طريقة أكثر هدوءًا لتعمية دفاعاتك
لطالما حاول مشغلو برامج الفدية تعطيل برامج الأمان قبل شن الهجوم، بإغلاق أدوات مكافحة الفيروسات، ووكلاء اكتشاف النقاط الطرفية والاستجابة (EDR)، وخدمات النسخ الاحتياطي بحيث لا يقف شيء في طريق التشفير. لكن جيلًا أحدث من الأدوات، يُطلق عليه أحيانًا "أدوات قتل برامج الفدية"، يتّبع نهجًا أكثر دقة. فبدلاً من إنهاء عملية الأمان بالكامل، تقوم هذه الأدوات بالكتابة جراحيًا فوق ذاكرة العملية مع ترك التطبيق قيد التشغيل تقنيًا.
الفرق هنا أهم مما قد يبدو. عندما تُقتل عملية أمان، فإنها تختفي عادةً من قائمة عمليات النظام، ولدى العديد من المؤسسات أنظمة مراقبة مُصممة خصيصًا للتنبيه على هذا النوع من الاختفاء. يمكن لخدمة مراقبة، أو وحدة تحكم إدارية، أو قاعدة تنبيه أن تلتقط اللحظة التي تتوقف فيها عملية مكافحة الفيروسات عن الاستجابة وتُطلق الإنذار. أما بالكتابة فوق ذاكرة تلك العملية بدلاً من ذلك، فيمكن للمهاجمين تحييد قدرتها على اكتشاف التهديدات أو الاستجابة لها، بينما تظل العملية نفسها تبدو نشطة لأي شخص يُلقي نظرة على مدير المهام أو فحص صحة أساسي.
لماذا يصعب اكتشاف الكتابة فوق الذاكرة
تستغل هذه التقنية فجوة بين ما صُممت أدوات الأمان لمراقبته وما يشير فعليًا إلى الاختراق. بُنيت معظم طبقات الحماية على افتراض أن وجود وكيل أمان يعمل يعني أن الحماية سليمة. فإذا كانت العملية موجودة وتعمل، يُفترض أنها تؤدي وظيفتها. أما أدوات قتل برامج الفدية التي تتلاعب بالذاكرة مباشرة فتُقوض هذا الافتراض دون إطلاق الإشارة الواضحة، أي تعطل العملية أو إنهاؤها، التي تعتمد عليها العديد من أنظمة الكشف.
هذا تطور طبيعي لاتجاه أعاد بالفعل تشكيل كيفية عمل مجموعات برامج الفدية. كما ورد في نظرة حديثة على أطر برامج الفدية القاتلة لـ EDR، تحول المهاجمون عن التسابق لتشفير الملفات قبل أن تتمكن الدفاعات من التفاعل، إلى تعطيل تلك الدفاعات بشكل منهجي أولاً. تمثل تقنيات الكتابة فوق الذاكرة الخطوة التالية في نفس كتاب اللعب: فبدلاً من مجرد تعطيل أداة، يتعلم المهاجمون جعل الأمر يبدو وكأن شيئًا لم يحدث على الإطلاق.
بالنسبة لفرق الأمان، يطرح هذا مشكلة عملية. استراتيجيات الكشف التي تعتمد على "هل ما زالت عملية الأمان تعمل" كبديل عن "هل لا تزال النقطة الطرفية محمية" يمكن إحباطها بهدوء. هذا لا يعني أن هذه الأدوات عديمة الفائدة، لكنه يعني أن المؤسسات تحتاج إلى إشارات إضافية، مثل التحقق من أن العملية تتصرف بشكل طبيعي فعلاً، وليس فقط من وجودها، لاكتشاف هذا النوع من التلاعب.
نمط أوسع للتهرب من أنظمة EDR ومكافحة الفيروسات
يندرج هذا التطور ضمن نمط أوسع حيث تتعامل مجموعات برامج الفدية مع برامج الأمان كأول عقبة يجب إزالتها، وليس كفكرة لاحقة. لقد بنى المهاجمون بشكل متزايد أدوات مخصصة فقط لتعطيل أو تجاوز منتجات الكشف قبل نشر حمولة برنامج الفدية الفعلية. يشير التحول نحو التلاعب بالذاكرة، بدلاً من الإنهاء الصريح، إلى أن هذه المجموعات تتكيف بنشاط مع المدافعين الذين أصبحوا أفضل في رصد النسخة الأكثر بدائية من هذا الهجوم. وكما تتطلب الدفاعات متعددة الطبقات مثل أطر برامج الفدية القاتلة لـ EDR أن تصبح نصيحة قياسية، يقوم المهاجمون بالمقابل بتنقيح أساليبهم للتسلل عبر تلك الطبقات تحديدًا.
ماذا يعني هذا لك
بالنسبة للمستخدمين الأفراد، من غير المرجح أن يظهر هذا النوع من الهجوم مباشرة، لأنه يستهدف البنية التحتية الأمنية للمؤسسات وليس الأجهزة الشخصية. لكن الدرس الأساسي ينطبق على نطاق واسع: وجود أداة أمان على نظامك ليس ضمانًا على أنها تعمل بشكل صحيح. تُعد أدوات قتل برامج الفدية تذكيرًا بأن المهاجمين يركزون بشكل متزايد على تعطيل الحماية بهدوء بدلاً من إطلاق إنذارات مرئية، مما يجعل من المفيد الانتباه إلى ما إذا كان برنامج الأمان الخاص بك يتصرف بشكل طبيعي فعلاً، وليس فقط ما إذا كان مثبتًا ويعمل.
بالنسبة لفرق تقنية المعلومات والأمان، يؤكد هذا الأسلوب الحاجة إلى تجاوز فحوصات "هل العملية حية" البسيطة. يجب أن تتضمن المراقبة تحققًا سلوكيًا من أدوات الأمان نفسها، والتحقق من أنها تقوم بالفعل بالمسح والتحديث والإبلاغ كما هو متوقع، وليس فقط شغل خانة في قائمة العمليات. تزداد أهمية الدفاعات متعددة الطبقات، والمراقبة المتكررة، والتحقق خارج النطاق من صحة أدوات الأمان، مع ازدياد براعة المهاجمين في تزييف الوضع الطبيعي.
خلاصات قابلة للتنفيذ
- لا تعتمد فقط على وجود العملية كدليل على أن برنامج الأمان يعمل؛ تحقق من السلوك، وليس فقط الوجود.
- تأكد من أن أدوات الأمان تحتوي على فحوصات سلامة أو ميزات حماية من العبث مُفعلة حيثما أمكن.
- أنشئ مراقبة تُنبه على نشاط الذاكرة غير المعتاد حول عمليات الأمان الحرجة، وليس فقط الأعطال أو الإنهاءات.
- حافظ على تحديث أدوات اكتشاف النقاط الطرفية، حيث يقوم المزودون غالبًا بإصلاح تقنيات التهرب المعروفة فور اكتشافها.
- تعامل مع أي تقرير عن أدوات "قتل برامج الفدية" كإشارة لمراجعة كيفية تحقق مؤسستك من صحة دفاعاتها الخاصة، وليس فقط ما إذا كانت تعمل تقنيًا.
مع استمرار مجموعات برامج الفدية في تحسين كيفية تحييد أدوات الأمان دون تشغيل إنذارات واضحة، يبقى البقاء على اطلاع على تقنيات التهرب هذه أحد أبسط السبل للبقاء في المقدمة.
