وصف باحثون يتتبعون HYFLOCK عملية فدية تواصل التطور. وفقًا للتقرير، بنى مشغلوها برامج تشفير متتالية لنظام Windows تقفل الملفات، وتصل إلى مشاركات الشبكة، وتحاول إعاقة الاستعادة. المقال المصدر موجز في التفاصيل التقنية، لذا يلتزم هذا المنشور بما تم الإبلاغ عنه ويركز على خطوات الحماية العملية من فدية HYFLOCK للأشخاص الذين يستخدمون أجهزة Windows في المنزل أو في مكتب صغير.
ما تفعله برامج التشفير الجديدة من HYFLOCK
ينقسم السلوك المُبلَّغ عنه إلى ثلاثة أجزاء. أولًا، تقفل برامج التشفير الملفات على جهاز Windows المصاب، مما يجعل المستندات والصور وغيرها من البيانات غير قابلة للقراءة دون مفتاح. ثانيًا، تتجاوز القرص المحلي لتصل إلى مشاركات الشبكة، مما يعني أن جهاز كمبيوتر واحد مخترق يمكن أن يؤثر على الملفات المخزنة على NAS، أو مجلد مكتب مشترك، أو محرك أقراص مشترك لكمبيوتر آخر. ثالثًا، تحاول إعاقة الاستعادة، مستهدفةً الخيارات التي يستخدمها الضحية عادةً لاستعادة الملفات.
كلمة "متتالية" مهمة. فهي تشير إلى أن المشغلين يطلقون إصدارات محسّنة من أدواتهم بدلًا من الاعتماد على بناء واحد. بالنسبة للمدافعين، هذا يعني أن الافتراضات القائمة على التوقيعات حول إصدار واحد قد لا تنطبق على الإصدار التالي، وأن المرونة الأساسية أهم من مطاردة أي عينة واحدة.
لا يفصّل المقال المصدر كيفية اختراق الضحايا في البداية، أو مقدار الفدية المطلوبة، أو عدد المؤسسات المتأثرة، لذلك لن نخمّن في تلك النقاط.
كيف تصل الفدية إلى مشاركات الشبكة وتعيق الاستعادة
النمط العام يستحق الفهم حتى دون تفاصيل خاصة بـ HYFLOCK. عادةً ما يرث برنامج الفدية الذي يعمل على جهاز Windows أذونات الحساب الذي أطلقه. إذا كان بإمكان ذلك الحساب فتح مجلد مشترك، فغالبًا ما يستطيع البرنامج الخبيث تشفير ما بداخله. محرك الأقراص المعيّن المتصل دائمًا والقابل للكتابة هو فعليًا امتداد للقرص المحلي.
إعاقة الاستعادة هي النصف الآخر من المشكلة. يعتمد كثيرون على شبكات أمان مريحة: محركات أقراص نسخ احتياطي محلية تبقى موصولة، أو مجلدات مزامنة سحابية، أو ميزات استعادة مدمجة. برنامج الفدية الذي يحاول التدخل في الاستعادة يستهدف هذه بالضبط. مجلد المزامنة سيرفع نسخًا مشفرة بأمانة، ومحرك أقراص النسخ الاحتياطي الموصول بشكل دائم يمكن تشفيره مع كل شيء آخر.
هذا هو الدرس الرئيسي من تقرير HYFLOCK: النسخة الاحتياطية التي يمكن للكمبيوتر المصاب الوصول إليها وتعديلها ليست نسخة احتياطية بالكامل. ينطبق المنطق نفسه على سرقة البيانات، التي يمكن أن تحدث بشكل منفصل عن التشفير. تغطيتنا لـ تسريب Rhysida لـ 5.79 تيرابايت من بيانات برلين بعد رفض الفدية تُظهر ما يمكن أن يتبع عندما يرفض الضحايا الدفع.
النسخ الاحتياطية وضوابط الوصول التي تخفف الهجوم
خطوات الحماية من فدية HYFLOCK هذه هي ممارسة جيدة عامة، وهي تعالج السلوكيات الموصوفة في التقرير.
- احتفظ بنسخة احتياطية واحدة غير موصولة. بدّل محرك أقراص خارجيًا لا يُوصل إلا أثناء تشغيل النسخ الاحتياطي، ثم افصله. النسخة غير المتصلة بالإنترنت لا يمكن تشفيرها من الكمبيوتر المصاب.
- استخدم نسخًا احتياطية سحابية مُصدَّرة أو غير قابلة للتغيير. اختر خدمة تحتفظ بإصدارات الملفات السابقة حتى تتمكن من التراجع إلى نقطة قبل التشفير، واحمِ ذلك الحساب بكلمة مرور قوية وفريدة ومصادقة متعددة العوامل.
