استراتيجية فدية جديدة تتبلور

تحليل حديث لمشهد برمجيات الفدية يصف تحولاً ملحوظاً في استراتيجية المهاجمين: فبدلاً من استهداف شركة واحدة بعناية في كل مرة، تحاول بعض المجموعات الآن ما يسميه التقرير "القمع المساحي"، حيث تخترق مجموعة كاملة من الشركات الصغيرة والمتوسطة المترابطة في حملة واحدة. هذا تطور مهم في كيفية تنفيذ هجمات سلسلة التوريد ببرمجيات الفدية، وله أهمية خاصة بالنسبة للاقتصادات القائمة على علاقات التعاقد من الباطن المتعددة الطبقات، حيث يشير التحليل إلى أن هيكل الأعمال الهرمي في اليابان يمثل أرض صيد جذابة بشكل خاص.

المنطق وراء القمع المساحي واضح ومباشر من وجهة نظر المهاجم. فبدلاً من إنفاق الوقت والموارد لاختراق هدف واحد محصن جيداً، لماذا لا يتم تحديد شبكة من الشركات الأصغر والأقل حماية التي تصب جميعها في نفس سلسلة التوريد، واختراق أكبر عدد ممكن منها دفعة واحدة؟ كل ضحية إضافية تزيد من احتمالات الحصول على فدية، والطبيعة المترابطة لشبكات التعاقد من الباطن تعني أن نقطة دخول واحدة يمكن أن تفتح الأبواب لعشرات الشركاء في المراحل اللاحقة أو السابقة.

ماذا يعني "القمع المساحي" للشركات الصغيرة والمتوسطة المترابطة

في حملات الفدية التقليدية الموجهة، يبحث المهاجمون عن منظمة معينة، ويفهمون دفاعاتها، ويصممون اختراقاً مصمماً خصيصاً لهذا الهدف الواحد. القمع المساحي يقلب هذا النموذج. يقوم المهاجمون برسم خريطة للنظام البيئي للأعمال، وتحديد الشركات الأصغر التي تدعم المتعاقدين الرئيسيين الكبار، ويعاملون الشبكة بأكملها كسطح هجوم واحد.

هذا مهم لأن الشركات الصغيرة والمتوسطة في سلاسل التعاقد من الباطن غالباً ما تفتقر إلى الموظفين الأمنيين المتخصصين أو الميزانية أو أدوات المراقبة التي تحتفظ بها المؤسسات الأكبر. يعتمد الكثيرون على أدوات الوصول عن بُعد، أو بيانات اعتماد مشتركة، أو تكوينات VPN تم إعدادها منذ سنوات ونادراً ما يتم تدقيقها. في هيكل أعمال هرمي، حيث يتصل العشرات أو المئات من الموردين الصغار بعدد قليل من المتعاقدين الرئيسيين، فإن هذا يخلق بالضبط نوع البيئة منخفضة الاحتكاك التي يحسن المهاجمون الآن الاستفادة منها.

كيف يتحرك المهاجمون أفقياً عبر شبكات المتعاقدين من الباطن

بمجرد الدخول إلى جزء واحد من مجموعة التعاقد من الباطن، لا يحتاج المهاجمون إلى إعادة ابتكار نهجهم لكل هدف جديد. علاقات البائعين المشتركة، وبرامج الوصول عن بُعد الشائعة، وترتيبات دعم تكنولوجيا المعلومات المتداخلة تعني أن بيانات الاعتماد أو موطئ القدم الذي يتم الحصول عليه في شركة واحدة يمكن في كثير من الأحيان إعادة استخدامه أو تكييفه للوصول إلى التالية. حساب VPN مخترق، أو خدمة سطح مكتب عن بُعد مكشوفة، أو اتصال شبكة موثوق بين متعاقد من الباطن وشركته الأم، كلها يمكن أن تكون بمثابة نقاط ارتكاز للتنقل.

هذه الحركة الأفقية هي النسيج الضام الذي يحول الاختراق الفردي إلى سلسلة متتالية. يصبح فهم كيفية تطور هذا من الوصول الأولي إلى الاختراق الكامل أسهل عندما تنظر إلى دورة حياة هجوم الفدية ككل. يشرح موضوع الابتزاز المزدوج كيف ينتقل المهاجمون عادةً من موطئ القدم الأولي إلى سرقة البيانات إلى التشفير، وهو تسلسل يصبح أكثر ضرراً بكثير عندما يحدث عبر عدة شركات متصلة بدلاً من شركة واحدة فقط.

