نفّذت عملية جديدة لبرامج الفدية تُدعى JADEPUFFER شيئًا طالما حذّر منه باحثو الأمن لكنهم نادرًا ما أكدوه عمليًا: أكملت سلسلة هجوم كاملة، من الاستطلاع، إلى الحركة الجانبية، إلى التشفير، دون أن يوجّه أي مشغّل بشري أي خطوة. هذه ليست حالة من الأدوات الآلية التي تسرّع اختراقًا يقوده إنسان. إنها برمجية خبيثة استنتجت بيئة الهدف بنفسها، وهي تمثّل تحوّلًا جوهريًا في الطريقة التي يجب أن تفكّر بها المؤسسات والأفراد حول الدفاع ضد برامج الفدية الوكيلية.
ما الذي يجعل JADEPUFFER مختلفة عن برامج الفدية التي يقودها البشر
تتبع عمليات برامج الفدية التقليدية إيقاعًا مألوفًا. يحصل المهاجم على وصول أولي، ثم يقضي مشغّل بشري (أو فريق صغير) ساعات أو أيامًا في مسح الشبكة يدويًا، وتحديد الأنظمة القيّمة، وتصعيد الامتيازات، وتقرير متى يتم تفعيل التشفير. وقد منح هذا الإيقاع البشري المدافعين historically نافذة: تُطلق التنبيهات، ويحقّق المحللون، وغالبًا ما تتمكن فرق الاستجابة من التدخل قبل انتشار الضرر على مستوى الشبكة بأكملها.
تكسر JADEPUFFER هذا النمط. وفقًا للتقارير عن العملية، تحرّكت عبر الاستطلاع والحركة الجانبية والتشفير بشكل مستقل، دون أن يتخذ أي مشغّل قرارات في الوقت الفعلي على طول الطريق. عملت البرمجية الخبيثة فعليًا كمحللها الخاص، وقرّرت ما تستكشفه، وما تخترقه، ومتى تضرب. هذا الاستقلال هو الفارق الجوهري بين برامج الفدية الوكيلية وكل ما سبقها.
كيف تُقلّص الهجمات المستقلة نوافذ الكشف والاستجابة
النتيجة العملية لإزالة المشغّل البشري هي السرعة. تتكشّف الهجمات ذات الإيقاع البشري على خط زمني يُقاس بالأيام، وأحيانًا الأسابيع، مما يمنح فرق الأمن فرصًا متعددة لالتقاط نشاط مشبوه قبل بدء التشفير. وقد أظهر حادث سابق تناولته دراسة حالة لبرامج فدية بالذكاء الاصطناعي ضربت شركة في 10 ساعات فقط بالفعل كيف يمكن أن تتقلّص هذه الأطر الزمنية عندما يتولّى وكلاء الذكاء الاصطناعي أجزاءً من سلسلة الهجوم. وتدفع JADEPUFFER هذا التقلّص إلى أبعد من ذلك بإزالة المشغّل من الحلقة بالكامل.
عندما يتقلّص تأخير اتخاذ القرار من ساعات أو أيام إلى دقائق، لا يجد نموذج العمليات الأمنية التقليدي، الكشف، والتصعيد، والتحقيق، والاحتواء، وقتًا ليعمل كما صُمّم. لم تعد الدفاعات المبنية على افتراض أن الإنسان سيحتاج وقتًا لتفسير البيانات واتخاذ الخيارات رهانًا آمنًا. وهذا الواقع تحديدًا هو السبب في أن الحادث الموثّق في ذلك تفصيل الجدول الزمني لبرامج الفدية في 10 ساعات يستحق إعادة النظر فيه: فهو أحد أوضح الأمثلة على ما قبل وما بعد لما يبدو عليه الاختراق بسرعة الآلة فعليًا عندما يصل إلى شبكة حقيقية.
لماذا تزداد أهمية منع الحركة الجانبية عندما لا يضبط أي إنسان إيقاع الهجوم
في حادث برامج فدية تقليدي، غالبًا ما تكون الحركة الجانبية أبطأ مرحلة وأكثرها قابلية للكشف، لأن إنسانًا يختبر بيانات الاعتماد يدويًا، ويرسم خرائط المشاركات، ويتحرّى عن نقاط الضعف. تترك عملية التجربة والخطأ تلك آثارًا صُمّمت أدوات مراقبة نقاط النهاية خصيصًا لالتقاطها.
