أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومكتب التحقيقات الفيدرالي (FBI) وشركاؤهما الحكوميون تفاصيل تقنية إضافية حول كيفية اقتحام الجهات التي تستخدم برمجية Gunra للفدية لشبكات الضحايا. ووفقاً لأحدث تحذير مشترك، فإن الشركاء التابعين لعملية Gunra يحصلون على موطئ قدمهم الأولي عبر ثغرتين معروفتين في الأجهزة المعرضة للإنترنت، وهي ذلك النوع من أجهزة الحافة وبوابات VPN والجدران النارية وأجهزة الوصول عن بُعد التي تقع عند حدود شبكة كل مؤسسة تقريباً.
هذه متابعة لتحذيرات سابقة بشأن عملية تقديم برمجيات الفدية كخدمة، والتي سبق أن أشارت إليها الوكالات بسبب استهدافها لقطاع الرعاية الصحية وقيامها بتشغيل مخطط ابتزاز مزدوج شرس يجمع بين سرقة البيانات وتشفير الملفات. ويركز التوجيه الجديد على آليات الاختراق نفسها، مما يمنح المدافعين صورة أوضح حول المكان الذي ينبغي أن يوجهوا إليه اهتمامهم بالضبط.
الثغرات التي تستغلها الجهات المهاجمة ببرمجية Gunra
وفقاً للتحذير، لا تعتمد الجهات المهاجمة ببرمجية Gunra على استغلالات يوم الصفر الجديدة. وبدلاً من ذلك، تستغل ثغرتين معروفتين بالفعل في الأجهزة المعرضة للإنترنت، أي البرمجيات والأجهزة التي تعرضها المؤسسات على الإنترنت العام لتمكين العمل عن بُعد أو الربط بين المواقع أو الخدمات الخارجية. ويتسق هذا النمط مع الطريقة التي يعمل بها معظم الشركاء التابعين لعمليات برمجيات الفدية كخدمة: فبدلاً من الاستثمار في تطوير استغلالات باهظة الثمن، يفحصون الإنترنت بحثاً عن أنظمة غير مصححة ويدخلون من أبواب كان ينبغي أن تكون مغلقة بالفعل. أما الدرس المستفاد للمدافعين فهو واضح. إذ تظل الثغرات المعروفة خطرة لفترة طويلة بعد الكشف عنها، لأن دورات التصحيح داخل المؤسسات الحقيقية تكون في الغالب أبطأ من وتيرة تحويل المهاجمين لشيفرات الاستغلال العامة إلى أسلحة.
كيف تحصل جهات Gunra على موطئ قدم بعد الدخول
بمجرد أن تستغل الجهات التابعة لـ Gunra إحدى نقاط الدخول هذه، تستخدم ذلك الوصول للتوغل أعمق في الشبكة. وتُعد الأجهزة المعرضة للإنترنت مثل أجهزة تركيز VPN والجدران النارية أهدافاً جذابة على وجه التحديد لأن اختراقها يمنح في كثير من الأحيان مستوى من الثقة تعتبره الأنظمة الداخلية شرعياً. ومن هناك، يمكن للجهات المهاجمة تثبيت وجودها، وجمع بيانات الاعتماد، والبدء في رسم خريطة الشبكة استعداداً لمرحلتي سرقة البيانات والتشفير اللتين تحددان نموذج الابتزاز المزدوج الذي تنتهجه Gunra. ولأن الاختراق الأولي يحدث عند حافة الشبكة، تكون المؤسسات التي تتعامل مع أجهزة الحافة باعتبارها بنية تحتية تعمل بنهج «اضبطها وانسها» معرضة بشكل خاص. فغالباً ما تُنشر هذه الأجهزة مرة واحدة، وتُهيأ لضمان استمرار العمل بدلاً من الأمان، وتُترك تعمل لسنوات دون مراجعة للبرامج الثابتة أو التصحيحات.
