تطور جديد في القيادة والتحكم لفدية الملفات

تبنت المجموعة المسؤولة عن برمجية الفدية Chaos أداة خبيثة تُعرف باسم msaRAT تنتهج أسلوبًا غير مألوف للبقاء متخفية على الأجهزة المصابة. فبدلاً من أن تتواصل عمليتها الخبيثة مباشرة مع خادم بعيد، كما تفعل معظم البرمجيات الخبيثة، تسلّم msaRAT هذه المهمة إلى متصفح شرعي. إذ تُطلق نسخة مقطوعة الرأس (غير مرئية، بدون واجهة رسومية) من Chrome أو Microsoft Edge، وتتحكم بها عبر بروتوكول Chrome DevTools Protocol (CDP)، وتترك للمتصفح مهمة معالجة جميع الاتصالات الصادرة. عملية msaRAT نفسها لا تلمس الشبكة مباشرة أبدًا؛ بل تظل محصورة في نطاق الاسترجاع (loopback)، أي أنها لا تتحدث إلا مع نسخة المتصفح التي تعمل على الجهاز نفسه.

ويكتسب هذا الأمر أهميته لأنه يقلب منطق الكشف المعتاد الذي تعتمد عليه أدوات الأمان. فعادةً ما يقوم المحللون ووسائل الدفاع الآلي بالتنبيه عند وجود عمليات مريبة تتواصل مع عناوين IP خارجية غير مألوفة. أما مع msaRAT، فالعملية التي تتواصل مع الخارج هي ملف متصفح حقيقي وموقّع، وتكون حركة المرور التي يولّدها متخفية لتبدو عادية.

لماذا يُعد التوجيه عبر Twilio TURN مهماً للخصوصية

كما أن نسخة المتصفح التي تتحكم بها msaRAT لا تتصل بخادم قيادة وتحكم عادي فحسب. بل إنها تنقل حركتها المشفرة عبر البنية التحتية لخدمة TURN من Twilio، وهي خدمة تُستخدم عادةً لمساعدة اتصالات WebRTC على عبور الجدران النارية وترجمة العناوين (NAT) لأغراض مثل المكالمات المرئية والدردشة الصوتية. ونظراً لأن حركة الترحيل عبر TURN مشفرة ومتطابقة هيكلياً مع جلسات WebRTC الشرعية، فهي تندمج في ذلك النمط من نشاط الشبكة الذي تولّده يومياً مليارات المكالمات وأدوات المؤتمرات المعتمدة على المتصفح.

هذه هي الصلب في الدلالات الخصوصية والأمنية لهذه التقنية: إنها تستغل نفس البروتوكولات والخدمات التي تحمي الاتصالات اليومية، لتوفر الحماية بدلاً من ذلك للاتصالات الخبيثة. والمدافعون عن الشبكات الذين يبحثون عن بروتوكولات شاذة، أو نطاقات وجهة غير اعتيادية، أو حركة تنبيه غير مشفرة، لن يجدوا أياً من تلك الإشارات هنا. فنمط الحركة يبدو كأنه مكالمة فيديو، وليس كمشغّل فدية يتواصل مع جهاز مصاب.

كما يعكس هذا الأسلوب اتجاهاً أوسع بين مشغّلي برمجيات الفدية والابتزاز نحو "التعايش مع المتصفح"، وهو تطوّر لاستراتيجية "التعايش مع أدوات النظام" القديمة التي يستخدم فيها المهاجمون أدوات النظام الشرعية الموجودة أصلاً على الجهاز بدلاً من إلقاء ملفات ضارة واضحة. لقد أظهرت مجموعات الفدية باستمرار تفضيلها للتقنيات التي تتيح لها البقاء لفترة أطول داخل الشبكات قبل تفجير حمولة التشفير، أو التحول بشكل متزايد إلى الابتزاز القائم على سرقة البيانات فحسب. وقد أصبح نموذج الابتزاز هذا شائعاً لدرجة أن المجموعات تعلن عن ضحاياها علناً بانتظام، كما رأينا في حالات مثل ادعاءات ShinyHunters ضد Exact Sciences، حيث استُخدمت البيانات الصحية المسروقة كورقة ضغط بدلاً من تشفير الملفات، أو إلى جانبه.

