مفترس ثانٍ يحوم حول نفس الضحايا
الوقوع ضحية لبرمجية فدية أمر سيء بما فيه الكفاية. الآن أصبح هناك جهة تهديد تطلق على نفسها اسم "Ransom Busters" تجد طريقة لتحقيق الربح من نفس الضحايا مرتين. وفقًا للتقارير حول هذا المخطط، تقوم هذه المجموعة بالتواصل مع المؤسسات التي تعرضت بالفعل لهجوم برمجية فدية وتعرض "حذف" بياناتها المسروقة، مقابل مبلغ يتراوح بين 20 ألف دولار و60 ألف دولار.
يبدو العرض سطحيًا وكأنه مفيد: ادفع لنا، وسنضمن ألا تظهر ملفاتك المسروقة علنًا أو يتم بيعها. في الواقع، لم يجد الباحثون الذين حللوا أدوات المجموعة وبنيتها التحتية سوى القليل مما يشير إلى أن الدفع يضمن أي شيء على الإطلاق. يبدو أن احتيال Ransom Busters ليس خدمة استرداد بقدر ما هو محاولة ابتزاز ثانية مبنية فوق الأولى.
كيف يعمل مخطط Ransom Busters
يشير التحليل الأمني لنشاط المجموعة إلى نمط تم توثيقه الآن عبر تقارير متعددة: تقدم Ransom Busters نفسها كطرف ثالث لديه وصول إلى خوادم عصابة برمجيات الفدية، مدعية أنها تستطيع التدخل نيابة عن الضحية. في بعض الحالات، يبدو أن المجموعة عبارة عن كيان تابع يعمل داخل نفس نظام برمجيات الفدية الذي تدعي محاربته، وليس جهة إنقاذ خارجية.
حدد الباحثون الذين فحصوا الأدوات المستخدمة في هذه الأساليب مؤشرات برمجيات خبيثة وتداخلات في البنية التحتية تشير إلى استمرارية مع عمليات برمجيات الفدية القائمة وليس خدمة استرداد مستقلة حقًا. بعبارة أخرى، قد يكون الأشخاص الذين يعرضون "حذف" بياناتك المسروقة قد ساهموا في سرقتها في المقام الأول، أو على الأقل يحافظون على علاقات وثيقة مع من فعلوا ذلك.
هذا مهم لأنه يغير الحسابات بالنسبة للضحايا تمامًا. الدفع بحسن نية لشركة استجابة للحوادث شرعية شيء، والدفع لكيان قد لا يزال يتحكم في ملفاتك المسروقة، أو ليس لديه قدرة حقيقية على ضمان الحذف، شيء آخر تمامًا. كما ورد في التغطية حول كيف تختبئ شركات الاسترداد الوهمية خلف احتيال برمجيات الفدية، لا توجد آلية قابلة للتحقق لتأكيد أن البيانات قد دُمرت فعليًا بمجرد انتقال دفعة بأسلوب الفدية من الأيدي.
لماذا لا يضمن الدفع أي شيء
المشكلة الأساسية في أي عرض ادفع مقابل الحذف، سواء من المهاجم الأصلي أو طرف ثالث مفترض مثل Ransom Busters، هي التحقق. بمجرد مغادرة البيانات المسروقة لشبكة المؤسسة، لا يمكن للضحية تأكيد ما يحدث لها بعد ذلك. لقطة شاشة لمجلد محذوف أو تأكيد شفهي ليس دليلًا. يمكن إنشاء نسخ قبل حدوث أي "حذف"، ولا يوجد مدقق مستقل يتحقق من امتثال مجموعة إجرامية لاتفاقية الدفع.
هذا اتجاه أشار إليه خبراء الأمن لسنوات مع مدفوعات برمجيات الفدية التقليدية، وينطبق بقوة أكبر هنا. تطلب Ransom Busters أساسًا من الضحايا أن يثقوا بكيان يعتمد نموذج أعماله بالكامل على كون الضحايا في حالة يأس بالفعل، بعد أن مروا للتو بحدث ابتزاز واحد والآن يواجهون طلبًا ثانيًا من طرف يدعي تقديم الإغاثة. اتجاه التحذير الذي يشير إليه الباحثون واضح ومباشر: اقتصاد الابتزاز يتنوع، مع فاعلين جدد يجدون طرقًا لاستغلال خوف الضحايا حتى بعد انتهاء الهجوم الأصلي.
ماذا يعني هذا بالنسبة لك
إذا تعرضت مؤسستك لحادث برمجية فدية، وتواصل معك شخص ما بعد ذلك، سواء عبر البريد الإلكتروني أو بوابة الويب المظلم أو رسالة مباشرة، يعرض حذف البيانات المسروقة مقابل رسوم، تعامل مع هذا التواصل بنفس الشك الذي قد تطبقه على رسالة الفدية الأصلية. لا توجد طريقة موثوقة للتحقق من الادعاء، والدفع لا يخلق أي ضمان قابل للتنفيذ.
الطريق الأكثر أمانًا هو تمرير أي اتصال من هذا القبيل عبر فريق الاستجابة للحوادث الخاص بك أو شركة أمن سيبراني موثوقة بدلاً من التفاوض مباشرة. عادةً ما تكون وكالات إنفاذ القانون التي تتعامل مع قضايا برمجيات الفدية على دراية بمخططات الابتزاز الثانوية مثل هذه ويمكنها المساعدة في تقييم ما إذا كان نهج معين ذو مصداقية أم مجرد زاوية أخرى على نفس الهجوم.
خلاصات قابلة للتنفيذ
- لا تتعامل مع أي عرض "حذف بيانات" بعد الاختراق على أنه شرعي دون تحقق مستقل من فريق الأمان أو الفريق القانوني لديك.
- أبلغ السلطات عن التواصل من مجموعات مثل Ransom Busters بدلاً من التفاوض بشكل أحادي.
- افترض أن أي بيانات تم استخراجها بالفعل في هجوم برمجية فدية يجب التعامل معها على أنها مكشوفة بشكل دائم، بغض النظر عن أي دفعة تتم بعد ذلك.
- عزز ممارسات النسخ الاحتياطي والكشف الآن بحيث يصبح حدث برمجية الفدية الأول، والابتزاز اللاحق الذي يجتذبه، أقل احتمالًا في المقام الأول.
ظهور مخططات مثل Ransom Busters هو تذكير بأن أعقاب برمجيات الفدية يمكن أن تكون بنفس خطورة الهجوم الأولي. البقاء متشككًا تجاه أي شخص يعرض طريقًا مختصرًا للعودة إلى الأمان، خاصة مقابل ثمن، يظل أفضل دفاع.
