وجدت أبحاث جديدة تفحص البنية التحتية التقنية وراء عدة عمليات فدية رئيسية، بما في ذلك INC Ransom و Lynx و MedusaLocker والنشاط المرتبط بـ LockBit، أنه على الرغم من العمل تحت أسماء تجارية مختلفة، تعتمد هذه المجموعات على أنماط هجوم متشابهة بشكل لافت. وهذا الاتساق مهم لأي شخص يحاول فهم برامج الفدية، لأنه يعني أن الأدوات والتكتيكات التي يستخدمها المدافعون للإيقاع بعصابة واحدة غالبًا ما تنجح ضد عدة عصابات أخرى في الوقت نفسه.
بنية تحتية مشتركة وراء علامات تجارية مختلفة لبرامج الفدية
غالبًا ما تُغطى برامج الفدية كما لو أن كل مجموعة مُسمّاة هي مؤسسة إجرامية منفصلة تمامًا ولديها كتاب لعب فريد خاص بها. والواقع الذي كشفته هذه الأبحاث أكثر فوضوية، ومن بعض النواحي أكثر فائدة للدفاع. فمن خلال تتبع البنية التحتية، أي الخوادم وقنوات القيادة والتحكم وأنظمة التجهيز، المستخدمة في الهجمات المرتبطة بـ INC Ransom و Lynx و MedusaLocker و LockBit، وجد الباحثون بصمات تقنية متكررة عبر حملات يُفترض أنها غير مترابطة.
يعكس هذا التداخل اتجاهًا أوسع ظاهرًا بالفعل في مكان آخر من منظومة برامج الفدية. وكما ورد في التغطية حول كيفية وصول مجموعات برامج الفدية إلى رقم قياسي بلغ 93 جماعة نشطة، فقد تفكك العالم الإجرامي السفلي إلى عدد كبير من العمليات المُسمّاة حتى مع إعادة استخدام أو مشاركة التقنيات الأساسية، وفي بعض الحالات البنية التحتية الفعلية. وغالبًا ما يتنقل المنتسبون إلى برامج الفدية كخدمة بين العلامات التجارية، كما أن مجموعات الأدوات المسرّبة أو المعاد بيعها تعني أن "المجموعات" المختلفة قد تبدو متشابهة كثيرًا من الداخل.
السرقة أولًا، التشفير لاحقًا: معيار الابتزاز المزدوج
أحد أوضح الأنماط التي برزت من البحث هو التوقيت. فقبل قفل أنظمة الضحية، تقوم معظم عمليات برامج الفدية المدروسة بتهريب البيانات الحساسة أولًا بهدوء. وغالبًا ما يكون التشفير، وهو الجزء من الهجوم الذي يُلاحظ لأن الأنظمة تتوقف فجأة عن العمل، الخطوة الأخيرة بدلًا من الأولى.
هذا التسلسل هو العمود الفقري للابتزاز المزدوج: يسرق المهاجمون البيانات بهدوء، ثم يشفرون الملفات، ثم يهددون بتسريب البيانات المسروقة علنًا إذا لم تُدفع الفدية. وهذا يمنح الضحايا سببين منفصلين للدفع، ويمنح المهاجمين نفوذًا حتى لو تمكنت الشركة من استعادة أنظمتها من النسخ الاحتياطية دون دفع مقابل مفتاح فك التشفير. وقد أصبح هذا التكتيك معياريًا لدرجة أن غيابه سيكون الآن استثناءً وليس القاعدة، وهو يتماشى مع نتائج منفصلة حول كيفية تحوّل تكتيكات الابتزاز مع وصول مدفوعات الفدية إلى مستويات قياسية منخفضة، مما يدفع المجموعات نحو تكتيكات ضغط أكثر قسوة عندما يرفض الضحايا الدفع.
