ما تكشفه نشرة CISA/FBI الاستشارية حول برنامج الفدية Gunra
أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومكتب التحقيقات الفيدرالي (FBI)، بالتعاون مع الحكومة الأمريكية وشركاء دوليين، نشرة استشارية مشتركة للأمن السيبراني بعنوان #StopRansomware: برنامج الفدية Gunra. تتعقب النشرة مجموعة برامج فدية ظهرت لأول مرة في أبريل 2025، وكانت تبني بهدوء سمعة في شن حملات ابتزاز عدوانية وعالية الضغط.
وفقًا للنشرة، تعمل Gunra وفق نموذج الابتزاز المزدوج. وهذا يعني أن المجموعة لا تكتفي بقفل ملفات الضحية بالتشفير فحسب، بل تقوم أيضًا بسرقة البيانات الحساسة، أو تسريبها، قبل تشفيرها. وهذا يمنح المهاجمين نقطتي ضغط منفصلتين على أهدافهم: واحدة للمطالبة بفدية مقابل مفتاح فك التشفير، وأخرى للمطالبة بفدية لمنع تسريب البيانات المسروقة أو بيعها. تشير النشرة إلى أن مطالب الفدية تُقدّم عبر قنوات دفع منظمة، وهي سمة مميزة لعمليات برامج الفدية التي انتقلت من هجمات انتهازية نحو ابتزاز منظم يشبه الأعمال التجارية.
إن مجرد شعور الوكالات الفيدرالية بضرورة إصدار نشرة استشارية مخصصة حول مجموعة لم تكن نشطة إلا منذ ربيع 2025 يقول شيئًا عن مدى سرعة تصعيد Gunra. فالنشرات الاستشارية المشتركة من هذا النوع تكون عادةً مخصصة للتهديدات التي تعتقد الوكالات أنها تستهدف بنشاط نطاقًا واسعًا من المؤسسات، وليس حوادث معزولة.
كيف تُسلّح هجمات الابتزاز المزدوج البيانات المسروقة
يكمن الخطر الأساسي للابتزاز المزدوج في أنه يغير حسابات الضحايا. في هجمات برامج الفدية القديمة، كان بإمكان المؤسسة التي تمتلك نسخًا احتياطية قوية أن ترفض الدفع في كثير من الأحيان وتستعيد أنظمتها ببساطة. الابتزاز المزدوج يزيل شبكة الأمان هذه. حتى إذا تمكنت الشركة من إعادة بناء شبكتها من النسخ الاحتياطية دون دفع مقابل مفتاح فك التشفير، يظل المهاجمون محتفظين بالبيانات المسروقة كرهينة ويمكنهم التهديد بنشرها أو بيعها.
لهذا التكتيك آثار أوسع مما يدركه معظم الناس. نادرًا ما تظل البيانات المسروقة محصورة في سجلات الشركة الداخلية. فهي غالبًا ما تشمل أسماء العملاء وتفاصيل الاتصال ومعلومات الدفع وغيرها من البيانات الشخصية التي يمكن، بمجرد تسريبها، استخدامها للضغط على الشركة من زوايا متعددة. كما ورد في نظرة سابقة حول كيفية تهديد عصابات برامج الفدية الآن بالاتصال بعملائك، ذهبت بعض المجموعات إلى أبعد من ذلك بالتواصل مباشرة مع عملاء المؤسسة الضحية، محذرة إياهم من أن معلوماتهم الشخصية قد سُرقت وحاثة إياهم على الضغط على الشركة للدفع. يتناسب نهج الابتزاز المزدوج الخاص بـ Gunra تمامًا مع هذا النمط نفسه من تحويل البيانات المسروقة إلى سلاح ضد كل من المؤسسة المخترقة والأشخاص الذين تحتفظ بمعلوماتهم.
بالنسبة للشركات الصغيرة والمتوسطة، يعني هذا أن حادثة برامج الفدية لم تعد مشكلة تقنية بحتة. يمكن أن تتحول بسرعة إلى مشكلة ثقة العملاء وسمعة، بغض النظر عما إذا تم دفع الفدية في النهاية.
