CISA تؤكد تحولاً كبيراً في تكتيكات BianLian
أكدت وكالة الأمن السيبراني وأمن البنية التحتية أن مجموعة برمجيات الفدية BianLian، التي كانت تُعرف سابقًا بإغلاق شبكات المستشفيات، توقفت عن تشفير الملفات بالكامل اعتبارًا من يناير 2024. وبدلاً من تشويش البيانات والمطالبة بدفع فدية مقابل مفتاح فك التشفير، أصبحت المجموعة تركز الآن فقط على سرقة المعلومات الحساسة والتهديد بنشرها ما لم يدفع الضحايا.
هذا التأكيد مهم لأنه يشير إلى تغيير أوسع في كيفية عمل مشغلي برمجيات الفدية. لسنوات، كان السيناريو المعتاد يتضمن تشفير ملفات الضحية، وإسقاط مذكرة فدية، وإجبار المؤسسات على الاختيار بين الدفع مقابل مفتاح فك التشفير أو إعادة البناء من النسخ الاحتياطية. يُظهر تحول BianLian بعيدًا عن هذا النموذج أن سرقة البيانات وحدها، دون خطوة التشفير الإضافية، يمكن أن تكون مربحة بنفس القدر وأقل تعقيدًا بكثير في التنفيذ.
من التشفير إلى الابتزاز: لماذا هذا التحول مهم
تشفير شبكة كاملة يستغرق وقتًا وموارد حاسوبية ومستوى من الوصول يزيد من احتمالية الاكتشاف قبل اكتمال الهجوم. مجرد نسخ الملفات من الشبكة والخروج بهدوء أسرع وأصعب في الرصد الفوري، ولا يزال يمنح المهاجمين نفوذًا قويًا. إذا تمكنت مجموعة من تسريب سجلات المرضى أو المستندات المالية أو الاتصالات الداخلية، فإن تهديد نشر هذه البيانات علنًا غالبًا ما يكون كافيًا للضغط على الضحية للدفع.
يتجنب هذا النهج أيضًا بعض الدفاعات التي بنتها المؤسسات ضد الهجمات القائمة على التشفير. استثمرت العديد من الشركات بكثافة في أنظمة النسخ الاحتياطي والاسترداد خصيصًا للحد من تأثير برمجيات الفدية التي تقفل الملفات. هذه النسخ الاحتياطية لا تفعل شيئًا لإيقاف مجموعة لم تمس سلامة الملفات أبدًا في المقام الأول، بل قامت ببساطة بنسخ البيانات وغادرت. يتوافق تأكيد CISA لهذا التحول مع نمط تتبعته الوكالة عن كثب، بما في ذلك حالات انتقلت فيها مجموعات برمجيات الفدية إلى استغلال ثغرات عالية الخطورة على نطاق واسع بمجرد أن تصبح معروفة للعامة، كما رأينا عندما أكدت CISA أن عصابات برمجيات الفدية تستغل ثغرة BlueHammer على نطاق واسع بدلاً من حصرها في هجمات ضيقة ومستهدفة.
مؤسسات الرعاية الصحية لا تزال في مرمى النيران
تاريخ BianLian في استهداف شبكات المستشفيات يستحق الاهتمام، حتى مع تغيير المجموعة لتكتيكاتها. تمتلك مؤسسات الرعاية الصحية بعضًا من أكثر البيانات الشخصية حساسية الموجودة، بما في ذلك التاريخ الطبي وتفاصيل التأمين وسجلات العلاج. هذه الحساسية هي بالضبط سبب نجاح ابتزاز سرقة البيانات بشكل كبير ضد هذا القطاع. المستشفى الذي يواجه احتمال نشر أو بيع سجلات المرضى لديه حافز قوي للدفع بسرعة، بغض النظر عما إذا كانت أنظمته قد تم تشفيرها على الإطلاق.
الحصول على الوصول الأولي إلى هذه الشبكات غالبًا ما لا يزال يعتمد على استغلال الثغرات المعروفة، وهو نمط وثقته CISA مرارًا وتكرارًا في كتالوج الثغرات المستغلة المعروفة. يُظهر علم الوكالة الأخير ثغرة تصعيد الامتياز في Linux التي يتم استغلالها بالفعل على أرض الواقع كيف يواصل المهاجمون الاعتماد على الأنظمة غير المحدثة كنقطة دخول لهم، بغض النظر عما يفعلونه بمجرد الدخول.
ماذا يعني هذا بالنسبة لك
إذا كانت مؤسستك تتعامل مع بيانات حساسة، سواء كانت مستشفى أو شركة صغيرة أو أي كيان يخزن معلومات العملاء، فإن هذا التحول يغير ما يجب أن تبدو عليه "الحماية من برمجيات الفدية". تظل استراتيجيات النسخ الاحتياطي مهمة، لكنها لم تعد كافية بمفردها. تتطلب هجمات سرقة البيانات مثل نهج BianLian الأحدث من المؤسسات التركيز بنفس القدر على منع الوصول غير المصرح به ومراقبة عمليات نقل البيانات الصادرة غير العادية، لأن الضرر يحدث لحظة مغادرة الملفات للشبكة، وليس عند تشفيرها.
بالنسبة للأفراد، الدرس المستفاد أكثر شخصية. إذا وقعت مؤسسة تحتفظ بسجلاتك الطبية أو تفاصيلك المالية أو معلوماتك الشخصية ضحية لهجوم سرقة بيانات، فقد لا ترى أبدًا مذكرة فدية أو تسمع عن أنظمة مشفرة. قد تكون أول علامة على المشكلة مجرد خطاب إشعار بالاختراق، أو الأسوأ من ذلك، اكتشاف معلوماتك معروضة للبيع أو مسربة عبر الإنترنت.
نصائح عملية قابلة للتطبيق
يجب على المؤسسات إعطاء الأولوية لأدوات مراقبة الشبكة القادرة على الإبلاغ عن عمليات نقل البيانات الكبيرة أو غير العادية، وليس فقط تنبيهات التشفير الخاصة ببرمجيات الفدية. يظل تصحيح الثغرات المعروفة بسرعة أمرًا ضروريًا، لأن الوصول الأولي لا يزال يعتمد عادةً على استغلال الأنظمة غير المحدثة. يجب على الأفراد أن يظلوا متيقظين لإشعارات الاختراق من مقدمي الرعاية الصحية والمؤسسات المالية، والنظر في خدمات مراقبة الائتمان أو الحماية من سرقة الهوية إذا تلقوا واحدًا. مع استمرار مجموعات برمجيات الفدية مثل BianLian في تكييف أساليبها، فإن البقاء على اطلاع بهذه التحولات، بدلاً من افتراض أن دفاعات الأمس لا تزال تغطي تهديدات اليوم، هو أفضل حماية متاحة.