- اتبع 3-2-1. احتفظ بثلاث نسخ من البيانات المهمة، على نوعين من الوسائط، مع تخزين واحدة خارج الموقع أو دون اتصال.
- حدّد أذونات المشاركة. امنح كل مستخدم وجهاز وصولًا فقط إلى المجلدات التي يحتاجها. تجنب ترك محركات أقراص الشبكة معيّنة بشكل دائم مع صلاحية الكتابة عندما يكون وصول القراءة كافيًا.
- افصل حسابات المسؤول والحسابات اليومية. استخدم حسابًا قياسيًا للعمل اليومي حتى يرث البرنامج الخبيث حقوقًا أقل.
- طبّق التصحيحات والتحديثات. حافظ على تحديث Windows والمتصفحات وبرامج الراوتر، وأبقِ برامج الأمان مفعّلة.
- اختبر الاستعادة. النسخة الاحتياطية التي لم تستعدها أبدًا هي مجرد افتراض. جرّب استعادة بضعة ملفات كل بضعة أشهر.
يستخدم المهاجمون بشكل متزايد الأتمتة والذكاء الاصطناعي لخفض المهارة اللازمة للاختراقات، وهو اتجاه فحصناه في نتائج Anthropic حول قراصنة مدعومين بالذكاء الاصطناعي يستهدفون أكثر من 20 مؤسسة. هذا يجعل الأساسيات الموثوقة أكثر قيمة، لا أقل.
ما تفعله VPN وما لا تفعله ضد الفدية
يشفّر VPN حركة المرور بين جهازك وخادم VPN ويخفي عنوان IP الخاص بك من المواقع التي تزورها. هذا مفيد على Wi-Fi العام وللخصوصية. لكنه ليس دفاعًا ضد الفدية. لا يفحص VPN الملفات، ولا يمنع مرفقًا خبيثًا من التشغيل، ولا يمنع كمبيوترًا مصابًا بالفعل من تشفير الملفات المحلية ومشاركات الشبكة.
هناك فائدة ضيقة وغير مباشرة واحدة: إذا كنت تستخدم VPN للوصول إلى موارد المنزل أو المكتب عن بُعد، فيمكنه تجنب تعريض خدمات مثل مشاركات الملفات مباشرةً للإنترنت. وحتى في ذلك الحين، يحتاج حساب VPN إلى مصادقة قوية، ولا يزال الجهاز المتصل بحاجة إلى أن يكون نظيفًا. تعامل مع VPN كطبقة واحدة للخصوصية والوصول الآمن عن بُعد، وليس كبديل للنسخ الاحتياطية والأذونات.
ماذا يعني هذا لك
تقرير HYFLOCK تذكير بأن الفدية لا تتعلق فقط بالملف على سطح مكتبك. يمكنها الوصول إلى التخزين المشترك والتلاعب بالأدوات التي ستستخدمها للاستعادة. إذا كانت نسختك الاحتياطية الوحيدة موصولة دائمًا بجهاز الكمبيوتر، أو تتزامن تلقائيًا، فقد تشارك مصير ملفاتك.
بالنسبة للمكاتب الصغيرة، يكون التعرض أكبر لأن المجلدات المشتركة تحتوي على عمل الجميع. جهاز كمبيوتر محمول واحد مصاب بوصول واسع يمكن أن يكون له تأثير كبير بشكل غير متناسب. سرقة البيانات أيضًا خطر منفصل: حتى مع نسخ احتياطية جيدة، يمكن أن تُسرَّب الملفات المسروقة، كما في دعاوى IDScan بشأن اختراق مزعوم لـ 153 مليون رخصة قيادة، حيث ظهرت عواقب البيانات المكشوفة في المحكمة.
النقاط العملية
- اليوم، تحقق من مكان وجود نسخك الاحتياطية وما إذا كان بإمكان جهاز الكمبيوتر الكتابة إليها في جميع الأوقات.
- أنشئ أو بدّل نسخة احتياطية غير متصلة بأهم ملفاتك.
- راجع مشاركات الشبكة المعيّنة ومن لديه صلاحية الكتابة.
- انتقل للاستخدام اليومي إلى حساب غير مسؤول وفعّل المصادقة متعددة العوامل على حسابات السحابة والنسخ الاحتياطي.
- اختبر استعادة ملف من كل نسخة احتياطية.
لا تتطلب خطوات الحماية القوية من فدية HYFLOCK أدوات باهظة الثمن، فقط نسخ احتياطية وقواعد وصول لا تزال تعمل عندما يستهدف المهاجم شبكة الأمان. لمزيد من المعلومات حول ما يحدث عند رفض مطالب الفدية، اقرأ تقريرنا عن تسريب Rhysida لبيانات برلين، ثم راجع إعدادك الخاص بينما لا يزال مهمة روتينية.
