لا يزال LockBit 5.0 يهاجم المؤسسات حول العالم بنشاط، وقد صقل منتسبو المجموعة نهجهم ليصبح هجوماً مزدوجاً يصعب التصدي له بالكامل. وفقاً لاستخبارات التهديدات الحديثة، تعتمد حملات الابتزاز المزدوج من LockBit 5.0 الآن بشكل أقل على التشفير القسري وحده، وأكثر على مزيج مدروس من سرقة البيانات وتعطيلها بهدف زيادة الضغط على الضحايا للدفع.
هذه ليست عائلة فدية جديدة تظهر من العدم. لدى LockBit تاريخ طويل وموثّق كواحد من أكثر عمليات الفدية كخدمة إنتاجاً في العالم، وقد تابع باحثو الأمن عن كثب عودة المجموعة بعد جهود عملية كرونوس التي قادتها أجهزة إنفاذ القانون. للقراء الذين يرغبون في القصة الكاملة عن كيفية إعادة بناء المجموعة لنفسها وتطورها إلى شكلها الحالي، يغطي شرح LockBit 5.0 هذا التاريخ بعمق. تركز هذه المقالة على ما يحدث الآن: آليات الحملة الحالية وما يمكن للمؤسسات القيام به حيالها.
كيفية عمل هجوم الابتزاز المزدوج لـ LockBit 5.0
يتبع نمط الهجوم الذي يستخدمه المنتسبون تسلسلاً مقصوداً. قبل أن يتم تشفير أي ملفات، يقوم المهاجمون أولاً بنقل البيانات من الشبكة المستهدفة باستخدام أدوات مثل Rclone، وهي أداة نقل ملفات شرعية أُعيد توظيفها لنقل كميات كبيرة من البيانات المسروقة بهدوء إلى تخزين خارجي، أو برمجيات سرقة خبيثة مصممة خصيصاً لهذه المهمة.
فقط بعد أن يتم نسخ تلك البيانات إلى الخارج، تبدأ مرحلة التشفير، وهي مصممة لتكون سريعة. يستخدم المنتسبون إجراءات تشفير سريعة ومتقطعة، مما يعني أن الملفات تُقفل على دفعات بدلاً من أن تُقفل جميعها دفعة واحدة في عملية متواصلة واحدة. يتيح هذا النهج للمهاجمين تشفير أعداد كبيرة من الملفات بسرعة، مع زيادة صعوبة اكتشافها من قبل أدوات المراقبة التقليدية. كما تُمنح الملفات المشفرة امتدادات عشوائية، مما يعقّد جهود الاستعادة ويجعل من الصعب على المدافعين تحديد نطاق ما تأثر بسرعة.
النتيجة هي مأزق مزدوج للضحايا. حتى لو تمكنت مؤسسة من استعادة الأنظمة المشفرة من النسخ الاحتياطية وتجنبت الدفع مقابل مفتاح فك التشفير، فإن المهاجمين لا يزالون يحتفظون بالبيانات المسروقة ويمكنهم التهديد بتسريبها أو بيعها. هذه الرافعة الثانية هي بالضبط ما يجعل هذا النموذج فعالاً لمجموعات الفدية في جميع أنحاء الصناعة، وسبب استمرار منتسبي LockBit في الاعتماد عليه عبر بيئات Windows وLinux والبيئات الافتراضية.
لماذا أصبح تسريب البيانات هو التهديد الحقيقي الآن، وليس مجرد التشفير
من المغري التفكير في برامج الفدية كمشكلة تشفير ملفات في المقام الأول، وهو شيء تحلّه بالاحتفاظ بنسخ احتياطية جيدة. هذا التفكير يفوّت جوهر نقطة الضغط الحقيقية الآن. بمجرد مغادرة البيانات للشبكة، لا تلغي النسخ الاحتياطية التعرض. الملفات المسروقة، سواء كانت سجلات عملاء أو بيانات مالية أو مراسلات داخلية أو ملكية فكرية، هي في أيدي المهاجمين بالفعل، بغض النظر عما إذا كانت المؤسسة الضحية تدفع الفدية أم لا.
هذا التحول مهم لأنه يغيّر ما تعنيه "الاستعادة" فعلياً. استعادة الأنظمة من نسخة احتياطية نظيفة يعالج وقت التعطل التشغيلي، لكنه لا يفعل شيئاً لمنع نشر المعلومات الحساسة على موقع تسريب أو بيعها لجهات تهديد أخرى. تحتاج المؤسسات إلى التعامل مع تسريب البيانات باعتباره الخطر الأساسي الذي يجب التخطيط له، وليس فكرة لاحقة للتشفير.
