أكد تحذير مشترك من مكتب التحقيقات الفيدرالي (FBI)، ووكالة الأمن السيبراني والبنية التحتية (CISA)، ووكالة الأمن القومي (NSA)، ومركز الجرائم الإلكترونية بوزارة الدفاع، ووكالات الأمن السيبراني الكورية الجنوبية، أن مشغلي برنامج الفدية Gunra وجدوا طريقة للتغلب على واحدة من أكثر أدوات الأمن المؤسسي موثوقية: المصادقة متعددة العوامل. وبدلاً من سرقة رمز لمرة واحدة أو التصيد لاختراق جلسة تسجيل الدخول، أعاد شركاء Gunra كتابة ملفات المصادقة مباشرة على الخوادم الضحية، مما أدى فعليًا إلى تعطيل حمايات المصادقة متعددة العوامل من الداخل قبل نشر التشفير وسرقة البيانات.
يمثل التحذير، الصادر هذا الشهر، أحد أوضح التأكيدات العامة على أن مجموعات برامج الفدية كخدمة لم تعد تتعامل مع المصادقة متعددة العوامل كعقبة تحتاج إلى خداع المستخدمين لتجاوزها. بل يتعاملون معها كبنية تحتية يمكنهم ببساطة إعادة تشكيلها بمجرد حصولهم على موطئ قدم.
كيف تجاوز Gunra المصادقة متعددة العوامل على مستوى الخادم
وفقًا للتحذير، استغل شركاء Gunra ثغرات معروفة في أجهزة جدران الحماية وأجهزة VPN من Fortinet، إلى جانب ثغرات في أنظمة Schneider Electric، للحصول على وصول أولي إلى شبكات الحكومة والبنية التحتية الحيوية والمؤسسات. وبمجرد دخولهم، بدلاً من محاولة هزيمة المصادقة متعددة العوامل عند شاشة تسجيل الدخول، استهدف المهاجمون ملفات تكوين المصادقة المخزنة على الخادم نفسه.
من خلال تعديل تلك الملفات من مصدرها، تمكن مشغلو Gunra من تعطيل أو تجاوز فحوصات المصادقة متعددة العوامل التي كانت ستمنع عمليات تسجيل الدخول غير المصرح بها، كل ذلك دون الحاجة إلى عامل المصادقة الثاني للضحية. وهذا تمييز مهم عن تقنيات تجاوز المصادقة متعددة العوامل النمطية مثل تبديل بطاقة SIM أو هجمات إرهاق إشعارات الدفع، والتي تستهدف المستخدم. نهج Gunra يستهدف البنية التحتية التي تفرض السياسة في المقام الأول، مما يعني أن الخلل معماري وليس سلوكيًا. يظل تصحيح الثغرات المعروفة في الأجهزة الطرفية مثل جدران الحماية وأجهزة VPN، وهي نقاط الدخول التي يعتمد عليها Gunra وفقًا للتحذير، الطريقة الأكثر مباشرة التي يمكن للمؤسسات من خلالها إغلاق هذا الباب قبل فتحه.
يعمل Gunra كنظام برامج فدية كخدمة، مما يعني أن البرنامج الضار الأساسي يتم بناؤه وصيانته بواسطة مجموعة واحدة بينما ينفذ الشركاء هجمات فردية، غالبًا ما يعيدون استخدام تعليمات برمجية مسربة من عائلات برامج فدية سابقة. ساعد هذا الهيكل العملية على التوسع بسرعة عبر القطاعات والجغرافيات، حيث تشير التحذيرات إلى أنها استهدفت بالفعل أهدافًا حكومية وصحية وبنية تحتية حيوية في دول متعددة.
جانب مشرق في النسخة الخاصة بلينكس
يشير التحذير أيضًا إلى نقطة ضعف ملحوظة في مشفر Gunra الخاص بنظام لينكس. وجد الباحثون أن عملية التشفير تترك وراءها آثارًا زمنية للملفات يمكن، في بعض الحالات، استخدامها لإعادة بناء مفاتيح فك التشفير دون دفع أي شيء للمهاجمين. بالنسبة للمؤسسات التي تشغل خوادم لينكس المتأثرة بهذه النسخة المحددة، يفتح ذلك مسارًا لاسترداد البيانات المشفرة من خلال التحليل الجنائي بدلاً من التفاوض مع مجموعة إجرامية.
