أكد تحذير مشترك صادر عن مكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن السيبراني وأمن البنية التحتية (CISA) أن مجموعة برمجيات الفدية Gunra اخترقت ما لا يقل عن 51 مستشفى وهيئة حكومية ومؤسسة مالية، وذلك أساسًا عبر استغلال جدران حماية Fortinet غير المُحدّثة. كما كشف التحذير عن نقطة ضعف كبيرة في البرمجية الخبيثة المخصصة لأنظمة Linux التي تستخدمها Gunra: مولد أرقام عشوائية معيب يسمح للضحايا باستعادة ملفاتهم المشفرة دون دفع فدية.
تُمثل هذه النتائج واحدًا من أكثر التفكيكات العلنية تفصيلاً لعمليات Gunra حتى الآن، حيث تجمع بين أنماط استهداف البنية التحتية وخارطة طريق تقنية للمدافعين. بالنسبة للمؤسسات التي لا تزال تُشغّل أجهزة شبكة مكشوفة أو قديمة، يُشكّل التحذير إشارة واضحة إلى أن الفجوة بين الثغرة المعروفة وحادثة الفدية الكاملة تستمر في التقلص.
كيف اخترقت برمجية Gunra للفدية 51 مستشفى وشبكة حكومية
وفقًا للتحذير، تشمل قائمة ضحايا Gunra مقدمي الرعاية الصحية والمكاتب الحكومية والمؤسسات المالية، وهي قطاعات غالبًا ما تحتفظ ببيانات حساسة ولا تستطيع تحمل فترات توقف طويلة. هذا المزيج يجعلها أهدافًا جذابة لمشغلي برمجيات الفدية الذين يسعون للضغط على الضحايا لدفع الفدية بسرعة.
كانت المجموعة نشطة بما يكفي لجذب اهتمام متواصل من أجهزة إنفاذ القانون الدولية. في وقت سابق من هذا العام، أعلنت السلطات الكورية الجنوبية والأمريكية عن تحقيق مشترك في أنشطة العصابة مع توسعها في قطاعات المال والرعاية الصحية والتصنيع. ويُشير تعداد الضحايا الأخير البالغ 51 ضحية إلى أنه على الرغم من هذا التدقيق، واصلت Gunra عملياتها ووجدت نقاط دخول جديدة إلى شبكات الشركات والمؤسسات.
ثغرة جدار حماية Fortinet غير المُحدّث التي استغلها المهاجمون
يُشير التحذير إلى أن جدران الحماية Fortinet غير المُحدّثة كانت وسيلة الوصول الأولية الرئيسية لاختراقات Gunra. تقع جدران الحماية على حافة الشبكة، مما يجعلها هدفًا عالي القيمة: بمجرد اختراقها، يستطيع المهاجمون في الغالب التحرك أفقيًا إلى الأنظمة الداخلية، وجمع بيانات الاعتماد، وتجهيز حمولات الفدية بمقاومة قليلة نسبيًا.
هذا نمط مألوف في حملات الفدية بشكل عام. كثيرًا ما يُفضل المهاجمون الثغرات المعروفة وغير المُحدّثة في الأجهزة الطرفية على أساليب الهندسة الاجتماعية الأكثر جهدًا، وذلك ببساطة لأن مسح الإنترنت بحثًا عن جدران حماية مكشوفة وقديمة أسرع وأرخص من صياغة طُعم التصيد. يُوضح التحذير المشترك من CISA وFBI حول تكتيكات الابتزاز المزدوج لـ Gunra كيف تقرن المجموعة طريقة الوصول هذه بسرقة البيانات، مهددة بتسريب الملفات المسروقة بالإضافة إلى تشفيرها، وهو نهج ابتزاز مزدوج أصبح معياريًا يزيد الضغط على الضحايا للدفع.
لماذا يُتيح خلل تشفير Linux في Gunra للضحايا تجاوز الفدية
أكثر التفاصيل القابلة للتطبيق في التحذير تتعلق بنسخة Linux من Gunra. وجد الباحثون أن البرمجية الخبيثة تعتمد على مولد أرقام عشوائية ضعيف لإنشاء مفاتيح التشفير المستخدمة لقفل ملفات الضحية. ولأن هذا المولد قابل للتنبؤ ويمكن إعادة بنائه من البيانات المتبقية على النظام المُصاب، تمكن باحثو الأمن من إجراء هندسة عكسية لعملية التشفير بما يكفي لاستعادة الملفات دون الدفع للمهاجمين.
