تعطي حمولة برمجية الفدية Beast، التي خضعت لتحليل حديث، مشغّليها شيئًا غير معتاد: واجهة رسومية تفاعلية وقدرة على تجاوز الإعدادات المدمجة في البرمجية الخبيثة. كما أنها تعطّل خدمات النسخ الاحتياطي، وتحذف النسخ الظلية، وتشفّر محركات الأقراص الشبكية. إذا أردت فهم كيف تعمل برمجية الفدية Beast عمليًا، فالخلاصة القصيرة هي أنها تزيل شبكات الأمان لديك أولًا ثم تقفل الملفات.
تستعرض هذه المقالة ما تم الإبلاغ عنه، وما يعنيه ذلك للأفراد والشركات الصغيرة، وأي الدفاعات هي الأهم. الشبكة الافتراضية الخاصة (VPN) مفيدة للخصوصية، لكنها لن توقف هذا النوع من الهجمات بمفردها.
كيف تهاجم برمجية الفدية Beast النسخ الاحتياطية ومحركات الأقراص المشتركة
تصف التقارير حمولة تستهدف خيارات الاسترداد قبل أن تشفّر أي شيء. فهي تعطّل خدمات النسخ الاحتياطي وتحذف النسخ الظلية، وهي اللقطات المدمجة في Windows التي يعتمد عليها كثيرون للتراجع عن الملفات. ثم تشفّر محركات الأقراص الشبكية، فتُصاب المجلدات المشتركة وخوادم الملفات إلى جانب الجهاز المحلي.
تصف ملفات التهديدات العامة Beast كمنتج فدية كخدمة (RaaS)، بميزات مثل فحص SMB، وتشفير الملفات، وبدء أو إيقاف الخدمات والعمليات. SMB هو البروتوكول المستخدم لمشاركة الملفات في Windows، وهذا يفسر لماذا تكون محركات الأقراص الشبكية هدفًا طبيعيًا. وتقول هذه الملفات أيضًا إن Beast تطورت من سلالة سابقة مبنية على Delphi تُسمى Monster.
الترتيب مهم. فإذا كانت اللقطات وخدمات النسخ الاحتياطي قد اختفت بحلول وقت تشفير الملفات، يكون أسهل مسار للاسترداد قد أُغلق. ولهذا يجب أن يكون النسخ الاحتياطي الذي تعتمد عليه موجودًا في مكان لا تستطيع البرمجية الخبيثة الوصول إليه.
ما الذي تغيّره لوحة تحكم الشركاء التابعة والإعدادات القابلة للتخصيص
في نموذج RaaS، يوفّر المطوّرون البرمجية الخبيثة وينفّذ الشركاء التابعون عمليات الاختراق. وتمنح حمولة Beast التي خضعت للتحليل هؤلاء الشركاء واجهة رسومية تفاعلية وتتيح لهم تجاوز إعداداتها المدمجة. ويصف تحليل آخر لـ Beast واجهة مدمجة تتيح للشركاء اكتشاف الموارد، واختيار الأهداف، وبدء التشفير أو إيقافه مؤقتًا أو إيقافه مع مراقبة التقدم.
ما الذي يتغيّر في الممارسة؟
- حاجز مهارة أقل. واجهة النقر والتشغيل تجعل الأداة أسهل في التشغيل على الشركاء الأقل خبرة تقنية.
- تحكم أكبر في الهجوم. تجاوز الإعدادات المدمجة يعني أن الشريك يمكنه تكييف حمولة واحدة مع بيئة محددة بدلًا من الاعتماد على سلوك ثابت.
- سلوك أقل قابلية للتنبؤ. لأن الإعدادات يمكن أن تتغير من اختراق إلى آخر، لا يمكن للمدافعين الاعتماد على نمط ثابت واحد لاكتشافه.
وثمة تفصيل آخر من الملفات العامة: يُقال إن الشركاء جرى تجنيدهم عبر منتدى RAMP قبل مصادرته من قبل مكتب التحقيقات الفيدرالي (FBI) في يناير 2026. عمليات الإغلاق كهذه يمكن أن تعطّل التجنيد، لكنها لا تزيل الأدوات التي يمتلكها الشركاء بالفعل.
علامات تحذيرية تظهر قبل بدء التشفير
تركّز المقالة المصدر على الحمولة نفسها، لذا فإن العلامات التالية مستنتجة من السلوكيات التي تصفها. وهي أمور تستحق المراقبة، وليست قائمة تحقق كاملة.
