برمجية LockBit للفدية لم تختفِ، بل تكيفت
لسنوات، عملت برمجية LockBit للفدية كواحدة من أكثر عمليات الفدية كخدمة (RaaS) انتشارًا في العالم، حيث تؤجر أدوات التشفير والبنية التحتية لشبكة من الشركاء الذين ينفذون الهجمات مقابل حصة من الفدية. عندما شنت وكالات إنفاذ القانون عملية كرونوس، وهي جهد دولي لإسقاط البنية التحتية استهدف خوادم LockBit ومواقع التسريب وبنية الشركاء، افترض الكثيرون أن عهد المجموعة قد انتهى. بدلاً من ذلك، عادت العملية للظهور مع LockBit 5.0، وهو إصدار محدث من البرمجية الخبيثة يعكس الدروس المستفادة من التعطيل.
فهم كيفية عمل برمجية الفدية هذه، وكيف تغيرت، مهم خارج نطاق أقسام تقنية المعلومات. هجمات برمجيات الفدية تكشف بشكل روتيني سجلات العملاء وبيانات الموظفين وملفات الأعمال السرية، مما يعني أن تداعيات الاختراق الناجح غالبًا ما تصبح حادثة خصوصية لكل من خُزنت معلوماته على الشبكة المخترقة.
كيف تعمل LockBit كعمل تجاري قائم على نموذج الفدية كخدمة (RaaS)
تعمل LockBit بشكل أقل شبهاً بمجموعة قرصنة واحدة وأكثر شبهاً بامتياز إجرامي. يحتفظ المطورون الأساسيون ببرمجية التشفير الخبيثة ويتفاوضون على البنية التحتية، بينما يتولى الشركاء المستقلون الاختراق الفعلي، متنقلين عبر شبكة الضحية، وسارقين البيانات، وناشرين حمولة برمجية الفدية. نظرًا لأن العديد من الشركاء المختلفين يستخدمون أدوات LockBit نفسها، يمكن لمصطلح "هجوم LockBit" أن يصف أساليب وسلوكيات اختراق مختلفة تمامًا اعتمادًا على الشريك الذي نفذه.
هذا النموذج القائم على الشركاء هو ما جعل LockBit مستمرة للغاية. حتى عند اعتقال أفراد معينين أو الاستيلاء على البنية التحتية، كما حدث أثناء عملية كرونوس، يمكن للشبكة الأوسع من الشركاء وسمعة علامة LockBit التجارية أن تستمر بعد أي حملة قمع واحدة. هذا جزء من سبب ظهور LockBit 5.0 بدلاً من اختفاء المجموعة ببساطة.
تتبع معظم اختراقات LockBit نموذج الابتزاز المزدوج: يقوم المهاجمون أولاً بنسخ الملفات الحساسة، ثم تشفير الأنظمة، وأخيرًا يهددون بنشر البيانات المسروقة ما لم تُدفع الفدية. هذا هو أسلوب الضغط نفسه الذي شوهد في حوادث ابتزاز بارزة أخرى، مثل الحالة التي ادعى فيها مخترق يستخدم الاسم المستعار "888" سرقة 35 غيغابايت من شيفرة مصدرية لشركة Accenture، مما يوضح كيف تتحول بيانات الشركات المسروقة إلى وسيلة ضغط حتى دون إشراك تشفير برمجيات الفدية.
ما الذي غيرته عملية كرونوس، وما الذي يأتي به LockBit 5.0
عطلت عملية كرونوس مواقع التسريب والبنية التحتية الخلفية لـ LockBit، مما أجبر المجموعة على إعادة بناء الثقة مع الشركاء وإظهار أنها لا تزال قادرة على العمل بفعالية. يمثل LockBit 5.0 جهد إعادة البناء هذا: نسخة مطورة من البرمجية الخبيثة صُممت للالتفاف على دروس الأمن التشغيلي المستفادة من عملية الإسقاط.
