كيف تعطل برمجية الفدية جنتلمان أدوات الأمان

سلالة فدية موثقة حديثًا تُسمى جنتلمان ترفع مستوى التهرب من نقاط النهاية إلى مستوى جديد. وفقًا للتقارير حول هذا التهديد، تقوم البرمجية الخبيثة بنشر سائق نواة يقوم بإنهاء ما يقرب من 180 عملية أمان بشكل منهجي قبل أن تبدأ في تشفير الملفات. نظرًا لأن السائق يعمل على مستوى النواة، أعمق طبقة في نظام التشغيل وأكثرها امتيازًا، فإنه يمكنه إيقاف محركات مكافحة الفيروسات، ووكلاء الكشف عن نقاط النهاية والاستجابة لها (EDR)، وأدوات المراقبة الأخرى التي كانت سترفع إنذارًا أو تمنع روتين التشفير في الظروف العادية.

هذا التسلسل مهم. غالبًا ما تُطلق برمجيات الفدية التقليدية تنبيهات أمنية فور بدئها بلمس الملفات، مما يمنح المدافعين نافذة ضيقة لعزل الجهاز أو قتل العملية. من خلال تعطيل برامج الأمان أولاً، تزيل جنتلمان نظام الإنذار المبكر هذا تمامًا. مرحلة التشفير التي تليها تحدث دون مقاومة تُذكر، لأن الأدوات المصممة لاكتشافها قد تم إسكاتها بالفعل.

لماذا يزيد قتل عمليات EDR ومكافحة الفيروسات من المخاطر المؤسسية

بالنسبة للمؤسسات التي تعتمد بشكل كبير على أمن نقاط النهاية كخط دفاع رئيسي، فإن هذا الأسلوب ضار بشكل خاص. بُنيت منصات EDR على افتراض أنها ستستمر في العمل والإبلاغ حتى أثناء تعرضها للهجوم. عندما يتمكن سائق على مستوى النواة من انتزاع هذه الرؤية بحركة واحدة، فإن نموذج الكشف بأكمله ينهار في اللحظة التي يكون فيها بأمس الحاجة إليه.

هذه ليست تقنية معزولة. إنها تتناسب مع نمط أوسع موثق في مشهد برمجيات الفدية، حيث تعطي المجموعات الأولوية بشكل متزايد لتعطيل الأدوات الدفاعية كخطوة أولى وليس كفكرة لاحقة. وجد تقرير Halcyon للربع الثاني من عام 2026 حول مجموعات الفدية التي تعطل EDR أنه حتى مع انخفاض الحجم الإجمالي لهجمات الفدية، زاد تطور التقنيات المستخدمة لتعمية برامج الأمان. يبدو أن أسلوب سائق النواة الخاص بجنتلمان هو جزء من نفس الاتجاه: هجمات أقل إجمالاً، لكن كل منها مصمم ليضرب بقوة أكبر بمجرد أن يجد موطئ قدم.

بالنسبة للشركات، فإن العبرة هي أن أمن نقاط النهاية لا يمكن أن يكون خط الدفاع الوحيد. إذا كان بإمكان تقنية واحدة تحييد عشرات من عمليات الأمان دفعة واحدة، فإن بقية الحزمة الأمنية - تجزئة الشبكة، وضوابط الوصول، والمراقبة خارج نقطة النهاية نفسها - يجب أن تكون قوية بما يكفي لالتقاط ما تفوته نقطة النهاية.

أين تتناسب الشبكات الافتراضية الخاصة (VPN) والدفاعات على مستوى الشبكة في الوقاية من الفدية

هنا تلعب الأدوات على مستوى الشبكة، بما في ذلك الشبكات الافتراضية الخاصة، دورًا داعمًا في استراتيجية دفاع متعدد الطبقات. لن توقف VPN الفدية من تشفير الملفات بمجرد أن تعمل على جهاز، ولا ينبغي أبدًا تسويقها كحل مستقل لتهديد مثل جنتلمان. لكن VPN وضوابط الوصول الأخرى للشبكة تخدم غرضًا حقيقيًا في الحد من كيفية تحرك المهاجمين جانبيًا عبر الشبكة وكيفية تأسيسهم الوصول الأولي الذي يؤدي إلى نشر الفدية في المقام الأول.

تبدأ العديد من اقتحامات الفدية ببيانات اعتماد مخترقة أو نقاط وصول عن بُعد مكشوفة، وليس بالبرمجية الخبيثة نفسها. إن تقييد وتشفير الاتصالات عن بُعد، وتجزئة حركة مرور الشبكة، وطلب الوصول المُصادق عليه قبل أن يتمكن جهاز من الوصول إلى الأنظمة الحساسة، كل ذلك يقلل عدد المسارات التي يمكن للمهاجم استخدامها للوصول إلى جهاز حيث يمكنه في النهاية تشغيل شيء مثل سائق نواة خبيث. بعبارة أخرى، تكتسب VPN أهميتها القصوى قبل أن يبدأ الهجوم، وليس بعد أن يتم تعطيل برامج الأمان بالفعل.

دروس للمستخدمين: النسخ الاحتياطي، والأمن متعدد الطبقات، والكشف المبكر

بينما يُناقش جنتلمان بشكل أساسي في سياق الهجمات المؤسسية، فإن الدرس الأساسي ينطبق على المستخدمين الأفراد والشركات الصغيرة أيضًا. لا يمكن التعامل مع أي أداة أمان واحدة، سواء كانت برنامج مكافحة فيروسات، أو وكيل EDR، أو VPN، كحل كامل بمفردها.

ما يعنيه هذا لك

إذا كنت تدير أمن تكنولوجيا المعلومات لشركة، أو ببساطة تريد حماية أجهزتك بشكل أكثر فعالية، فإن بعض الخطوات العملية تقلل من تعرضك لهجمات كهذه:

  • احتفظ بنسخ احتياطية غير متصلة بالشبكة أو غير قابلة للتغيير. إذا حدث التشفير، فإن النسخة الاحتياطية النظيفة التي لا تستطيع الفدية الوصول إليها تظل أسرع طريقة للاسترداد دون الدفع لأي شخص.
  • ضَعْ دفاعات متعددة الطبقات. اجمع بين حماية نقاط النهاية وضوابط على مستوى الشبكة مثل VPN، وجدران الحماية، وتجزئة الوصول بحيث لا يتركك أي تعطيل لأداة واحدة مكشوفًا بالكامل.
  • راقب علامات الإنذار المبكر. تثبيتات السائقين غير العادية، وإنهاء العمليات غير المتوقع، أو صمت برامج الأمان بشكل غير متوقع، كلها إشارات تستحق التحقيق الفوري بدلاً من تجاهلها.
  • طَبِّق التصحيحات وقيد صلاحيات تثبيت السائقين. تتطلب سائقا النواة أذونات مرتفعة للتحميل، لذا فإن تحديد من وماذا يمكنه تثبيت السائقين على النظام يغلق إحدى نقاط الدخول الرئيسية لجنتلمان.

إن تقنية سائق النواة لبرمجية الفدية جنتلمان هي تذكير واضح بأن المهاجمين يهندسون طرقًاactively لتجاوز الأدوات التي يعتمد عليها المدافعون أكثر من غيرها. البقاء محميًا يعني التفكير فيما وراء أي منتج منفرد وبناء طبقات دفاعية متداخلة، بحيث عندما تفشل إحدى وسائل الحماية، تظل أخرى صامدة بين بياناتك والمهاجم.