ظهور حملة فيروس الفدية Clop على Windchill وFlexPLM

أطلقت عصابة فيروس الفدية Clop، المعروفة أيضًا باسم Cl0p، حملة ابتزاز جديدة لسرقة البيانات تستهدف النسخ المعرضة للإنترنت من أنظمة PTC Windchill وFlexPLM. وهما منصتان برمجيتان مؤسسيتان تستخدمهما شركات الصناعات التحويلية والمنتجات لإدارة بيانات دورة حياة المنتج وملفات التصميم وسجلات الهندسة. وبدلاً من نشر فيروس الفدية التقليدي الذي يشفر الملفات، يركز مشغلو Clop على سرقة البيانات من هذه الأنظمة ثم استخدام تلك المعلومات المسروقة كورقة ضغط لابتزاز الضحايا ودفع الفدية.

أصبح هذا الأسلوب، الذي يُسمى غالبًا الابتزاز الخالص أو فيروس الفدية القائم على سرقة البيانات، هو السمة المميزة لعصابة Clop خلال السنوات القليلة الماضية. فبدلاً من إغلاق الأنظمة بالتشفير، تقوم المجموعة بسحب الملفات الحساسة بهدوء ثم تهدد بنشرها أو بيعها ما لم يتم الدفع. بالنسبة للمؤسسات التي تشغل Windchill أو FlexPLM مع تعرضها للإنترنت العام، تمثل هذه الحملة خطرًا مباشرًا وفوريًا على بيانات المنتجات المسجلة الملكية والملكية الفكرية وربما معلومات العملاء أو الشركاء المخزنة داخل هذه المنصات.

لماذا تُعتبر PTC Windchill وFlexPLM أهدافًا جذابة

تُعد PTC Windchill وFlexPLM أداتين لإدارة دورة حياة المنتج (PLM) واسعتي الانتشار، وتستخدمان بكثرة في قطاعات التصنيع والتصميم الصناعي والفضاء والسيارات والسلع الاستهلاكية. تحتوي هذه المنصات عادةً على أكثر ملكية فكرية حساسية للشركة: مواصفات التصميم، والمخططات الهندسية، وبيانات قائمة المواد، وخرائط طريق المنتجات. وهذا يجعلها هدفًا عالي القيمة لمجموعة مثل Clop، التي ركزت جهودها باستمرار على البرمجيات التجارية التي تخزن كميات كبيرة من بيانات الشركات السرية بدلاً من معلومات المستهلكين الشخصية.

النسخ المعرضة للإنترنت، أي الأنظمة التي يمكن الوصول إليها من خارج الشبكة الداخلية للشركة دون قيود مناسبة، تكون معرضة للخطر بشكل خاص. فعندما تكون برمجيات مؤسسية كهذه متاحة من الإنترنت المفتوح، فإنها توسع بشكل كبير سطح الهجوم المتاح للجهات المهددة التي تبحث عن أنظمة قابلة للاستغلال. وقد بنت Clop سمعتها على إيجاد واستغلال هذا النوع من الثغرات على نطاق واسع، وغالبًا ما تخترق عشرات أو مئات المؤسسات في موجة واحدة منسقة قبل أن تُعلن المطالب.

نمط Clop الراسخ في الاستغلال الجماعي

هذه ليست ساحة جديدة بالنسبة لـ Clop. فالمجموعة لديها تاريخ موثق جيدًا في تحديد البرمجيات المؤسسية التي تحتوي على مكونات متصلة بالإنترنت واستخدامها كنقطة دخول لحملات سرقة بيانات جماعية. مثال حديث هو استغلال المجموعة لثغرة أمنية خطيرة في Oracle E-Business Suite، مما أدى إلى اختراق بيانات إستي لودر بعد أن تمكن المهاجمون من الوصول إلى معلومات الموظفين من خلال النظام المخترق. اتبعت تلك الحادثة نفس السيناريو الذي يُطبَّق الآن على Windchill وFlexPLM: تحديد برمجيات مؤسسية منتشرة على نطاق واسع، واستغلال النسخ المكشوفة، وسحب البيانات، ثم الضغط على الضحايا بمطالب الابتزاز بدلاً من التشفير.

ثبات هذه الاستراتيجية مهم للمدافعين. فنادرًا ما تستهدف Clop مؤسسة واحدة بمعزل عن غيرها. بدلاً من ذلك، تميل المجموعة إلى تحديد منصة برمجية معينة، واستغلالها على نطاق واسع عبر كل نسخة مكشوفة يمكنها العثور عليها، ثم العمل على قائمة الضحايا على مدار أسابيع أو أشهر. ينبغي على المؤسسات التي تشغل Windchill أو FlexPLM التعامل مع هذه الحملة كتهديد نشط ومستمر وليس حادثة منعزلة مرتبطة بشركة واحدة.

ماذا يعني هذا بالنسبة لك

إذا كانت مؤسستك تستخدم PTC Windchill أو FlexPLM، خاصة مع أي مكون يمكن الوصول إليه من الإنترنت العام، فيجب أن تدفعك هذه الحملة إلى مراجعة فورية لمدى تعرضك. يجب على فرق تقنية المعلومات والأمن التأكد مما إذا كانت هذه الأنظمة متاحة خارجيًا، وتطبيق أي تصحيحات أو تحديثات أمان متاحة من المورد، وتقييد الوصول قدر الإمكان باستخدام جدران الحماية أو الشبكات الافتراضية الخاصة (VPN) أو تجزئة الشبكة بحيث لا تكون المنصات قابلة للوصول مباشرة من الإنترنت المفتوح.

حتى المؤسسات التي لا تستخدم هذه المنصات تحديدًا يجب أن تنتبه للنمط الأوسع. استراتيجية Clop في استهداف البرمجيات المؤسسية واسعة الانتشار، كما شوهد سابقًا مع اختراق إستي لودر المرتبط بثغرة Oracle EBS، تُظهر تفضيلًا ثابتًا لأنظمة الأعمال عالية القيمة على الأهداف الاستهلاكية الفردية. أي شركة تشغل برمجيات مؤسسية متصلة بالإنترنت، سواء لإدارة المنتجات أو تخطيط الموارد أو نقل الملفات، يجب أن تفترض أنها قد تصبح الهدف التالي في موجة مماثلة.

توصيات عملية

يجب على المؤسسات التي تشغل PTC Windchill أو FlexPLM اتخاذ الخطوات التالية دون تأخير:

  • تدقيق ما إذا كانت نسخ Windchill أو FlexPLM معرضة للإنترنت العام، وتقييد الوصول فورًا إذا كانت كذلك.
  • تطبيق أحدث تصحيحات وتحديثات الأمان من PTC بمجرد توفرها.
  • مراقبة سجلات النظام بحثًا عن أنماط وصول غير اعتيادية أو عمليات نقل بيانات غير مصرح بها.
  • مراجعة خطط الاستجابة للحوادث خصيصًا لسيناريوهات الابتزاز بسرقة البيانات، والتي تختلف عن حوادث فيروس الفدية التقليدية القائمة على التشفير.
  • البقاء على اطلاع بنشاط Clop، حيث أن المجموعة لديها سجل حافل بتوسيع الحملات ضد منصة برمجية واحدة بمرور الوقت.

حملة فيروس الفدية Clop على Windchill وFlexPLM هي تذكير بأن ابتزاز سرقة البيانات لا يزال أحد أكثر التهديدات استمرارًا التي تواجه مستخدمي البرمجيات المؤسسية. البقاء متقدمًا عليها يعني تقليل التعرض للإنترنت الآن، وليس الانتظار حتى يصل إشعار الاختراق.