بالنسبة للمدافعين، الفكرة الأساسية ليست التعديلات التقنية المحددة في إصدار برمجية خبيثة جديد، بل النمط. عمليات برمجيات الفدية التي تتعرض للتعطيل نادرًا ما تختفي بالكامل. إنها تغير علامتها التجارية، وتعالج نقاط ضعفها، وتعود بأدوات محدثة. إن اعتبار إسقاط تطبيق القانون نهاية للتهديد خطأ؛ تحتاج المؤسسات إلى افتراض أن العمليات على غرار LockBit، سواء أدارتها المجموعة الأصلية أم شركاء مقلدون يستخدمون أدوات بناء مسربة، ستستمر في استهداف الشبكات ذات الدفاعات الضعيفة.
الاكتشاف، والاستجابة، والتعافي
نظرًا لأن شركاء LockBit يختلفون في تقنياتهم، لا يوجد إجراء تحكم واحد يمنع كل هجوم. يعتمد الدفاع الفعال على وضع طبقات من الحماية المتعددة:
- الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت ومختبرة بحيث يمكن استعادة الأنظمة المشفرة دون دفع فدية
- فرض المصادقة متعددة العوامل على نقاط الوصول عن بُعد، نظرًا لأن بيانات الاعتماد المخترقة تظل طريق دخول شائعًا للشركاء
- تصحيح الأنظمة المواجهة للإنترنت بسرعة، حيث تُستغل الثغرات غير المصححة بشكل متكرر للوصول الأولي
- نشر أدوات كشف على نقاط النهاية قادرة على رصد الحركة الجانبية وتصعيد الامتيازات التي تسبق التشفير عادةً
- تقسيم الشبكات بحيث لا يستطيع جهاز واحد مخترق الوصول بسهولة إلى الأنظمة الحيوية أو مستودعات النسخ الاحتياطي
يوفر الاكتشاف السريع أثناء مرحلة نسخ البيانات، قبل بدء التشفير، أفضل فرصة للحد من الضرر وتجنب عملية تعافٍ مكلفة.
ما يعنيه هذا بالنسبة لك
حتى لو لم تكن مسؤول تقنية معلومات، فإن نشاط LockBit يؤثر عليك بشكل غير مباشر. هجمات برمجيات الفدية ضد المستشفيات وتجار التجزئة ومقدمي الخدمات والهيئات الحكومية تكشف بشكل روتيني البيانات الشخصية للعملاء والمرضى الذين لم يكن لهم دور في الاختراق. إذا كشفت شركة تتعامل معها عن حادثة برمجيات فدية، تعامل معها بجدية: راقب حساباتك بحثًا عن نشاط غير معتاد، وغير كلمات المرور المُعاد استخدامها، واحذر من محاولات التصيد التي تشير إلى الاختراق. بالنسبة للشركات، ظهور LockBit 5.0 هو تذكير بأن إجراء إنفاذ القانون السابق ضد مجموعة برمجيات فدية ليس ضمانًا للسلامة على المدى الطويل.
خلاصات قابلة للتنفيذ
- افترض أن مجموعات برمجيات الفدية التي عطلتها سلطات إنفاذ القانون قد تعود تحت إصدارات جديدة، لا تخذل حذرك
- أعطِ الأولوية للنسخ الاحتياطية غير المتصلة بالإنترنت والمصادقة متعددة العوامل كحمايات أساسية ضد هجمات الفدية كخدمة
- إذا تم إخطارك باختراق يشمل LockBit أو برمجيات فدية مماثلة، راقب حساباتك الشخصية وكن متنبهًا لمحاولات التصيد اللاحقة
- ابقَ على اطلاع على تكتيكات برمجيات الفدية المتطورة، نظرًا لأن العمليات القائمة على الشركاء مثل LockBit تكيف أساليبها باستمرار
تبقى برمجية LockBit للفدية واحدة من أوضح الأمثلة على مدى مرونة وقابلية تكيف عمليات الجريمة الإلكترونية الحديثة. يبقى البقاء على اطلاع على كيفية تطور هذه المجموعات، واتخاذ خطوات دفاعية عملية، الطريقة الأكثر فعالية لتقليل المخاطر على كل من المؤسسات والأفراد الذين تحتفظ ببياناتهم.
