كيف يعطل DeadLock برنامج Windows Defender ويمحو النسخ الاحتياطية
DeadLock هي عملية فدية ذات دوافع مالية استرعت الانتباه لدمجها بين أساليب الاختراق المعروفة وبنية تحتية صُممت خصيصًا لمقاومة محاولات الإيقاف. وفقًا للباحثين الأمنيين الذين يتتبعون المجموعة، فإن مشغلي DeadLock لا يكتفون بإلقاء البرمجيات الخبيثة وأمل مرورها من أدوات الأمان. بدلًا من ذلك، يقومون بشكل منهجي بتحييد دفاعات الضحية قبل حتى أن يبدأ التشفير.
تبدأ هذه العملية عادةً بتعطيل Windows Defender، وإزالة الحماية المضمنة التي تعتمد عليها العديد من المؤسسات كخط دفاع رئيسي. ومن ثم يستهدف DeadLock أنظمة النسخ الاحتياطي، وهي خطوة مدمرة بشكل خاص لأن النسخ الاحتياطية غالبًا ما تكون أسرع وسيلة لتعافي الضحية دون دفع الفدية. وأخيرًا، تقوم المجموعة بمسح سجلات أحداث Windows، مما يمحو جزءًا كبيرًا من الأدلة الجنائية التي يستخدمها عادةً المستجيبون للحوادث لإعادة بناء الهجوم وفهم كيفية حدوثه.
هذا المزيج مدروس. فبحلول الوقت الذي تُشفر فيه الملفات فعليًا، تكون المؤسسة الضحية قد فقدت بالفعل شبكة الأمان الخاصة بها وجزءًا كبيرًا من قدرتها على التحقيق في الاختراق. هذه ليست برمجيات خبيثة تقوم بالسرقة والفرار؛ إنها عملية منظمة تهدف إلى تعظيم الضغط على الضحية.
لماذا تفشل حماية النقاط النهائية وحدها في مواجهة الفدية الحديثة
يُشكل أسلوب DeadLock تذكيرًا واضحًا بأن برنامج مكافحة الفيروسات على الأجهزة الطرفية، حتى عندما يكون منتجًا قويًا مثل Windows Defender، ليس حلاً قائمًا بذاته. إذا استطاع مشغل برامج الفدية الحصول على صلاحيات كافية على الشبكة لتعطيل برامج الأمان وحذف النسخ الاحتياطية ومسح السجلات، فهذا يعني أنه قد تجاوز بالفعل النقطة التي كان يمكن فيها لأداة واحدة إيقافه.
تخطط مجموعات الفدية الحديثة بشكل متزايد لهذا السيناريو بالضبط. فهي تفترض أن المدافعين قد شغلوا برنامج مكافحة الفيروسات، وتضيف خطوات مخصصة لتعطيله أو الالتفاف عليه. وهذا ينقل ساحة المعركة الحقيقية من "هل سيكتشف مضاد الفيروسات الملف؟" إلى "ما مدى سرعة اكتشاف الحركة الجانبية المشبوهة، أو تصعيد الصلاحيات، أو النشاط الإداري غير المعتاد وإيقافه قبل بدء التشفير".
لهذا السبب تتحدث فرق الأمن بشكل متزايد عن الكشف والاستجابة بدلًا من الاعتماد على الوقاية فقط. فاعتماد واحد مخترَق أو نظام غير مهيأ بشكل صحيح قد يكون كافيًا ليصل المهاجم إلى مرحلة تعطيل وسائل الحماية بدلاً من التهرب منها. تظل أدوات النقاط النهائية قيّمة، لكنها تعمل على أفضل وجه كطبقة ضمن عدة طبقات، وليس كخط الدفاع الأخير.
الدفاعات المتعددة الطبقات: تجزئة الشبكة، الشبكات الخاصة الافتراضية، والنسخ الاحتياطية غير المتصلة
نظرًا لأن تكتيكات DeadLock تدور حول إزالة خيارات التعافي لدى الضحية، فإن الإجراءات المضادة الأكثر فعالية تركز على الحد من مدى تحرك المهاجم وضمان وجود مسارات استرداد لا يمكن للمهاجم الوصول إليها.
تجزئة الشبكة هي واحدة من أكثر الخطوات العملية التي يمكن للمؤسسات اتخاذها. فمن خلال تقسيم الشبكات إلى مناطق أصغر ومعزولة، لا يتيح جهاز العمل أو الخادم المخترَق تلقائيًا للمهاجم طريقًا إلى خوادم النسخ الاحتياطي أو متحكمات المجال أو غيرها من الأنظمة عالية القيمة. ويمكن أن يكون هذا الاحتواء هو الفارق بين حادث محصور وإغلاق كامل للمؤسسة.
