لطالما بحث مشغلو برمجيات الفدية عن طرق للحفاظ على بنيتهم التحتية حية حتى بعد أن يبدأ الباحثون الأمنيون وجهات إنفاذ القانون في تفكيكها. أحدث مثال يأتي من مجموعة تُدعى DeadLock، التي وسّعت استخدامها لشبكة Polygon blockchain وأضافت تطبيق المراسلة المركّز على الخصوصية Session إلى مجموعة أدوات الابتزاز الخاصة بها. إن الجمع بين اتصالات البلوكشين المشفرة لبرمجيات الفدية يجعل من الصعب بشكل كبير على المدافعين تعطيل عمليات المجموعة، ويشير إلى تحول أوسع في كيفية استعارة مجرمي الإنترنت لتقنيات الخصوصية المشروعة لأغراض غير مشروعة.
كيف تخفي DeadLock بنيتها التحتية عبر عقود Polygon الذكية
يكمن الابتكار الأساسي لـ DeadLock في تخزين أجزاء من تكوين القيادة والتحكم الخاصة بها مباشرة على شبكة Polygon blockchain، وهي شبكة لامركزية تُستخدم عادةً لتطبيقات مشروعة مثل التمويل اللامركزي والمقتنيات الرقمية. نظرًا لأن بيانات البلوكشين موزعة عبر آلاف العقد المستقلة بدلاً من الجلوس على خادم واحد، لا توجد نقطة مركزية يمكن للشرطة أو مزودي الاستضافة الاستيلاء عليها لإيقاف العملية. حتى إذا تم حظر نقطة وصول واحدة إلى العقد الذكي، تبقى البيانات الأساسية على السلسلة ويمكن استرجاعها من أي مكان آخر على الشبكة.
هذا ليس تكتيكًا جديدًا تمامًا للمجموعة. التغطية السابقة لـ vpn.social لإعداد DeadLock القائم على Polygon أوضحت بالتفصيل كيف بدأت العصابة أولاً في تجربة تخزين بيانات تكوين C2 على السلسلة للنجاة من محاولات الإزالة. ما تغير منذ ذلك الحين هو النطاق: تستضيف DeadLock الآن أيضًا محتوى التسريب، البيانات المسروقة التي تهدد بنشرها إذا رفض الضحايا الدفع، باستخدام بنية تحتية مدعومة بالبلوكشين، مما يقلل اعتمادها بشكل أكبر على استضافة الويب التقليدية التي يمكن الإبلاغ عنها وإزالتها.
لماذا تقاوم جلسات Session ومواقع التسريب عبر البلوكشين عمليات الإزالة من قبل جهات إنفاذ القانون
إلى جانب بنيتها التحتية القائمة على البلوكشين، اعتمدت DeadLock تطبيق Session، وهو تطبيق مراسلة مشفر صُمم مع مراعاة اللامركزية وحماية البيانات الوصفية. صُمم Session لمنح المستخدمين العاديين وسيلة للتواصل دون خادم مركزي يسجل من تحدث إلى من، وهي ميزة خصوصية مشروعة وقيمة للصحفيين والنشطاء والأشخاص العاديين القلقين بشأن المراقبة. في أيدي DeadLock، يصبح هذا التصميم نفسه أداة للتفاوض على مدفوعات الفدية وتنسيق الابتزاز دون ترك أثر اتصال مركزي يعتمد عليه المحققون عادةً.
تعيش مواقع تسريب برمجيات الفدية التقليدية على خوادم يمكن الاستيلاء عليها بمجرد تحديد مزود الاستضافة أو عنوان IP الخاص بها. المحتوى المستضاف على البلوكشين يتجنب ذلك تمامًا. لا يوجد مضيف ويب واحد يمكن استدعاؤه ولا خادم واحد يمكن إيقافه. إلى جانب المراسلة المشفرة واللامركزية للتواصل مع الضحايا، أزالت DeadLock فعليًا معظم نقاط الضغط التي استخدمتها جهات إنفاذ القانون والمستجيبون للحوادث تاريخيًا لتعطيل عمليات برمجيات الفدية أثناء الهجوم.
السيف ذو الحدين: أدوات الخصوصية كدرع وسلاح في آنٍ واحد
ما يجعل هذه القصة جديرة بالملاحظة ليس أن DeadLock اخترعت تقنيات هجوم جديدة، بل أنها أعادت توظيف أدوات صُنعت للخير. Polygon موجودة لدعم التطبيقات الشفافة واللامركزية. Session موجود لحماية المحادثات الخاصة للأشخاص العاديين من المراقبة والرقابة. لم تُصمم أي من التقنيتين مع وضع سوء الاستخدام الجنائي في الاعتبار، ومع ذلك تقدم كلتاهما بالضبط خصائص المرونة التي تريدها مجموعات برمجيات الفدية.