خطوات التصحيح والإعداد لسد الفجوة
التوصية الأساسية الواردة في التحذير تنطبق على نطاق واسع عبر حملات برمجيات الفدية، وليس فقط Gunra: بادر بتصحيح الأجهزة المعرضة للإنترنت فوراً، وأعطِ الأولوية للثغرات المعروفة المستغلة فعلياً على التحديثات الروتينية. وينبغي لفرق تقنية المعلومات والأمن الاحتفاظ بجرد حديث لكل جهاز معرض للإنترنت، بما في ذلك بوابات VPN والجدران النارية وأدوات الوصول عن بُعد، والتأكد من أن كل جهاز يعمل بإصدار مدعوم ومحدّث. وحيثما تعذر التصحيح فوراً، ينبغي للمؤسسات التفكير في إيقاف الخدمة المتأثرة أو تقييد الوصول إليها حتى تطبيق الإصلاح. كما أن المصادقة متعددة العوامل على جميع نقاط الوصول عن بُعد، إلى جانب تسجيل النشاط والتنبيه عند أي محاولات تسجيل دخول غير اعتيادية، تضيف طبقة مقاومة أخرى حتى لو كان الجهاز يعاني ثغرة غير مصححة.
لماذا يحد التحكم في الوصول إلى VPN وتقسيم الشبكة من انتشار برمجيات الفدية
حتى مع الالتزام الصارم بالتصحيح، لا يمكن لأي مؤسسة ضمان عدم وجود أي تعرض طوال الوقت. ولهذا السبب فإن التحكم في الوصول وتقسيم الشبكة لا يقلان أهمية عن الإصلاح الأولي. وينبغي تقييد الوصول إلى VPN بشكل محكم، بحيث يُمنح المستخدمون فقط أجزاء الشبكة التي يحتاجون إليها فعلاً، بدلاً من منح وصول واسع إلى البيئة بأكملها. وتقسيم الشبكات بحيث لا يتمكن جهاز حافة مخترق من الوصول مباشرة إلى الأنظمة الحساسة أو خوادم النسخ الاحتياطي أو وحدات التحكم بالنطاق قد يشكل الفرق بين حادث محصور وهجوم فدية شامل. هذه الضوابط لا تمنع كل تسلل، لكنها تبطئ المهاجمين وتمنح المدافعين وقتاً للكشف والاستجابة قبل حدوث التشفير وتسريب البيانات.
ماذا يعني ذلك بالنسبة لك
بالنسبة لمسؤولي تقنية المعلومات وفرق الأمن، يشكل هذا التحذير تذكيراً بأن مجموعات برمجيات الفدية مثل Gunra تواصل النجاح عبر استغلال الأساسيات: الأنظمة غير المصححة والوصول الشبكي شديد التساهل، لا عبر هجمات متطورة جديدة. وتبدأ الحماية الفعالة من برمجية Gunra للفدية بإجراء جرد صادق لكل جهاز تعرضه مؤسستك على الإنترنت. وإذا كنت تعمل في قطاع الرعاية الصحية أو أي قطاع آخر سبق ذكره في تحذيرات Gunra، فإن الحاجة الملحة تكون أكبر، لأن المجموعة أظهرت بالفعل استعداداً لاستهداف تلك البيئات على وجه التحديد.
إجراءات يمكن تطبيقها
ينبغي للمؤسسات جرد جميع الأجهزة المعرضة للإنترنت، بما في ذلك بوابات VPN والجدران النارية، والتأكد من حالة التصحيح مقابل الثغرات المعروفة. وقيّد الوصول عن بُعد باستخدام المصادقة متعددة العوامل وأذونات VPN وفق مبدأ الامتياز الأدنى. وقسّم الشبكات حتى لا يتمكن جهاز واحد مخترق من كشف النسخ الاحتياطي أو الأنظمة الحرجة. وراجع التحذيرات السابقة الصادرة عن CISA ومكتب التحقيقات الفيدرالي وNSA بشأن استهداف Gunra لقطاع الرعاية الصحية وأساليب الابتزاز المزدوج، للحصول على المؤشرات التقنية الكاملة والإرشادات الخاصة بكل قطاع واللازمة لبناء خطة دفاع متكاملة.