هذه نتيجة ذات مغزى لأي منظمة تُدير خوادم Linux تضررت من Gunra. فك تشفير برمجيات الفدية نادرًا ما يكون مباشرًا، ومعظم السلالات تستخدم تطبيقات تشفير تكون، نظريًا على الأقل، غير قابلة للكسر حسابيًا بدون المفتاح الخاص للمهاجم. المولد العشوائي الضعيف أو المُعاد استخدامه هو خطأ تنفيذي حقيقي، وليس نقطة ضعف نظرية، وهو يمنح المدافعين بديلاً حقيقيًا عن التفاوض مع المجرمين.
ومع ذلك، عادةً ما يتطلب استغلال هذا الخلل خبرة تقنية، وإمكانية الوصول الجنائي إلى النظام المُخترق، ومعالجة دقيقة لأي بقايا متبقية من الهجوم. يجب على المنظمات التي تشتبه في إصابة بـ Gunra الإبقاء على الأنظمة المتضررة في حالتها الحالية بدلاً من محاولة الاستعادة الذاتية، لأن التعامل غير السليم قد يُدمر القطع الأثرية المطلوبة لإعادة بناء مفاتيح التشفير.
التحديث بدل الدفع: دروس أمنية للمؤسسات والأفراد
الفكرة المتكررة في هذا التحذير هي أن كلاً من الاختراق الأولي والحل البديل ناتجان عن فجوات تقنية يمكن تجنبها. جدران الحماية Fortinet المُستغلة للوصول الأولي كانت غير مُحدّثة، مما يعني أن تصحيحًا معروفًا كان موجودًا لكنه لم يُطبّق في الوقت المناسب. ونسخة Linux من الفدية فشلت فقط بسبب اختصار برمجي في عملية التشفير الخاصة بها. لم تتطلب أي من النتيجتين استغلال ثغرات يوم الصفر المعقدة.
بالنسبة للمستشفيات والهيئات الحكومية والمؤسسات المالية على وجه الخصوص، يُعزز هذا درسًا ظل محترفو الأمن يرددونه لسنوات: إدارة التصحيحات على الأجهزة الطرفية مثل جدران الحماية وأجهزة VPN ليست اختيارية. هذه الأنظمة غالبًا ما تكون نقطة الاتصال الأولى لمشغلي الفدية الذين يمسحون الإنترنت بحثًا عن أهداف سهلة.
ماذا يعني هذا بالنسبة لك
إذا كنت تُدير بنية تحتية لتقنية المعلومات، خاصة في قطاعات الرعاية الصحية أو الحكومة أو الخدمات المالية، فإن تحذير Gunra هو دعوة مباشرة لتدقيق أجهزة Fortinet لديك والتأكد من أنها تعمل بأحدث البرامج الثابتة مع تثبيت جميع التصحيحات الأمنية. إذا كنت قد تعرضت بالفعل لهجوم Gunra وتُشغّل أنظمة Linux، فلا تتسرع في الدفع. استشر مختصي الاستجابة للحوادث بشأن نقطة ضعف التشفير المعروفة قبل التفكير في دفع الفدية.
أما بالنسبة للمستخدمين العاديين والمنظمات الأصغر، فالخلاصة الأوسع مماثلة: مجموعات الفدية تنجح بشكل متزايد ليس من خلال تقنيات غريبة بل من خلال الأساسيات المُهملة. يبقى الحفاظ على تحديث أجهزة الشبكة، ومراقبة أنماط الوصول غير الاعتيادية، والاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت أكثر الدفاعات موثوقية لتجنب أن تصبح الإدخال التالي في تحذير كهذا.
أفكار ختامية
خلل فك التشفير في نسخة Linux من برمجية Gunra للفدية هو نبأ سار نادر في تحذير يبعث على القلق بشأن 51 مستشفى وهيئة ومؤسسة مالية مخترقة. لن يُلغي الضرر الذي وقع بالفعل، لكنه يوفر مسارًا للمضي قدمًا للضحايا الذين قد يشعرون بأنهم مجبرون على الدفع. بالاقتران مع ضغط أجهزة إنفاذ القانون المستمر على المجموعة، تؤكد الحالة حقيقة بسيطة: تصحيح الثغرات المعروفة قبل أن يجدها المهاجمون هو دائمًا أرخص وأسرع وأكثر أمانًا من التفاوض بعد وقوع الضرر.