هذا هو نفس التوتر الذي يظهر عبر عالم الخصوصية والأمان: نفس التشفير الذي يحمي رسائل المُنشق عن حكومة استبدادية يحمي أيضًا مفاوضات الفدية الخاصة بالمجرم من المحققين. إنه ليس حجة ضد تقنية الخصوصية بحد ذاتها، لكنه تذكير بأن اللامركزية والتشفير القوي يغيران حسابات المدافعين. استراتيجيات التعطيل القائمة على الإزالة، التي عملت بشكل معقول ضد البنى التحتية التقليدية لبرمجيات الفدية، هي أقل فعالية بكثير ضد العمليات التي لم تعد تعتمد على خوادم مركزية.
ما يمكن للشركات فعله لبناء المرونة ضد الابتزاز
بما أن تعطيل بنية DeadLock التحتية بعد وقوع الحقيقة أصبح الآن أصعب بكثير، يتحول التركيز العملي مرة أخرى نحو الوقاية والاستعداد. يجب على المؤسسات أن تفترض أنه بمجرد أن تسرق مجموعة برمجيات فدية البيانات وتبدأ الاتصال، من غير المرجح أن يؤدي إزالة موقع التسريب الخاص بها أو حظر قناة اتصالها إلى إيقاف محاولة الابتزاز. هذا يجعل ممارسات النسخ الاحتياطي القوية، وتجزئة الشبكة، والكشف السريع عن الاختراقات قبل حدوث تسريب البيانات أكثر أهمية مما كانت عليه بالفعل.
يجب أن تأخذ خطط الاستجابة للحوادث أيضًا في الاعتبار إمكانية أن موقع التسريب لا يمكن ببساطة الإبلاغ عنه وإزالته. يحتاج المستشارون القانونيون وفرق الاتصالات والمستجيبون التقنيون إلى فهم مشترك لكيفية المضي قدمًا عندما تكون بنية المهاجم التحتية غير قابلة للإيقاف فعليًا عبر القنوات التقليدية.
ماذا يعني هذا بالنسبة لك
بالنسبة للمستخدمين الأفراد، تُعد تكتيكات DeadLock تذكيرًا جيدًا بأن الأدوات التي تحمي خصوصيتك، تطبيقات المراسلة المشفرة، الخدمات اللامركزية، وتقنية البلوكشين، محايدة بطبيعتها. تعتمد قيمتها بالكامل على من يستخدمها ولماذا. لست بحاجة إلى تجنب أدوات الخصوصية لأن المجرمين يستخدمونها أيضًا؛ أنت بحاجة إلى فهم أن المرونة التي توفرها هذه الأدوات تقطع في كلا الاتجاهين. بالنسبة للشركات على وجه الخصوص، تؤكد حالة DeadLock أن إيقاف اتصالات البلوكشين المشفرة لبرمجيات الفدية بعد بدء الهجوم أصبح أقل واقعية، مما يرفع الرهان على الوقاية.
النقاط الأساسية
- افترض أن مواقع التسريب وقنوات التفاوض المرتبطة بمجموعات برمجيات الفدية الحديثة قد لا تكون قابلة للإزالة عبر الإبلاغ أو طلبات الإزالة.
- استثمر في كشف الاختراق ومراقبة الشبكة للإمساك بالهجمات قبل تسريب البيانات، نظرًا لأن خيارات التعطيل بعد الاختراق تتقلص.
- حافظ على نسخ احتياطية غير متصلة بالإنترنت ومختبرة بحيث تفقد مطالب الفدية نفوذها بغض النظر عن مدى مرونة بنية المهاجم التحتية.
- راجع خطط الاستجابة للحوادث للتأكد من أنها تعالج بنية الابتزاز اللامركزية والمستضافة على البلوكشين، وليس فقط مواقع التسريب التقليدية القائمة على الويب.
يُظهر تطور DeadLock أن المعركة ضد برمجيات الفدية لم تعد تتعلق فقط بعمليات إزالة أسرع. مع ميل المجموعات بشكل أكبر نحو البنى التحتية اللامركزية والمشفرة، يجب أن تبدأ المرونة قبل وقت طويل من وصول أي هجوم إلى مرحلة الابتزاز.
