة المجردة. كان المُشفِّر بحاجة إلى شيء لا يوفره الوضع الآمن، فانهار الهجوم تحت وطأة وزنه. إنه تذكير بأن الأدوات الهجومية ما زالت برمجيات، بناها أشخاص يضعون افتراضات حول البيئة التي ستعمل فيها، وعندما لا تصمد هذه الافتراضات، يمكن حتى لعملية برامج فدية غنية الموارد أن تتعثر في دليلها الخاص.

كيف يعطّل المهاجمون أدوات الأمان عادةً قبل التشفير

إعادة التشغيل إلى الوضع الآمن ليست سوى تقنية واحدة من بين عدة تقنيات يستخدمها شركاء برامج الفدية لتمهيد الطريق قبل نشر المُشفِّر. وتشمل التقنيات الأخرى استخدام بيانات اعتماد مسؤول مسروقة أو مخترقة لإلغاء تثبيت وكلاء كشف نقطة النهاية والاستجابة (EDR) أو تعطيلها يدويًا، ونشر أدوات مصممة خصيصًا لإنهاء عمليات الأمان، واستغلال برامج تشغيل ضعيفة لإنهاء الخدمات المحمية، وتعديل مفاتيح التسجيل أو إعدادات سياسة المجموعة المرتبطة بتكوينات مكافحة الفيروسات.

الخيط المشترك بين كل هذه الأساليب هو أن المهاجمين يحتاجون إلى نافذة زمنية، مهما كانت قصيرة، تكون فيها أدوات الأمان خارج المراقبة. وهذا جزء من السبب وراء قضاء عمليات برامج الفدية وقتًا طويلاً في مرحلة الوصول والاستطلاع قبل استخدام المُشفِّر على الإطلاق. يُظهر النمط الأوسع لاستهداف ضحايا أكيرا أن هذه المجموعة تعمل عبر مجموعة واسعة من الصناعات وأحجام الشركات، مما يشير إلى دليل عمل قابل للتكرار نسبيًا بدلاً من الارتجال لمرة واحدة. هذا الاتساق هو بالضبط ما يجعل خطأً مثل فشل الوضع الآمن جديرًا بالملاحظة: إنه شرخ نادر في عملية مُحكمة بخلاف ذلك.

دروس الدفاع المتعمق للمؤسسات التي تواجه هجمات بأسلوب أكيرا

الخلاصة الواضحة ليست أن على المؤسسات أن تتمنى أن يرتكب كل مهاجم خطأً كهذا. بل أن الدفاعات متعددة الطبقات، وليس أي أداة منفردة، هي ما تجعل الهجمات أصعب في التنفيذ بشكل نظيف. إذا اعتمدت الشبكة على منتج مكافحة فيروسات واحد كخط دفاع وحيد، فإن إعادة التشغيل إلى الوضع الآمن أو التعطيل باستخدام بيانات الاعتماد يمكن أن يحيّده بخطوة واحدة. لكن المؤسسات التي تستخدم كشف نقطة النهاية والاستجابة (EDR) مع الحماية من العبث، وتقييد حقوق المسؤول المحلي، وتجزئة الشبكة، ومراقبة تكوينات الإقلاع، تتيح للمهاجمين فرصًا أكبر للفشل أو الاكتشاف قبل أن يبدأ التشفير على الإطلاق.

تؤكد هذه الحادثة أيضًا على أهمية تتبع اتجاهات برامج الفدية على مدار الوقت بدلاً من التفاعل مع العناوين الفردية. يقدم ملخص برامج الفدية للربع الثاني من 2026 الذي يغطي تشيلين وأكيرا ولوك بيت5 سياقًا مفيدًا حول كيفية تطور هذه المجموعات لتكتيكاتها ربعًا بعد ربع، مما يساعد فرق الأمان على التوقع بدلاً من مجرد الاستجابة.

ما يعنيه هذا بالنسبة لك

إذا كنت تدير تكنولوجيا المعلومات لشركة صغيرة أو متوسطة الحجم، فهذه القصة حافز جيد للتحقق من بعض الأساسيات: هل تم تمكين الحماية من العبث على أدوات كشف نقطة النهاية والاستجابة (EDR) أو مكافحة الفيروسات لديك بحيث لا يمكن تعطيلها بسهولة من خلال إعادة تشغيل أو تعديل في السجل؟ هل حقوق المسؤول المحلي مقيدة بشدة بحيث لا يستطيع المهاجم الذي يمتلك حسابًا مخترقًا واحدًا إعادة تكوين خدمات بدء التشغيل؟ هل يراقب شخص ما فعليًا عمليات إعادة التشغيل غير المعتادة أو نشاط الوضع الآمن على أنظمة الإنتاج، حيث يمكن أن يكون ذلك وحده علامة حمراء تستحق التحقيق؟

لا يتطلب أي من هذا أدوات غريبة. بل يتطلب الثبات والاستعداد لمعاملة الأمان كطبقات متعددة بدلاً من خانة اختيار واحدة.

نقاط عملية يمكن اتخاذها

  • قم بتمكين الحماية من العبث على أدوات كشف نقطة النهاية والاستجابة (EDR) ومكافحة الفيروسات حتى لا يمكن تعطيلها من خلال عمليات إعادة التشغيل إلى الوضع الآمن أو تغييرات السجل.
  • قيّد صلاحيات المسؤول المحلي لتقليل سهولة تمكن المهاجم من إعادة تكوين خدمات النظام.
  • راقب عمليات الإقلاع غير المتوقعة إلى الوضع الآمن أو أحداث تعطيل الخدمات كعلامات إنذار مبكر على اختراق نشط.
  • احتفظ بنسخ احتياطية غير متصلة ومختبرة حتى لا تظل محاولة التشفير الفاشلة أو الجزئية تتركك في حالة تدافع للاستعادة.

فشل الوضع الآمن لبرنامج الفدية أكيرا هو تذكير مفيد بأن العمليات الإجرامية المتطورة يمكن أن تُفشل بسبب التعقيد نفسه الذي تستغله. الدفاعات القوية متعددة الطبقات لا توقف الهجمات فحسب، بل تزيد من احتمالات أنه عندما يحدث خطأ ما للمهاجم، يحدث ذلك في صالحك.