خطوات التحصين: النسخ الاحتياطية، والتقسيم الشبكي، وضوابط الوصول
نظراً لنمط الهجوم هذا، تبرز بعض الأولويات الدفاعية المرتبطة بشكل خاص بكيفية عمل منتسبي LockBit 5.0:
- نسخ احتياطية مشفرة وغير متصلة بالإنترنت. يجب تشفير النسخ الاحتياطية في حالة السكون وإبقاؤها معزولة عن الشبكة الأساسية، ويفضل أن تكون نسخاً غير قابلة للتغيير أو مفصولة هوائياً، بحيث لا يمكن للمهاجمين الوصول إليها أو العبث بها حتى لو حصلوا على وصول واسع.
- تقسيم الشبكة. لأن المنتسبين ينقلون البيانات للخارج قبل التشفير، فإن الحد من مدى تنقل المتسلل عبر الشبكة بمجرد دخوله يقلل من حجم البيانات المعرضة للخطر وعدد الأنظمة التي يمكن ضربها في مرحلة التشفير.
- مراقبة عمليات نقل البيانات غير المعتادة. نظراً لأن أدوات الاستخراج مثل Rclone هي برمجيات شرعية يُساء استخدامها، يجب على فرق الأمن مراقبة أحجام النقل الصادرة الشاذة أو الاستخدام غير المألوف لأدوات مزامنة الملفات، وليس فقط توقيعات البرمجيات الخبيثة.
- ضوابط وصول صارمة. الحد من الحسابات والأنظمة التي يمكنها الوصول إلى البيانات الحساسة يقلل من مجموعة المعلومات المتاحة للسرقة حتى إذا اخترق المهاجم حساباً أولياً.
- تخطيط للاستجابة للحوادث يفترض حدوث سرقة بيانات. يجب أن تأخذ خطط الاستجابة في الحسبان بشكل واضح إمكانية نسخ البيانات للخارج قبل اكتشاف أي تشفير، بحيث لا تكون الالتزامات القانونية والتواصلية والتنظيمية فكرة لاحقة.
لا شيء من هذه التدابير غريب. المهم هو تطبيقها مع وضع نمط LockBit 5.0 المحدد في الاعتبار: تشفير سريع ومتقطع تسبقه سرقة بيانات هادئة.
ما يعنيه هذا لك
إذا كنت تدير تقنية المعلومات أو الأمن لمؤسسة من أي حجم، فإن الاستنتاج العملي هو أن الدفاع ضد برامج الفدية لا يمكن أن يتوقف عند منع التشفير. ينجح حدث الابتزاز المزدوج من LockBit 5.0 حتى ضد المؤسسات التي لديها ممارسات نسخ احتياطية قوية، لأن السرقة تحدث أولاً والرافعة لا تعتمد على التشفير وحده. مراجعة كيفية تقسيم البيانات الحساسة، ومن يمكنه الوصول إليها، وما إذا كانت عمليات النقل الصادرة مراقبة، لا تقل أهمية عن نظافة النسخ الاحتياطية في هذه المرحلة.
بالنسبة للأفراد، التعرض غير مباشر أكثر لكنه لا يزال حقيقياً. إذا تعرضت شركة شاركت معها بياناتك الشخصية لهذا النوع من الحملات، فقد ينتهي الأمر ببياناتك إلى التسريب بغض النظر عما إذا كانت تلك المؤسسة تدفع الفدية أم لا. إنه تذكير جيد بأن تكون انتقائياً بشأن البيانات الشخصية التي تشاركها مع الخدمات، ومراقبة إشعارات الاختراق المرتبطة بالشركات التي تستخدمها.
النقاط الرئيسية
يُذكّرنا استمرار نشاط LockBit 5.0 بأن عمليات الفدية كخدمة تتكيف بسرعة، ويجب أن تواكب الدفاعات ذلك. لتقليل المخاطر من هذا النوع من الحملات:
- الاحتفاظ بنسخ احتياطية مشفرة وغير متصلة أو غير قابلة للتغيير بحيث لا يمكن للمهاجمين الوصول إليها أو إتلافها
- تقسيم الشبكات بحيث لا يستطيع حساب واحد مخترق الوصول إلى البيئة بأكملها
- مراقبة عمليات نقل البيانات الصادرة غير المعتادة، وليس فقط توقيعات البرمجيات الخبيثة
- تطبيق ضوابط وصول صارمة وفق مبدأ الحاجة إلى المعرفة على البيانات الحساسة
- بناء خطط استجابة للحوادث تفترض أن تسريب البيانات حدث قبل اكتشافها
للحصول على المزيد من المعلومات حول كيفية إعادة LockBit بناء عملياته بعد تفكيك أجهزة إنفاذ القانون وما الذي تغير في أحدث إصدار له، اقرأ شرحنا الكامل عن تطور LockBit 5.0.
