عصابة فدية تطبع مطالبها بنفسها

تترك معظم مجموعات الفدية ملاحظات الابتزاز كملفات نصية متناثرة عبر مجلدات الضحية المشفرة. تتخذ برمجية INC للفدية نهجًا أكثر إثارة للقلق: وفقًا لتحليل تقني من Picus Security، تحاول البرمجية الخبيثة أيضًا إرسال مذكرة الفدية مباشرة إلى أي طابعات وأجهزة فاكس متصلة على الشبكة المخترقة، مما يؤدي إلى طباعة الطلب فعليًا ليراه أي شخص في المبنى.

إنها تفصيلة صغيرة، لكنها تقول الكثير عن كيفية عمل INC. هذه مجموعة تريد أقصى ضغط نفسي على ضحاياها، وقد وجدت أن شبكات الرعاية الصحية والتعليم، التي غالبًا ما تكون مليئة بالطابعات القديمة وخطوط الفاكس المشتركة والأجهزة المتصلة التي نادرًا ما يراجعها فرق تكنولوجيا المعلومات، هي أرض خصبة لهذا النوع من التعطيل.

لماذا تتكرر الهجمات على الرعاية الصحية والتعليم

برمجية INC للفدية، التي يتم تتبعها كعملية "فدية كخدمة" منذ ظهورها، استهدفت مرارًا المستشفيات والعيادات والمدارس إلى جانب قطاعات أخرى مثل التجزئة والمالية. الأسباب ليست غامضة. تعمل شبكات الرعاية الصحية على أجهزة طبية مترابطة، وبنية تحتية قديمة، وأنظمة لا يمكن دائمًا تصحيحها أو فصلها عن الشبكة دون المخاطرة برعاية المرضى. بينما تخدم شبكات التعليم غالبًا آلاف الطلاب والموظفين على بنية تحتية مشتركة بميزانيات أمنية محدودة وضوابط وصول غير متسقة.

يحتفظ كلا القطاعين أيضًا بنوع البيانات الذي يجعل الابتزاز المزدوج مربحًا: سجلات المرضى، والتاريخ الصحي، والتفاصيل المالية، والمعلومات الشخصية عن القُصّر. لا تقتصر برمجية INC، مثل العديد من عمليات الفدية الحديثة، على تشفير الملفات. بل تسرق البيانات أولاً وتهدد بتسريبها علنًا إذا لم يتم دفع الفدية، مما يعطي الضحايا سببين منفصلين للامتثال.

هذا النهج جعل المستشفيات هدفًا عالي المخاطر بشكل خاص. عندما تقوم برمجيات الفدية بإغلاق السجلات الصحية الإلكترونية أو أنظمة جدولة المواعيد، فإن التداعيات لا تقتصر على الإزعاج. يمكن أن تؤخر العلاج، وتجبر سيارات الإسعاف على التحويل إلى مستشفيات أخرى، وتعرض سلامة المرضى للخطر بشكل مباشر، وهذا جزء من السبب الذي جعل الأمن السيبراني للرعاية الصحية يصبح أولوية سياسية تتجاوز أقسام تكنولوجيا المعلومات.

مشكلة نقطة الوصول

تحتاج مجموعات الفدية إلى وسيلة للدخول إلى الشبكة قبل أن تتمكن من نشر أي شيء، وقد أظهرت INC استعدادها لاستغلال أي ثغرة تمنحها ذلك الموقع الأولي. توضح حالة حديثة هذا الأمر جيدًا: أكدت شركة SonicWall أن ثغرتين خطيرتين من نوع zero-day في أجهزة سلسلة SMA 1000 قد استُغلتا بنشاط من قبل مجموعة INC للفدية لمدة 22 يومًا قبل أن يصبح التصحيح متاحًا. هذا النوع من الفُرص، ما يقرب من ثلاثة أسابيع من الاستغلال النشط قبل وجود إصلاح، هو بالضبط ما يبحث عنه مشغلو الفدية، خاصة ضد المؤسسات التي قد تكون أبطأ في تصحيح أجهزة الوصول عن بُعد بسبب قيود التوظيف أو المتطلبات التشغيلية.

يؤكد هذا النمط حقيقة أوسع حول برمجيات الفدية بشكل عام وINC بشكل خاص: الاختراق الأولي نادرًا ما يأتي من شيء غريب. يأتي من برامج غير مصححة، أو أدوات وصول عن بُعد مكشوفة، أو بيانات اعتماد لم يتم تدويرها أبدًا. بمجرد الدخول، تتحرك المجموعة أفقيًا، وتحدد البيانات القيمة لاستخراجها، وتنشر حمولة التشفير الخاصة بها، وفي حالة INC، تحاول طباعة رسالتها لتحقيق أقصى قدر من الرؤية.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل في أنظمة الرعاية الصحية أو التعليم أو تتفاعل معها، سواء كموظف أو مريض أو طالب أو ولي أمر، فإن برمجية INC للفدية تُعد تذكيرًا بأن البيانات التي تحتفظ بها هذه المؤسسات عنك هي هدف حقيقي، وليس افتراضيًا. السجلات الصحية وبيانات الطلاب جذابة على وجه التحديد لأنه يصعب استبدالها وغالبًا ما ترتبط بفرص احتيال مالي أو طبي.

بالنسبة لفرق تكنولوجيا المعلومات والأمن، الدرس العملي يتمحور حول وتيرة التصحيح وتجزئة الشبكة. غالبًا ما تُعامل أجهزة الوصول عن بُعد والطابعات المتصلة وبوابات الفاكس كأجهزة منخفضة الأولوية، لكن سلوك INC يُظهر أن المهاجمين سيستخدمون كل جهاز على الشبكة، مهما كان عاديًا، لتحقيق أهدافهم. تجزئة الطابعات والأجهزة من نوع إنترنت الأشياء عن الأنظمة الأساسية، وتصحيح الأجهزة المواجهة للإنترنت بسرعة عندما يكشف البائعون عن الثغرات، يقلل بشكل كبير من سطح الهجوم.

بالنسبة للأفراد، الخطوات العملية مألوفة أكثر لكنها تستحق التكرار: راقب إشعارات الاختراق من مقدم الرعاية الصحية أو المنطقة التعليمية، واستخدم كلمات مرور فريدة للبوابات التي تخزن المعلومات الشخصية أو الطبية، وكن حذرًا من محاولات التصيد اللاحقة التي غالبًا ما تستغل حوادث الفدية بمجرد بدء تداول البيانات المسروقة.

البقاء في صدارة حملات الفدية المستهدفة

برمجية INC للفدية ليست فريدة في استهداف الرعاية الصحية والتعليم، لكن استعدادها لطباعة ملاحظات الفدية فعليًا يسلط الضوء على المدى الذي ستذهب إليه هذه المجموعات لإجبار الضحايا على الدفع. يجب على المؤسسات في هذه القطاعات معاملة كل جهاز مواجه للإنترنت، مهما كان عاديًا، كنقطة دخول محتملة، ويجب على الأفراد البقاء في حالة تأهب لإشعارات الاختراق المرتبطة بالمؤسسات التي تحتفظ ببياناتهم الحساسة. يظل الوعي والتصحيح في الوقت المناسب أكثر الدفاعات فعالية ضد تهديد لا يُظهر أي علامة على التباطؤ.