برمجية الفدية ميدوسا تستهدف البنية التحتية الحيوية على نطاق واسع
عملية تُعرف باسم ميدوسا تعمل بنظام البرمجيات الخبيثة كخدمة قد اخترقت أكثر من 300 منظمة عبر قطاعات البنية التحتية الحيوية، وفقًا لنشرة استشارية مشتركة من وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومكتب التحقيقات الفيدرالي (FBI) ووزارة الصحة والخدمات الإنسانية. الضحايا يشملون قطاعات الرعاية الصحية والتصنيع والتعليم والتكنولوجيا، وهي صناعات يمكن أن يؤدي فيها اختراق ناجح واحد إلى تعطيل رعاية المرضى أو سلاسل التوريد أو الخدمات الأساسية لأسابيع.
ما يجعل ميدوسا جديرة بالملاحظة ليس فقط نطاق وصولها، بل تكتيكات الضغط المتعددة الطبقات التي يستخدمها شركاؤها لعصر الأموال من الضحايا لفترة طويلة بعد الاختراق الأولي، بالإضافة إلى المؤشرات المقلقة على أن بعض الضحايا يتعرضون للابتزاز أكثر من مرة لنفس الهجوم.
كيف يعمل نموذج الابتزاز المزدوج في ميدوسا
مثل العديد من عمليات برمجيات الفدية الحديثة، لا تكتفي ميدوسا بتشفير الملفات فقط. فهي أولًا تسرق البيانات الحساسة، ثم تهدد بنشرها علنًا ما لم يدفع الضحية. هذا هو الأسلوب القياسي للابتزاز المزدوج: ادفع لفك تشفير بياناتك، وادفع مرة أخرى (أو بدلًا من ذلك) لمنع تسربها على الإنترنت.
تضيف ميدوسا لمسة نفسية إلى حملة الضغط هذه. فالمجموعة حسب التقارير تقدم للضحايا خيار دفع مبلغ إضافي لتأخير العد التنازلي قبل إصدار البيانات المسروقة، مما يحول الذعر الناتج عن الموعد النهائي الموشك إلى مصدر ربح. إنها تفصيلة صغيرة، لكنها توضح كيف يعامل مشغلو برمجيات الفدية الابتزاز كعمل تجاري بفئات تسعير، وليس مجرد إنذار واحد.
احتمال وجود تحول نحو الابتزاز الثلاثي
النتيجة الأكثر إثارة للقلق من تحقيقات مكتب التحقيقات الفيدرالي تتعلق بما يحدث بعد أن يدفع الضحية بالفعل. في حالة واحدة على الأقل، تواصلوا مع ضحية كانت قد دفعت فدية، وهذه المرة من قبل جهة فاعلة مختلفة مرتبطة بميدوسا تطالب بدفع مبلغ آخر مقابل "أداة فك التشفير الحقيقية". هذا يعني أن الدفعة الأولى إما لم تسفر عن أداة فك تشفير تعمل أو تم تحصيلها من قبل شريك منفصل تمامًا.
هذا يطرح احتمالين مزعجين يدرسهما المحققون: إما أن شركاء ميدوسا يديرون مخططًا غير رسمي للابتزاز الثلاثي، يعصرون نفس الضحية عدة مرات، أو أن هيكل البرمجيات الخبيثة كخدمة أصبح منسقًا بشكل فضفاض لدرجة أن جهات فاعلة مختلفة تحاول بشكل مستقل الربح من نفس الاختراق دون احترام المدفوعات السابقة. في كلتا الحالتين، الدرس للضحايا هو نفسه: لا يوجد ضمان بأن دفع فدية لمجموعة برمجيات فدية يحل الحادث فعليًا، والمنظمات التي تدفع قد تواجه طلبات متكررة.
لماذا تستمر البنية التحتية الحيوية في التعرض للهجمات
تظل منظمات البنية التحتية الحيوية أهدافًا جذابة لأنها غالبًا ما تشغل مزيجًا من الأنظمة القديمة وتقنية المعلومات الحديثة مع طاقم أمني محدود، ولأن تعطيل الخدمات يخلق ضغطًا عاجلاً للدفع بسرعة. مقدمي الرعاية الصحية على وجه الخصوص يواجهون عواقب تهدد الحياة والسلامة إذا تعطلت الأنظمة، وهو ما تفهمه مجموعات برمجيات الفدية وتستغله عند تحديد المواعيد النهائية ومبالغ الفدية.