ما يعنيه هذا بالنسبة لك

بالنسبة لمعظم المستخدمين الأفراد، فإن msaRAT بحد ذاتها ليست شيئاً ستصادفونه مباشرة، فهي أداة تستهدف المؤسسات التي يسعى مشغّلو فدية Chaos إلى اختراقها بقصد التسلل إلى الشبكات والابتزاز. لكن الدرس الأساسي ينطبق على نطاق واسع: لقد أصبح المهاجمون أكثر براعة في جعل الحركة الخبيثة غير قابلة للتمييز عن نشاط المتصفح الطبيعي والمشفر. وهذا ينبغي أن يعيد ضبط التوقعات حول ما يمكن لمراقبة الشبكة وحدها اكتشافه.

إذا كانت مؤسستك تعتمد بشكل كبير على فحص الحركة المحيطية لكشف الاختراق، فإن هذا النوع من التقنيات يُذكّر بأن الرؤية على مستوى نقطة النهاية، أي ما تفعله العمليات فعلاً على الجهاز بدلاً من مجرد ما ترسله عبر الأسلاك، تزداد أهميتها لا تقل. فظهور نسخة متصفح مقطوعة الرأس تُطلق بهدوء من قِبل عملية أخرى يُعد حدثاً يمكن كشفه عند نقطة النهاية، حتى عندما تبدو حركة مرور شبكتها نظيفة.

أما بالنسبة للمستخدمين العاديين، فالخلاصة العملية لا تتعلق بهذه البرمجية الخبيثة تحديداً بقدر ما تتعلق بالبيئة التي تنذر بها. فمجموعات الفدية تعمل باستمرار على تحسين سبل الاندماج والتخفي، وعادةً ما تبدأ الاختراقات التي تؤدي في النهاية إلى تشفير الملفات أو تسريب البيانات الشخصية بشيء بسيط: بريد إلكتروني تصيّدي، أو مرفق خبيث، أو خدمة مكشوفة ضعيفة الحماية. ويظل اليقظة في تلك المرحلة الأولية هو الدفاع الأكثر فعالية ضد مواجهة شيء مثل msaRAT في مرحلة لاحقة.

النقاط الأساسية

  • تتحكم msaRAT المرتبطة بفدية Chaos في متصفح Chrome أو Edge مقطوع الرأس عبر بروتوكول Chrome DevTools Protocol بدلاً من التواصل المباشر مع خوادم القيادة والتحكم.
  • تنقل البرمجية الخبيثة حركة القيادة والتحكم المشفرة عبر خدمة TURN من Twilio، مما يجعلها تشبه حركة WebRTC الشرعية مثل مكالمات الفيديو.
  • صُممت هذه التقنية للتغلب على أساليب الكشف التقليدية المعتمدة على الشبكة التي تبحث عن اتصالات صادرة غير اعتيادية أو حركة تنبيه غير مشفرة.
  • ينبغي على المؤسسات الجمع بين مراقبة الشبكة والرؤية على مستوى نقطة النهاية، لأن عملية المتصفح نفسها وكيفية إطلاقها تظل إشارة قابلة للكشف حتى عندما تبدو حركة مرورها نظيفة.
  • يؤكد الاتجاه الأوسع نحو قنوات قيادة وتحكم أكثر تخفياً على أسباب بقاء التصحيح الفوري، والوعي بالتصيّد، والمراقبة القوية لنقاط النهاية دفاعات أساسية ضد اقتحامات الفدية قبل أن تصل إلى مرحلة الابتزاز.