هجوم فدية انهار على نفسه
عادةً ما تُوصف هجمات برمجيات الفدية من حيث ما يحدث بشكل خاطئ للضحية: ملفات مشفرة، أنظمة مقفلة، رسائل فدية تطالب بالدفع. حادثة تم الإبلاغ عنها مؤخرًا تتعلق بمجموعة أkira للفدية تقلب هذا السيناريو. وفقًا للتقارير، حاولت أkira تنفيذ مناورة مراوغة ذكية، حيث أعادت تشغيل النظام المستهدف في وضع الإقلاع الآمن للالتفاف على أدوات كشف والاستجابة لنقاط النهاية (EDR)، لكن الحيلة انعكست بشكل سيئ لدرجة أنها كسرت مشفّر برمجية الفدية نفسها. ثم رصد برنامج Microsoft Defender الحمولة وعزلها، تاركًا المهاجمين دون أي نتيجة تُذكر من الاختراق.
إنها نتيجة نادرة وشبه مخيبة للآمال في مشهد التهديدات حيث تكون عصابات الفدية عادةً هي من تسبب الضرر. لكن هذه الحلقة أكثر من مجرد فضول. إنها تقدم نافذة مفيدة لفهم كيفية محاولة المهاجمين تعطيل الدفاعات الأمنية، وما يحدث عندما تنحرف هذه المحاولات عن مسارها.
كيف تعمل حيلة وضع الإقلاع الآمن، ولماذا فشلت؟
يُعد تشغيل جهاز مخترق في وضع الإقلاع الآمن تقنية معروفة بين مشغّلي برمجيات الفدية. وضع الإقلاع الآمن يجرّد نظام Windows من كل شيء باستثناء برامج التشغيل والخدمات الأساسية، مما يعطّل أيضًا العديد من أدوات EDR ومكافحة الفيروسات التابعة لجهات خارجية التي تعتمد على عمليات الإقلاع العادية للتحميل. بالنسبة للمهاجمين، هذا يخلق نافذة لا تكون فيها برمجيات الأمان مراقبة، مما يسهل نشر المشفّر دون اكتشاف.
في هذه الحالة، يبدو أن نفس البيئة المجرّدة تداخلت مع قدرة المشفّر على العمل بشكل صحيح. غالبًا ما تعتمد حمولات برمجيات الفدية على مكونات أو مكتبات أو خدمات نظام محددة لتنفيذ روتينات التشفير بسلاسة. عندما لا تكون هذه التبعيات متاحة لأن وضع الإقلاع الآمن عطّلها، يمكن أن يتعطل البرنامج الخبيث أو يفشل تمامًا. هذا ما حدث فعليًا هنا: التكتيك المصمم لتعمية المدافعين انتهى به الأمر إلى تعمية الهجوم نفسه.
ولإضافة الإهانة إلى الإصابة، تمكن برنامج Microsoft Defender من رصد الحمولة وعزلها بعد ذلك، مما يشير إلى أن محاولة المراوغة لم تحقق حتى هدفها الأساسي المتمثل في البقاء مخفيًا عن الحمايات المدمجة من Microsoft.
لماذا لا يزال المهاجمون يتمتعون بميزة، رغم هذا الخطأ؟
سيكون من الخطأ قراءة هذه الحادثة كدليل على أن دفاعات الفدية تكسب المعركة الأوسع. مجموعات مثل أkira تظل نشطة ومستمرة، وهذا النوع من الفشل هو الاستثناء وليس القاعدة. مشغّلو برمجيات الفدية يعملون باستمرار على تحسين أدواتهم، واختبار تقنيات مراوغة جديدة، والتعلم من أخطاء مثل هذا الخطأ. فشل هجوم اليوم لا يعني أن نفس التقنية لن يتم تصحيحها وإعادة نشرها بنجاح غدًا.
ما تبرزه هذه الحادثة هو أهمية الدفاعات متعددة الطبقات والكشف السريع. حتى عندما يتمكن المهاجم من تعطيل أو إيقاف طبقة حماية واحدة، فإن وجود أدوات أخرى، مثل قدرة Defender على الكشف بعد الحادث، يمكن أن يظل قادرًا على التقاط النشاط الخبيث قبل أن يسبب ضررًا دائمًا. هذا أيضًا هو السبب في أن مشاركة معلومات التهديدات مهمة جدًا عبر الصناعات. الجهود مثل دعوة مكتب التحقيقات الفيدرالي لمؤسسات الرعاية الصحية لمشاركة بيانات تهديدات الفدية تعكس إدراكًا متزايدًا بأن الرؤية في سلوك المهاجمين، بما في ذلك إخفاقاتهم، تساعد المدافعين على توقع الخطوة التالية بدلاً من مجرد التفاعل معها.
ماذا يعني هذا بالنسبة لك؟
بالنسبة للمستخدمين العاديين وأصحاب الأعمال الصغيرة، هذه القصة تذكير بأن الفدية ليست قوة لا يمكن إيقافها، لكنها أيضًا لن تختفي. الفشل التقني المحدد هنا، وهو حيلة مراوغة تكسر وظيفة البرنامج الخبيث نفسه، كان إلى حد كبير ضربة حظ للضحية وليس نتيجة دفاعات متفوقة من جانبهم. لا يجب أن تعتمد على المهاجمين في ارتكاب أخطاء لحماية بياناتك.
ما يمكنك التحكم فيه هو تقليل احتمالات استهدافك بنجاح في المقام الأول. هذا يعني الحفاظ على تحديث الأنظمة، وضمان تكوين أدوات EDR أو مكافحة الفيروسات ومراقبتها بشكل صحيح، والحفاظ على نسخ احتياطية غير متصلة بالإنترنت أو غير قابلة للتعديل بحيث حتى محاولة تشفير ناجحة لا تعني فقدانًا دائمًا للبيانات. يجب أن يكون لدى المؤسسات أيضًا خطط استجابة للحوادث تأخذ في الاعتبار سلوك النظام غير المعتاد، مثل إعادة التشغيل غير المتوقعة في وضع الإقلاع الآمن، لأن هذه يمكن أن تكون علامات إنذار مبكر لاختراق نشط وليس صيانة روتينية.
النقاط الرئيسية
تواصل مجموعات الفدية مثل أkira تطوير طرق جديدة لتعطيل الأدوات الأمنية قبل نشر حمولاتها، وتشغيل وضع الإقلاع الآمن هو إحدى هذه التقنيات. في هذه الحالة، انعكست الحيلة، مما أدى إلى تعطل المشفّر وسمح لـ Defender بالتقاط الحمولة بعد ذلك. لكن تلك النتيجة كانت ظرفية وليست مضمونة. الدرس الحقيقي للأفراد والمؤسسات هو الحفاظ على تحديث الأدوات الأمنية، والحفاظ على ممارسات نسخ احتياطي قوية، والبقاء في حالة تأهب لسلوك النظام غير المعتاد. الدفاع ضد الفدية لا يتعلق بالأمل في فشل المهاجمين؛ بل يتعلق ببناء المرونة بحيث عندما يفشلون أو لا يفشلون، تظل الأضرار محتواة.