هذا النوع من عيوب التنفيذ ليس نادرًا في عائلات برامج الفدية التي تعيد استخدام أو تكييف التعليمات البرمجية المسربة، ولا يعني أن كل ضحية من ضحايا Gunra يمكنها الاسترداد مجانًا. لا يبدو أن المشفر الخاص بنظام ويندوز يشترك في نفس نقطة الضعف، ويجب على المؤسسات التعامل مع أي محاولة استرداد كمهمة لمستجيبي الحوادث ذوي الخبرة وليس كإصلاح ذاتي. ومع ذلك، فهي قطعة أخبار جيدة نادرة في مشهد برامج الفدية حيث يُترك الضحايا عادةً للاختيار بين الدفع أو إعادة البناء من النسخ الاحتياطية.
هذا الاختيار مهم لأن الأدلة تُظهر بشكل متزايد أن الدفع لا يحل المشكلة بشكل موثوق. وجد استطلاع Proofpoint أن دفع فدية عصابات برامج الفدية يأتي بنتائج عكسية غالبًا، حيث أبلغت العديد من المنظمات أنها لا تزال فقدت بياناتها، أو واجهت هجمات متكررة، أو لم تتلقَ أدوات فك تشفير قابلة للاستخدام حتى بعد الدفع. يعزز تحذير Gunra هذا النمط: الرهان الأكثر أمانًا هو الوقاية والقابلية للاسترداد، وليس التفاوض.
ما يعنيه هذا بالنسبة لك
معظم قراء هذا التحذير لن يكونوا مستهدفين مباشرة من Gunra، لكن الدرس الأساسي ينطبق على نطاق واسع. المصادقة متعددة العوامل هي طبقة دفاع حرجة، لكنها ليست معصومة من الخطأ، خاصة عندما يتمكن المهاجمون من الوصول إلى تكوين جانب الخادم الذي يفرضها. إذا كنت تدير أنظمة تكنولوجيا المعلومات لشركة أو مستشفى أو مدرسة أو وكالة حكومية محلية، فهذا التحذير إشارة للتحقق من تحديث البرامج الثابتة لجدار الحماية وأجهزة VPN لديك، نظرًا لأن الوصول الأولي لـ Gunra يعتمد بشكل كبير على ثغرات معروفة وقابلة للتصحيح.
بالنسبة للمستخدمين العاديين، فإن الخلاصة أقل ارتباطًا بعائلة برامج الفدية هذه تحديدًا وأكثر ارتباطًا بكيفية التعامل مع بياناتك الخاصة. يظل الاحتفاظ بنسخ احتياطية منتظمة وغير متصلة بالإنترنت من الملفات المهمة أحد الدفاعات القليلة التي تعمل بغض النظر عن كيفية دخول المهاجم. مدة احتفاظك بنسخ من الملفات الحساسة، وأين، يؤثر أيضًا على مدى تعرضك إذا تم اختراق خدمة تستخدمها يومًا ما؛ فهم عادات الاحتفاظ بالبيانات الخاصة بك، وتلك الخاصة بالمنصات التي تعتمد عليها، هو خطوة عملية نحو الحد مما يمكن أن يكشفه أي اختراق واحد.
النقاط الرئيسية
يجب على المؤسسات التي تشغل معدات Fortinet أو Schneider Electric المكشوفة إعطاء الأولوية للتصحيح فورًا، لأنها نقطة الدخول الموثقة لعمليات اختراق Gunra. يجب على فرق تكنولوجيا المعلومات تدقيق تكوينات المصادقة على جانب الخادم بحثًا عن تغييرات غير مصرح بها بدلاً من افتراض أن المصادقة متعددة العوامل تعمل لمجرد أنها مفعلة. يجب على مسؤولي لينكس المتأثرين بـ Gunra استشارة محترفي الاستجابة للحوادث قبل افتراض أن الملفات فقدت نهائيًا، نظرًا لخلل الاسترداد القائم على الطوابع الزمنية الموضح في التحذير. وبالنسبة للجميع الآخرين، فإن هذا التحذير هو تذكير آخر بأن برنامج الفدية Gunra والمجموعات المماثلة تنجح غالبًا ضد البنية التحتية القديمة، مما يجعل انضباط إدارة التصحيحات والنسخ الاحتياطية أكثر قيمة من أي أداة أمنية واحدة.