خطوات دفاعية يمكن للشركات الصغيرة اتخاذها الآن
يُعد إصدار النشرة الاستشارية حافزًا مفيدًا للمؤسسات من كل الأحجام لإعادة النظر في دفاعاتها ضد برامج الفدية، خاصة وأن مجموعات مثل Gunra لا يبدو أنها تقصر استهدافها على المؤسسات الكبيرة. بعض الخطوات الأساسية تقطع شوطًا طويلاً:
- الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت أو غير قابلة للتغيير لا يمكن للمهاجم الذي يصل إلى الشبكة تغييرها أو حذفها.
- تقسيم الشبكات بحيث لا يمكن لاختراق في نظام واحد، مثل محطة عمل موظف، أن ينتشر بسهولة إلى الخوادم التي تحتفظ ببيانات العملاء الحساسة.
- فرض المصادقة متعددة العوامل على أدوات الوصول عن بُعد والبريد الإلكتروني والحسابات الإدارية، حيث تظل بيانات الاعتماد المسروقة إحدى أكثر نقاط الدخول شيوعًا لمشغلي برامج الفدية.
- تصحيح الأنظمة المواجهة للإنترنت على الفور، حيث يتم استغلال البرامج غير المحدثة بشكل روتيني للحصول على وصول أولي.
- تطوير واختبار خطة استجابة للحوادث قبل وقوع الهجوم، وليس بعده.
لا يزال لبرامج مكافحة الفيروسات دور تلعبه، لكنها لم تُصمم أبدًا لإيقاف مهاجم تمكن بالفعل من الحصول على موطئ قدم ويقوم بتسريب البيانات على مدى فترة ممتدة. الدفاعات متعددة الطبقات أهم من أي أداة منفردة.
لماذا أصبح تشفير النسخ الاحتياطية وتقليل البيانات أكثر أهمية من أي وقت مضى
النسخ الاحتياطية وحدها ليست كافية إذا كان الابتزاز المزدوج هو الهدف. تشفير بيانات النسخ الاحتياطي في حالة السكون، وتقييد من يمكنه الوصول إليها أو تعديلها، يقلل من احتمالات تلاعب المهاجمين بخيارات الاسترداد خلال مرحلة الاستطلاع من الهجوم. وبنفس القدر من الأهمية يأتي تقليل البيانات: الشركات التي تجمع فقط معلومات العملاء التي تحتاجها فعليًا وتحتفظ بها تقلص مجموعة البيانات التي يمكن لمهاجم مثل Gunra تسريبها واستخدامها لاحقًا كوسيلة ضغط. السجلات القديمة الموجودة في قاعدة بيانات غير مستخدمة هي التزام وليست أصلًا.
ماذا يعني هذا بالنسبة لك
إذا كنت تدير شركة صغيرة أو تتولى إدارة تقنية المعلومات فيها، فإن نشرة Gunra الاستشارية تُذكّر بأن الاستعداد لبرامج الفدية يجب أن يأخذ الآن في الاعتبار البيانات المسروقة، وليس فقط الملفات المقفلة. تنجح حملات الابتزاز المزدوج لبرنامج الفدية Gunra لأنها تستغل كلاً من التعطيل التشغيلي الناتج عن التشفير والتداعيات السمعة الناتجة عن تسرب البيانات. التحضير لأحدهما دون الآخر يترك فجوة يتدرب المهاجمون بشكل متزايد على العثور عليها.
خلاصات قابلة للتنفيذ
- راجع استراتيجية النسخ الاحتياطي لديك للتأكد من أن النسخ غير متصلة بالإنترنت وغير قابلة للتغيير ومشفرة.
- تدقيق بيانات العملاء التي تحتاج فعليًا للاحتفاظ بها واحذف ما لا تحتاجه.
- تأكد من تمكين المصادقة متعددة العوامل عبر جميع نقاط الوصول عن بُعد والإدارية.
- قم ببناء خطة استجابة للحوادث تتضمن إجراءات إخطار العملاء، حيث قد تُستخدم البيانات المسروقة ضدهم مباشرة.
- ابقَ على اطلاع على النشرات الاستشارية من CISA ومكتب التحقيقات الفيدرالي، حيث تستمر مجموعات برامج الفدية الجديدة في اعتماد نفس دليل الابتزاز المزدوج.