الوكيل المستقل لا يتعب، ولا يشكّ في نفسه، ولا يحتاج إلى النوم بين جلسات الاستطلاع. يمكنه تجربة مسارات أكثر بكثير في فترة أقصر، ولا يحتاج إلى التوقف للتخطيط لخطوته التالية. وهذا يعني أن قيمة تقسيم الشبكة، أي الحد من مدى وصول المتسلل إلى الداخل، ترتفع بشكل كبير. إذا كانت الحركة الجانبية هي المرحلة التي امتلك فيها المدافعون تاريخيًا أفضل فرصهم لإيقاف الهجوم قبل وصوله إلى الأنظمة الحيوية، فإن برامج الفدية الوكيلية مصمّمة للانقضاض عبر تلك المرحلة بأسرع ما يمكن.
خطوات عملية لتحصين الشبكات ضد برامج الفدية المدفوعة بالذكاء الاصطناعي
لا شيء من هذا يعني أن أساسيات الدفاع ضد برامج الفدية قد تغيّرت، بل أصبحت فقط أكثر إلحاحًا. وهناك أولويات قليلة تهم الآن أكثر من أي وقت مضى:
- قسّم شبكتك حتى لا يتمكن جهاز أو حساب واحد مخترق من الوصول إلى كل نظام آخر. الشبكات المسطّحة هي بالضبط ما صُمّمت الحركة الجانبية المستقلة لاستغلاله.
- راقب نقاط النهاية باستمرار، وليس فقط عند تسجيل الدخول أو أثناء الفحوصات المجدولة، لأن الوكيل المستقل يمكنه الانتقال عبر عدة مراحل قبل أن يلاحظ أي إنسان تنبيهًا.
- احتفظ بنسخ احتياطية غير متصلة بالإنترنت ومُختبرة لا يستطيع المهاجم (سواء كان بشريًا أو آليًا) الوصول إليها أو تشفيرها، لأن سرعة الاستعادة أصبحت غالبًا العامل الحاسم في حجم الضرر الذي يسببه هجوم سريع الحركة.
- قلّل الامتيازات الدائمة بحيث حتى إذا تم اختراق حساب ما، يجد الوكيل المستقل مسارات أقل للتصعيد والانتشار.
ماذا يعني هذا لك
معظم الأفراد والشركات الصغيرة ليسوا الأهداف المباشرة لعمليات برامج فدية تتصدر العناوين مثل JADEPUFFER، لكن التحوّل الأساسي يهم الجميع. تميل أدوات برامج الفدية إلى الانتقال تدريجيًا من المشغّلين المتقدمين إلى الاستخدام الإجرامي الأوسع مع مرور الوقت. إذا أصبح الدفاع ضد برامج الفدية الوكيلية هو الأساس الجديد للمؤسسات، فإن الافتراضات الكامنة وراء أمن الأفراد والشركات الصغيرة، وهي أنك ستمتلك وقتًا لملاحظة أن هناك خطبًا ما قبل حدوث ضرر حقيقي، تستحق نظرة ثانية.
الجزء المشجّع هو أن الدفاعات الأساسية لا تزال فعّالة. لا يتوقف تقسيم الشبكة والمراقبة والنسخ الاحتياطية عن كونها فعّالة لمجرد أن المهاجم أسرع؛ إنها ببساطة تحتاج إلى أن تُعامل كأمور غير قابلة للتفاوض بدلًا من كونها اختيارية.
النقاط الرئيسية
JADEPUFFER إشارة إلى أن تطوير برامج الفدية يتحرك نحو استقلال كامل، وأن الدفاع ضد برامج الفدية الوكيلية يحتاج إلى افتراض الاختراق بسرعة الآلة بدلًا من الهجمات ذات الإيقاع البشري. راجع تقسيم شبكتك، وتأكد من أن نسخك الاحتياطية معزولة فعلًا وقابلة للاستعادة، واحرص على أن مراقبة نقاط النهاية نشطة على مدار الساعة بدلًا من كونها تفاعلية. لم يعد المهاجمون ينتظرون أن يتخذ إنسان الخطوة التالية، ولا ينبغي لدفاعاتك أن تنتظر أيضًا.