الوصول عن بُعد الآمِن لا يقل أهمية. فالشبكات الخاصة الافتراضية (VPN) وغيرها من أدوات الوصول المشفرة تساعد في ضمان أن الاتصالات إلى شبكات الشركات، خاصة للموظفين عن بُعد والموردين الخارجيين، تكون مصادقًا عليها ومراقبة بدلاً من تركها كباب مفتوح. وبالاقتران مع ضوابط وصول قوية، يقلل هذا من عدد نقاط الدخول التي يمكن لمهاجم مثل مشغلي DeadLock استغلالها للحصول على الموقع الأولي الذي يحتاجونه قبل تصعيد الصلاحيات.
تستحق النسخ الاحتياطية غير المتصلة أو غير القابلة للتغيير اهتمامًا خاصًا نظرًا لتركيز DeadLock المحدد على تدمير بيانات الاسترداد. فالنسخ الاحتياطية المنفصلة عن الشبكة، أو المخزنة بطريقة تمنع التعديل حتى من قِبل حساب المسؤول، لا يمكن حذفها أو تشفيرها إلى جانب أنظمة الإنتاج. كما أن اختبار استعادة هذه النسخ الاحتياطية بشكل صحيح بانتظام لا يقل أهمية عن الحفاظ عليها في المقام الأول.
ما الذي تكشفه تكتيكات DeadLock عن البنية التحتية اللامركزية لبرامج الفدية
بعيدًا عن الخطوات التقنية المتخذة ضد الضحايا الأفراد، تشير خيارات البنية التحتية لـ DeadLock إلى اتجاه أوسع بين مشغلي برامج الفدية: بناء أنظمة صُممت للصمود أمام ضغوط جهات إنفاذ القانون ومحاولات الإيقاف. البنية التحتية اللامركزية تجعل من الصعب على المدافعين والسلطات تعطيل عملية كاملة من خلال استهداف خادم أو نطاق واحد، مما يعني أن المجموعة يمكنها الاستمرار في العمل حتى بعد كشف أجزاء من شبكتها أو الاستيلاء عليها.
تعكس هذه المرونة ما حدث في أعقاب أحد الاختراقات المؤكدة لـ DeadLock. فقد أظهر اختراق DeadLock للفدية الذي كشف عن سجلات Diater لعقد من الزمن مقدار الضرر الذي يمكن أن يسببه اختراق ناجح واحد بمجرد تجريد النسخ الاحتياطية وقدرات الكشف، ومدى طول أمد العواقب على المؤسسات والأفراد الذين تورطت بياناتهم.
ماذا يعني هذا بالنسبة لك
بالنسبة لمعظم القراء، تستهدف DeadLock المؤسسات بدلاً من الأفراد، لكن الدرس الأساسي ينطبق على نطاق واسع. إذا كنت تدير تكنولوجيا المعلومات لشركة ما، أو كنت مسؤولاً عن حماية بيانات حساسة من أي نوع، فافترض أن المهاجم المصمم الذي يحصل على موطئ قدم سيحاول تعطيل أدوات الأمان لديك وتدمير نسخك الاحتياطية، وليس مجرد تشفير ملفاتك. خطط لدفاعاتك بناءً على هذا الافتراض بدلاً من الأمل في أن مضاد الفيروسات وحده سيكتشف المحاولة الأولية.
بالنسبة للموظفين والعاملين عن بُعد، يعزز هذا أيضًا قيمة استخدام اتصالات آمنة ومراقَبة بدلاً من الوصول عن بُعد المرتجل عند الاتصال بأنظمة العمل، لأن نقاط الدخول الضعيفة هي بالضبط ما تعتمد عليه عمليات مثل DeadLock للبدء.
خلاصات قابلة للتنفيذ
- لا تعتمد على مضاد الفيروسات الطرفي كدفاع وحيد؛ بل اقرنه بمراقبة تصعيد الصلاحيات غير المعتاد والحركة الجانبية.
- قم بتجزئة الشبكات بحيث لا يتمكن جهاز واحد مخترق من الوصول إلى أنظمة النسخ الاحتياطي أو البنية التحتية الحيوية.
- احتفظ بنسخ احتياطية غير متصلة أو غير قابلة للتغيير واختبر الاستعادة بانتظام.
- استخدم الشبكات الخاصة الافتراضية (VPN) ومصادقة قوية للوصول عن بُعد لتقليل نقاط الدخول المكشوفة.
- راجع الحوادث الواقعية مثل اختراق Diater المرتبط بـ DeadLock لفهم المخاطر العملية لإهمال الدفاعات المتعددة الطبقات.
الحماية من فيروس الفدية DeadLock لا تتعلق بإيجاد أداة واحدة مثالية. إنها تتعلق ببناء دفاعات متداخلة بحيث إن فشلت طبقة واحدة، يظل المهاجم يصطدم بالعقبات قبل الوصول إلى نقطة اللاعودة.