- توقف خدمات النسخ الاحتياطي أو اللقطات بشكل غير متوقع. إذا أبلغت برامج النسخ الاحتياطي عن أعطال أو عُطّلت الخدمات دون أن يغيّرها أحد، فتعامل مع ذلك كأمر عاجل.
- نسخ ظلية مفقودة. اللقطات التي تختفي إشارة قوية إلى أن شيئًا ما يستعد للتشفير.
- فحص غير معتاد لمشاركات الملفات. لأن Beast توصف بأنها تفحص عبر SMB، فإن النشاط الشبكي الغريب بين الأجهزة يمكن أن يكون دليلًا مبكرًا.
- جلسات أو أدوات بعيدة غير مألوفة. التحكم التفاعلي في برمجية الفدية يعني أن شخصًا يشغّلها، غالبًا بعد الحصول على وصول بعيد.
قد تكون النافذة بين هذه العلامات والتشفير قصيرة. يساعد الاكتشاف الآلي لأنه يتفاعل أسرع مما يستطيع الإنسان. ويُظهر استجابة Microsoft Defender في اختراق QNET، الذي أوقفته في 128 ثانية، مقدار الضرر الذي يمكن أن يمنعه الاحتواء السريع.
دفاعات عملية للأفراد والشركات الصغيرة
لا شيء من هذا يتطلب ميزانية مؤسسة كبيرة. الأولويات هي نفسها سواء كنت تدير مكتبًا منزليًا أو شركة من عشرة أشخاص.
- احتفظ بنسخة احتياطية غير متصلة بالإنترنت أو غير قابلة للتغيير. النسخة الاحتياطية المنفصلة عن شبكتك، أو المخزنة بحيث لا يمكن تعديلها، لا يمكن تعطيلها أو تشفيرها مع كل شيء آخر. ولأن Beast تستهدف خدمات النسخ الاحتياطي والنسخ الظلية، فإن اللقطات المحلية وحدها لا تكفي.
- اختبر عمليات الاستعادة لديك. النسخة الاحتياطية التي لم تستعدها قط هي مجرد افتراض. جرّب استعادة بضعة ملفات بانتظام.
- فعّل المصادقة متعددة العوامل للوصول البعيد. سطح المكتب البعيد وأدوات الإدارة البعيدة وحسابات المسؤول هي نقاط دخول شائعة. تجعل MFA كلمات المرور المسروقة أقل فائدة بكثير.
- حدّد ما يمكن لمحركات الأقراص المشتركة الوصول إليه. امنح المستخدمين access فقط إلى المجلدات التي يحتاجونها، حتى لا يتمكن حساب مخترق واحد من تشفير كل شيء.
- شغّل حماية نقاط النهاية مع اكتشاف قائم على السلوك. الأدوات التي ترصد العبث بالخدمات والتغييرات الجماعية في الملفات يمكنها مقاطعة الهجوم في منتصفه، كما أظهرت حالة QNET.
- ثبّت التحديثات وأزل خدمات الوصول البعيد غير المستخدمة. أبواب مكشوفة أقل تعني فرصًا أقل لدخول شريك تابع.
ماذا يعني هذا لك
تشفّر VPN حركة المرور لديك وتخفي عنوان IP الخاص بك، وهذا مهم للخصوصية. لكنها لا توقف شريكًا يمتلك بالفعل بيانات اعتماد صالحة، ولا تحمي النسخ الاحتياطية من حمولة تعمل داخل شبكتك. يُظهر تصميم Beast لماذا: فالضرر يأتي من نقاط الاسترداد المحذوفة والمشاركات المشفرة، لا من حركة المرور المعترضة.
بالنسبة لمعظم القراء، العوامل الحاسمة بسيطة. هل يمكنك استعادة بياناتك دون أن تدفع لأحد؟ هل الوصول البعيد محمي بأكثر من كلمة مرور؟ هل ستلاحظ إذا توقفت نسخك الاحتياطية بهدوء؟
راجع إعداداتك اليوم
تتلخص كيفية عمل برمجية الفدية Beast في تسلسل واضح: تعطيل النسخ الاحتياطي، حذف النسخ الظلية، تشفير محركات الأقراص، وكل ذلك يقوده شريك تابع عبر لوحة تحكم رسومية. يمكنك كسر هذا التسلسل في عدة نقاط. تحقق من أن لديك نسخة احتياطية غير متصلة بالإنترنت وأنها تُستعاد بشكل صحيح، وفعّل MFA على كل مسار وصول بعيد، وتأكد من أن لديك اكتشافًا يمكنه التصرف في ثوانٍ لا في ساعات. خصص ساعة هذا الأسبوع لمراجعة الثلاثة جميعًا.
