وجدت عملية فدية تُعرف باسم DeadLock طريقة جديدة للحفاظ على بنيتها التحتية للهجوم: إخفاء أجزاء من إعدادات القيادة والتحكم (C2) على سلسلة كتل Polygon. المجموعة، التي طالبت بالفعل بأكثر من 80 ضحية حول العالم من خلال الابتزاز المزدوج، تستخدم مبادئ اللامركزية نفسها التي تشغّل العملات الرقمية لجعل عملياتها أصعب على المدافعين وجهات إنفاذ القانون في إغلاقها.
كيف تخفي DeadLock بنيتها التحتية للقيادة على Polygon
تعتمد برامج الفدية التقليدية على خوادم يمكن للباحثين الأمنيين وجهات إنفاذ القانون تحديدها أو مصادرتها أو إغراقها بمجرد اكتشافها. يبدو أن مشغّلي DeadLock يتجنبون نقطة الضعف هذه عن طريق تخزين بيانات إعدادات C2 مباشرة على سلسلة كتل Polygon، وهي شبكة عامة تُستخدم عادةً لمعاملات العملات الرقمية والتطبيقات اللامركزية.
من خلال كتابة تفاصيل الإعدادات في معاملات سلسلة الكتل أو العقود الذكية، يمكن للبرمجية الخبيثة استرداد التعليمات من مصدر غير مستضاف على أي خادم منفرد. لا يوجد نطاق يمكن مصادرته ولا مزود استضافة يمكن الضغط عليه لقطع الخدمة. طالما أن شبكة Polygon نفسها تعمل، تبقى البيانات التي تعتمد عليها DeadLock متاحة. يعكس هذا اتجاهًا أوسع نبهت إليه فرق الأمن في عائلات برمجيات خبيثة أخرى تجرب بنية تحتية على السلسلة، لكن ظهوره في حملة فدية نشطة يؤكد مدى سرعة انتشار هذه التقنيات خارج نطاق الأبحاث النظرية.
يبني هذا النهج على تكتيكات أظهرت DeadLock استعدادًا لاستخدامها بقوة. وكما ورد بالتفصيل في تقارير سابقة حول كيفية قيام فيروس الفدية DeadLock بقتل Defender والنسخ الاحتياطية وسجلات الأحداث، تزاوج المجموعة بين أساليب الاختراق المألوفة وتركيز متعمد على القضاء على أي شيء قد يساعد الضحية على التعافي أو يساعد المحققين في تتبع الهجوم.
لماذا يصعب إسقاط C2 القائم على سلسلة الكتل مقارنة بالخوادم التقليدية
تعتمد عمليات إسقاط برامج الفدية عادةً على تحديد وتعطيل نقاط الفشل المركزية: خادم قيادة، أو مسجّل نطاق، أو شركة استضافة مستعدة للتعاون. لا توفر سلاسل الكتل العامة هذا النوع من الهدف الوحيد. Polygon، مثل شبكات سلسلة الكتل الأخرى، موزعة عبر آلاف العقد المستقلة دون وجود مشغّل مركزي يمكنه ببساطة حذف معاملة أو حظر عنوان.
هذه المرونة هي بالتحديد سبب جاذبية دفاتر الحسابات اللامركزية للمهاجمين الذين يسعون للصمود أمام جهود الإنفاذ. حتى إذا حدد الباحثون الأمنيون العقد الذكي أو عنوان المحفظة الذي تستخدمه DeadLock، فإن إزالة تلك البيانات من سلسلة الكتل غير واقعية بمجرد تسجيلها. يمكن للمحققين مراقبة النشاط وربما تتبع المحافظ المرتبطة، لكنهم لا يستطيعون استخدام الأدوات نفسها التي يستخدمونها ضد خادم مؤجر في مركز بيانات. هذا يغير ميزان المعركة: يجب على المدافعين التركيز أكثر على اكتشاف سلوك البرمجية الخبيثة على الأنظمة المصابة بدلاً من الاعتماد على تعطيل سلسلة توريد البنية التحتية الخاصة بها.