حجم حملة ميدوسا، أكثر من 300 ضحية مؤكد، يعكس أيضًا كيف خفضت البرمجيات الخبيثة كخدمة حاجز الدخول. الشركاء لا يحتاجون إلى بناء برمجياتهم الخبيثة أو بنيتهم التحتية الخاصة؛ بل يستأجرون الوصول إلى مجموعة أدوات وإطار تفاوض قائمين، وهذا جزء من سبب قدرة هجمات مثل هذه على التوسع لتشمل مئات المنظمات بدلاً من حفنة من الأهداف البارزة.
ماذا يعني هذا بالنسبة لك
إذا كنت تعمل في أو تعتمد على خدمات من مستشفى أو نظام مدرسي أو شركة تصنيع أو مرافق عامة، فإن هذه الحملة تذكير بأن برمجيات الفدية ليست تهديدًا مجردًا محصورًا في عناوين الأخبار عن الشركات الكبرى. إنها تضرب بنشاط المنظمات التي تدير سجلاتك الصحية وبيانات مدرسة طفلك والبنية التحتية التي تعتمد عليها يوميًا.
بالنسبة للأفراد، الخطر العملي هو تعرض البيانات الشخصية للكشف إذا أصبحت منظمة تتعامل معها ضحية لميدوسا ورفضت أو عجزت عن الدفع. بالنسبة لفرق تقنية المعلومات والأمن في المنظمات التي قد تكون معرضة للخطر، فإن نتائج مكتب التحقيقات الفيدرالي حول طلبات الابتزاز المتكررة هي حجة قوية ضد افتراض أن الدفع يضمن الحل. تخطيط النسخ الاحتياطي والاسترداد الذي لا يعتمد على تعاون المهاجم يظل المسار الأكثر موثوقية للمضي قدمًا.
من الجدير أيضًا التذكر أن أمن الشبكات هو مشكلة متعددة الطبقات. أدوات مثل الشبكات الخاصة الافتراضية (VPN) تُستخدم بشكل شائع لتأمين الوصول عن بُعد إلى الأنظمة الحيوية، لكنها ليست محصنة ضد التعطيل أو إساءة الاستخدام بنفسها، كما رأينا في حالات غير مرتبطة لكنها مفيدة مثل تجميد روسيا لعرض النطاق الترددي للإنترنت لحظر الوصول إلى الشبكات الخاصة الافتراضية، حيث أصبحت البنية التحتية للوصول نفسها نقطة تحكم. أي أداة واحدة، سواء كانت شبكة خاصة افتراضية أو جدار حماية أو نظام نسخ احتياطي، هي مجرد طبقة واحدة في استراتيجية دفاع أوسع.
خلاصات قابلة للتنفيذ
- يجب على المنظمات في قطاعات البنية التحتية الحيوية أن تفترض أنها أهداف محتملة بغض النظر عن الحجم، وأن تعطي الأولوية للنسخ الاحتياطية غير المتصلة بالإنترنت والمختبرة على دفع الفدية كخطة استرداد.
- لا تفترض أن دفع فدية ميدوسا ينهي الحادث؛ فقد وثق مكتب التحقيقات الفيدرالي حالات لطلبات متكررة بعد الدفع.
- يجب على الأفراد مراقبة الحسابات ونشاط الائتمان إذا تم إخطارهم بأن منظمة تحتفظ ببياناتهم تعرضت لاختراق.
- يجب على فرق تقنية المعلومات مراجعة تفاصيل النشرة الاستشارية المشتركة من CISA ومكتب التحقيقات الفيدرالي حول تكتيكات ميدوسا وتطبيق التخفيفات الموصى بها، بما في ذلك تصحيح الثغرات المستغلة المعروفة وفرض المصادقة متعددة العوامل.
صعود ميدوسا إلى أكثر من 300 ضحية يُظهر أن مجموعات البرمجيات الخبيثة كخدمة تصقل تكتيكات الابتزاز الخاصة بها أسرع مما تصقل العديد من المنظمات دفاعاتها. البقاء على اطلاع حول كيفية عمل هذه الحملات، وتخطيط الاسترداد حول المرونة بدلاً من دفع الفدية، يظل الطريقة الأكثر موثوقية لتقليل الضرر عند حدوث هجوم وليس إذا حدث.
