عصابة فدية بـ483 ضحية ومجموعة أدوات متنامية

أفادت التقارير بأن عملية فدية تُعرف باسم The Gentlemen قد اخترقت 483 ضحية من خلال الجمع بين أداتين خبيثتين مختلفتين: أداة تهرب من الدفاعات تُسمى GentleKiller وحصان طروادة للوصول عن بُعد يُسمى EtherRAT. معًا، تسمح هذه الأدوات للمجموعة بتعطيل البرامج الأمنية على جهاز الضحية والحفاظ على اتصال قيادة وتحكم سري يصعب على المدافعين إيقافه.

المجموعة، التي ربطها باحثو الأمن أيضًا بهجمات على مؤسسات مثل استاد الجليد الهولندي المذكور في تقريرنا حول هجوم عصابة الفدية The Gentlemen على Thialf، تعمل على توسيع نطاق وصولها باطراد. فبدلًا من الاعتماد على ثغرة استغلال جديدة واحدة، يبدو أن نجاح العصابة يأتي من تجميع عدة تقنيات تهرب معروفة في حزمة آلية واحدة، ثم إعادة استخدام تلك الحزمة عبر عدد كبير من الضحايا.

كيف تتغلب GentleKiller على البرامج الأمنية

في قلب هذه الحملة تقع GentleKiller، وهي أداة مبنية حول تقنية تُعرف عادةً باسم BYOVD، أو "أحضر برنامج التشغيل الثغرة الخاص بك". بعبارات بسيطة، يثبّت المهاجمون برنامج تشغيل (driver) حقيقيًا لكنه معيب لأجهزة أو برامج على كمبيوتر الضحية. ولأن برنامج التشغيل هذا غالبًا ما يكون موقّعًا رقميًا وموثوقًا به من Windows، فإنه يمكنه العمل بامتيازات عميقة على مستوى النظام. ثم يستغل المهاجمون ضعفًا معروفًا في برنامج التشغيل هذا لإيقاف أو إعماء البرامج الأمنية العاملة على الجهاز، مما يحوّل فعليًا قطعة برمجية موثوقة إلى سلاح ضد الأدوات نفسها المصممة لإيقافه.

وفقًا للتقارير حول هذه الحملة، استُخدمت GentleKiller للتغلب على منتجات 48 بائعًا مختلفًا للأمن. وهذا الرقم مهم لأنه يشير إلى أن الأداة لم تُصمم للتهرب من برنامج أو برنامجين محددين لمكافحة الفيروسات. بل بُنيت كإطار عمل واسع قابل لإعادة الاستخدام قادر على تحييد شريحة واسعة من سوق حماية نقاط النهاية. وهذا يعكس نمطًا تابعناه من قبل في تغطيتنا لـكيف تُعمي عصابة الفدية The Gentlemen أدوات EDR، حيث أظهر مشغلو المجموعة اهتمامًا ثابتًا بتعطيل الكشف قبل نشر حمولتهم التشفيرية الفعلية.

EtherRAT ولمسة البلوكتشين

المكوّن الثاني، EtherRAT، يتولى اتصال القيادة والتحكم (C2)، وهو القناة التي يستخدمها المهاجمون لإرسال التعليمات إلى الأجهزة المصابة واستقبال البيانات المسروقة أو تحديثات الحالة. ما يميز EtherRAT هو استخدامه المذكور للبنية التحتية للبلوكتشين لهذا الغرض. يمكن للباحثين أو إنفاذ القانون تحديد خوادم C2 التقليدية وإسقاطها بمجرد اكتشافها. ومن خلال توجيه الاتصال عبر آليات قائمة على البلوكتشين، يجعل المهاجمون هذا النوع من الإسقاط أصعب بكثير، لأن بيانات البلوكتشين موزعة ومقاومة لنقطة إيقاف واحدة.

هذا المزيج، قاتل دفاعات قائم على برامج التشغيل مقترنًا بقناة C2 مرنة، يعكس اتجاهًا أوسع بين عمليات الفدية كخدمة: ابنِ مرة واحدة، وبِع أو رخّص على نطاق واسع، ودع المنتسبين يديرون حملات واسعة النطاق ضد مجموعة متنوعة من الضحايا، بما في ذلك الشركات الصغيرة والمتوسطة التي يتم استهدافها بشكل متزايد من قبل مجموعات تتنافس على حصة السوق، كما فصّلنا في مقالنا حول Qilin وThe Gentlemen وتصعيد الهجمات على الشركات الصغيرة والمتوسطة.

ماذا يعني هذا بالنسبة لك

إذا كنت تدير أنظمة تقنية المعلومات لشركة، أو حتى تهتم فقط بأمن شبكتك المنزلية، فإن الدرس الجوهري هنا ليس خاصًا بـThe Gentlemen. إنه يتعلق بحدود الاعتماد على أي منتج أمني واحد. فأداة قادرة على التغلب على 48 بائعًا مختلفًا تُظهر أن برامج مكافحة الفيروسات أو كشف نقاط النهاية وحدها لا يمكن اعتبارها دفاعًا كاملًا.

بالنسبة للأفراد، الخطر العملي أقل لكنه ليس صفرًا: فغالبًا ما تحصل مجموعات الفدية على الوصول الأولي عبر رسائل التصيد الاحتيالي، أو خدمات الوصول عن بُعد المكشوفة، أو البرامج غير المحدّثة، وهي نفس نقاط الدخول التي تعرّض البيانات الشخصية والشبكات المنزلية للخطر. يظل الحفاظ على تحديث الأنظمة، واستخدام كلمات مرور فريدة، والحذر من المرفقات غير المرغوب فيها حماية أساسية بغض النظر عن مدى تطور البرمجيات الخبيثة في الخلفية.

بالنسبة للمؤسسات، هذه الحملة تذكير بأن دفع الفدية لا يضمن السلامة في المستقبل. وكما ورد في تحليلنا السابق لـدراسة Proofpoint حول دافعي الفدية، فإن نحو شركة واحدة من كل ثلاث شركات تدفع الفدية تتعرض للاستهداف مرة أخرى. الدفاعات متعددة الطبقات، والنسخ الاحتياطية غير المتصلة بالإنترنت، وسياسات القوائم المسموح بها لبرامج التشغيل التي تقيّد برامج التشغيل التي يمكن تحميلها على مستوى النواة، هي حمايات أكثر متانة بكثير من الأمل في أن أداة أمنية واحدة ستلتقط كل تهديد.

النقاط الرئيسية

  • لا تعتمد على منتج أمني واحد؛ فالدفاعات متعددة الطبقات تصبح أكثر أهمية عندما يصمم المهاجمون أدوات خصيصًا لتجاوز بائعين فرديين.
  • قيّد برامج التشغيل التي يمكن تحميلها على أنظمتك، لأن هجمات BYOVD تعتمد على تثبيت برامج تشغيل خارجية ذات وصول إلى النواة.
  • احتفظ بنسخ احتياطية غير متصلة بالإنترنت ومختبرة حتى لا تُجبرك إصابة الفدية على قرار الدفع.
  • تعامل مع الرسائل والروابط وطلبات الوصول عن بُعد غير المتوقعة بارتياب، لأن الوصول الأولي عادةً ما يبدأ بالهندسة الاجتماعية الأساسية أو البرامج غير المحدّثة.
  • ابقَ على اطلاع على مجموعات مثل عملية الفدية The Gentlemen، لأن أدواتها وأهدافها تستمر في التطور.