من المستهدف وماذا يعني الابتزاز المزدوج للضحايا
عدد ضحايا DeadLock، الذي تجاوز الآن 80 منظمة حول العالم، يعكس نموذج الابتزاز المزدوج الذي أصبح معيارًا بين مجموعات الفدية ذات الدوافع المالية. تشفّر البرمجية الخبيثة ملفات الضحية، مما يقطع الوصول إلى الأنظمة الحيوية، بينما يهدد المشغّلون في الوقت نفسه بتسريب البيانات المسروقة علنًا ما لم تُدفع الفدية. يمنح هذا الضحايا سببين منفصلين للدفع: استعادة العمليات ومنع تعرض مؤذٍ للبيانات.
أصبحت عواقب ذلك التهديد الثاني ملموسة في قضية غطيناها سابقًا على هذا الموقع، حيث أدى اختراق فيروس الفدية DeadLock إلى كشف سجلات تمتد لعقد في Diater، وهي شركة أدوية حيوية عُرضت بياناتها الصحية الحساسة للخطر. توضح تلك الحادثة أن حملات الابتزاز المزدوج لا تنتهي بقرار دفع الفدية؛ فالبيانات المسربة يمكن أن تنتشر لفترة طويلة بعد حل الهجوم، مما يؤثر على المرضى أو العملاء أو الشركاء الذين لم يكن لهم دور مباشر في الاختراق.
ماذا يعني هذا بالنسبة لك
معظم القراء لن يكونوا أهدافًا مباشرة لمجموعة فدية مثل DeadLock، لكن الآثار الجانبية لهذه الهجمات تصل إلى الأشخاص العاديين الذين توجد بياناتهم الشخصية داخل أنظمة المنظمات المستهدفة. إعداد C2 المقاوم لسلسلة الكتل لا يغير ما يحدث على طرفك في الاختراق: يمكن أن ينتهي المطاف بمعلوماتك معرضة في تسريب، بغض النظر عن مدى تطور البنية التحتية الخلفية للمهاجم.
بالنسبة للمؤسسات، فالخلاصة أكثر مباشرة. تستعير مجموعات الفدية تقنيات المرونة من عالم العملات الرقمية تحديدًا لأن عمليات الإسقاط أصبحت رادعًا حقيقيًا. هذا يعني أن المعركة يجب أن تحدث بشكل متزايد في مرحلة مبكرة، عند نقطة الاختراق والتشفير، بدلاً من الاعتماد على تعطيل البنية التحتية بعد وقوع الحدث.
دفاعات عملية ضد برامج الفدية مثل DeadLock
مجموعة من الأساسيات لا تزال أهم من أي منتج أمني منفرد. حافظ على نسخ احتياطية غير متصلة بالإنترنت وغير قابلة للتغيير، بحيث لا تستطيع برامج الفدية الوصول إليها أو حذفها إلى جانب أنظمتك الأساسية. قسّم الشبكات بحيث لا يمكن لجهاز طرفي مخترق أن يتسلسل إلى تشفير كامل للمحركات والخوادم المشتركة. حافظ على تحديث أدوات كشف نقاط النهاية وراقب السلوك المرتبط بتعطيل برامج الأمان أو مسح سجلات الأحداث، وهو نمط استخدمته DeadLock قبل السيطرة الكاملة على الشبكة.
ظهور مقاومة C2 الخاصة ببرامج الفدية عبر سلسلة الكتل للإسقاط هو تذكير بأن المهاجمين يتكيفون بوتيرة أسرع مما تستطيع أي أداة دفاعية مجاراتها. يبقى الأمن متعدد الطبقات، والنسخ الاحتياطية المختبرة، والكشف السريع أكثر الطرق موثوقية للحد من الضرر عندما لا يكون المنع وحده كافيًا. البقاء على اطلاع حول كيفية عمل مجموعات مثل DeadLock، واتخاذ خطوات حماية أساسية الآن، لا يزال أكثر الطرق عملية لتقليل تعرضك للاختراق القادم الذي يتصدر العناوين.