لماذا أصبح الاكتشاف المبكر الآن أفضل دفاع
لأن سرقة البيانات تحدث عادة قبل التشفير بوقت طويل، غالبًا ما تكون هناك نافذة، تمتد أحيانًا لأيام أو أسابيع، يكون فيها الاختراق جاريًا لكنه لم يتحول بعد إلى أزمة كاملة. أنماط البنية التحتية المحددة في هذا البحث تمنح المدافعين وسيلة لرصد تلك النافذة: سلوك القيادة والتحكم المتكرر، وتقنيات التجهيز، وبصمات الشبكة التي تظهر عبر نشاط INC Ransom و Lynx و MedusaLocker والنشاط المرتبط بـ LockBit.
هذا مهم لأن الاختراق الأولي أصبح بشكل متزايد الحلقة الأضعف التي يستغلها المهاجمون. وجدت أبحاث منفصلة غُطيت على هذا الموقع أن 79% من حوادث برامج الفدية تبدأ ببيانات اعتماد مسروقة بدلًا من استغلالات متطورة. وبالجمع بين ذلك وبنية تحتية تتصرف بشكل متوقع بمجرد دخول المهاجمين، تتشكل صورة أوضح: معظم هجمات برامج الفدية ليست ضربات خارقة لا يمكن إيقافها من نوع ثغرة اليوم صفر. إنها تعتمد على وصول مسروق وأدوات معاد استخدامها، وكلاهما يترك آثارًا قابلة للكشف إذا عرفت المؤسسات ما تبحث عنه.
ماذا يعني هذا لك
بالنسبة للمستخدمين العاديين، يذكّرنا هذا البحث بأن برامج الفدية نادرًا ما تظهر من العدم. فهي عادة تتبع كلمة مرور مسروقة، أو بريدًا تصيديًا، أو نقطة وصول عن بُعد مكشوفة، وعادة ما تسرق البيانات قبل وقت طويل من قفل أي شيء أو ظهور مطالبة الفدية. وبالنسبة للشركات وفرق تقنية المعلومات، الخلاصة أكثر مباشرة: يمكن لمراقبة أنماط البنية التحتية المشتركة بين عائلات برامج الفدية الكبرى أن تكتشف الاختراق خلال مرحلة سرقة البيانات، قبل حدوث التشفير أصلًا.
بالنسبة للأفراد، الدفاع العملي هو نفسه كما كان دائمًا: كلمات مرور فريدة، ومصادقة متعددة العوامل، والحذر من مطالبات تسجيل الدخول غير المتوقعة أو طلبات بيانات الاعتماد. تعتمد مجموعات برامج الفدية على الوصول المسروق للدخول من الباب، لذا فإن إغلاق نقطة الوصول تلك يزيل الكثير من ميزتها قبل أن تدخل تكتيكات البنية التحتية الأكثر تقدمًا حيز التنفيذ.
النقاط الرئيسية
- مجموعات برامج الفدية ذات الأسماء المختلفة غالبًا ما تشترك في بنية تحتية وتكتيكات أساسية، مما يعني أن أدوات الكشف المصممة لعصابة واحدة غالبًا ما تنطبق على غيرها.
- سرقة البيانات تحدث عادة قبل التشفير، مما يخلق نافذة اكتشاف يمكن للمدافعين التصرف بناءً عليها.
- تظل بيانات الاعتماد المسروقة نقطة دخول رئيسية، مما يجعل نظافة كلمات المرور والمصادقة متعددة العوامل من أكثر الدفاعات فعالية المتاحة.
- ينبغي للمؤسسات إعطاء الأولوية لمراقبة العلامات المبكرة للاختراق، وليس فقط المرحلة النهائية والأكثر وضوحًا من برامج الفدية.
إن فهم كيفية عمل البنية التحتية لبرامج الفدية فعليًا، بدلًا من التعامل مع كل هجوم كحدث معزول، يمنح الأفراد والمؤسسات على حد سواء مسارًا أوضح لالتقاط التهديدات قبل أن تتصاعد. والبقاء على اطلاع بهذه الأنماط المشتركة هو أحد أبسط الطرق للبقاء متقدمين بخطوة.