أين يتناسب الابتزاز المزدوج والتهرب من EDR في الهجمات المتتالية

لا تتخلى حملات القمع المساحي عن التكتيكات التي جعلت برمجيات الفدية مربحة للغاية في السنوات الأخيرة. الابتزاز المزدوج، حيث يسرق المهاجمون البيانات قبل تشفيرها ويهددون بتسريبها إذا لم تُدفع الفدية، لا يزال سارياً، ويمكن القول إنه يصبح أكثر قوة عندما تتعرض عدة شركات في نفس سلسلة التوريد للهجوم في وقت واحد. يمكن للتسريب الذي يشمل عدة شركات مرتبطة أن يخلق ضغطاً ليس فقط على الضحايا الأفراد ولكن على المتعاقدين الرئيسيين الكبار الذين تعتمد سمعتهم وعقودهم على بقاء شركائهم آمنين.

كما تعتمد عمليات الفدية الحديثة بشكل متزايد على تقنيات مصممة لتعطيل أو تعمية أدوات الكشف عن نقطة النهاية والاستجابة لها (EDR) قبل نشر حمولتها النهائية. كما هو موضح في المقال حول أطر الفدية القاتلة لـ EDR، تحول المهاجمون نحو تعطيل أدوات الأمان كخطوة أولى محسوبة بدلاً من التسابق ضدها. في سيناريو القمع المساحي، تصبح خطوة التهرب هذه أكثر قيمة، لأنها تتيح للمهاجمين التحرك عبر شبكات شركات صغيرة ومتوسطة متعددة ضعيفة المراقبة مع فرصة أقل للاكتشاف المبكر.

ماذا يعني هذا بالنسبة لك

إذا كان عملك يعمل كجزء من سلسلة توريد، سواء كمتعاقد من الباطن، أو بائع، أو متعاقد رئيسي، فأنت الآن عقدة في شبكة يقوم المهاجمون برسم خرائطها بنشاط. قوة دفاعاتك لم تعد تحميك وحدك فقط. إنها تؤثر على كل شريك متصل بك. بوابة VPN واحدة غير محدثة أو بيانات اعتماد وصول عن بُعد مُعاد استخدامها يمكن أن تصبح نقطة دخول لهجوم متسلسل ينتشر إلى ما هو أبعد من أنظمتك الخاصة.

هذا مهم بشكل خاص لأصحاب الشركات الصغيرة والمتوسطة الذين قد يفترضون أن شركتهم "أصغر من أن تكون هدفاً". في ظل نموذج القمع المساحي، كونك صغيراً ليس حماية. إنه غالباً سبب اختيارك.

دفاعات عملية يجب على مالكي الشركات الصغيرة والمتوسطة تنفيذها الآن

يمكن لبعض الخطوات الملموسة أن تقلل بشكل كبير من التعرض لهجمات سلسلة توريد برمجيات الفدية:

  • تدقيق كل نقطة وصول عن بُعد، بما في ذلك شبكات VPN، وRDP، وأدوات دعم الطرف الثالث، وإزالة أو تحديث أي شيء قديم.
  • طلب المصادقة متعددة العوامل على جميع حسابات الوصول عن بُعد والحسابات الإدارية، خاصة تلك المشتركة مع البائعين أو المتعاقدين.
  • تجزئة الشبكات بحيث لا يوفر الاختراق لدى أحد المتعاقدين من الباطن طريقاً تلقائياً إلى مؤسسات الشركاء.
  • الاحتفاظ بنسخ احتياطية غير متصلة بالإنترنت ومختبرة بحيث لا يمكن للتشفير وحده فرض قرار الفدية.
  • اسأل شركاء عملك والمتعاقدين الرئيسيين عن ممارساتهم الأمنية، لأن المخاطر الخاصة بك أصبحت الآن مرتبطة بمخاطرهم.

أظهرت مجموعات الفدية أنها مستعدة لتحويل نهجها إلى نهج صناعي، حيث تتعامل مع أنظمة بيئية كاملة للأعمال كهدف واحد بدلاً من اصطياد الشركات واحدة تلو الأخرى. فهم هذا التحول، واتخاذ الخطوات الدفاعية الأساسية الموضحة أعلاه، هو أوضح طريق للشركات الصغيرة والمتوسطة لتجنب أن تصبح الحلقة الضعيفة التي تسقط سلسلة توريد بأكملها.