معظم العناوين الرئيسية حول برامج الفدية تركز على نفس المجموعة القليلة من الأسماء الشائعة، لكن فئة أكثر هدوءًا من الجهات الفاعلة في مجال التهديدات تثبت أنها لا تقل ضررًا. المجموعات الأقل شهرة لبرامج الفدية تتخلى بشكل متزايد عن شبكات الشركاء المترامية الأطراف التي جعلت مجموعات مثل LockBit وCl0p سيئة السمعة، وتختار بدلاً من ذلك فرقًا صغيرة ومنضبطة يصعب اختراقها ويصعب التنبؤ بها. مجموعة Royal، التي ظهرت حوالي سبتمبر، هي واحدة من أوضح الأمثلة على هذا التحول، وتقدم دراسة حالة مفيدة حول لماذا لا يعني الحجم الأصغر أمانًا أكبر للشركات التي تستهدفها هذه المجموعات.
نموذج عمل مختلف: أطقم مغلقة بدلاً من الشركاء
تعمل معظم عمليات برامج الفدية الكبرى وفق نموذج الشركاء، أو برامج الفدية كخدمة. يبني المطورون الأساسيون البرمجيات الخبيثة ويصونونها، ثم يرخّصونها لمجموعة متغيرة من الشركاء الذين ينفذون الاختراقات الفعلية مقابل حصة من الفدية. إنه هيكل فعال يتيح لقطعة واحدة من البرمجيات الخبيثة أن تتوسع عبر عشرات أو مئات الهجمات المتزامنة، لكنه يخلق أيضًا نقاط ضعف. يتراخى الشركاء، أو يسربون التفاصيل، أو يُعتقلون، وقد حققت أجهزة إنفاذ القانون نجاحًا حقيقيًا في تفكيك هذه الشبكات عبر ملاحقة الحلقة الأضعف.
تتجاوز Royal هذا النموذج تمامًا. فبدلاً من تجنيد قاعدة واسعة من الشركاء، تعمل المجموعة بفريق أساسي أصغر وأكثر تماسكًا يُعتقد أنه يضم أعضاء سابقين من Conti، إحدى أكثر عمليات برامج الفدية إنتاجية وتطورًا تقنيًا قبل أن تتشظى. هذه النسب مهمة. فالمجموعة المبنية حول مشغلين ذوي خبرة يعرفون بالفعل كيفية التحرك عبر الشبكات المؤسسية، وتجنب الكشف، والتفاوض على الفديات، لا تحتاج إلى حجم لتكون فعالة. إنها تحتاج إلى انضباط، والهيكل المغلق أسهل في الحفاظ على انضباطه.
بالنسبة للمدافعين، هذا تغيير ذو مغزى في مشهد التهديدات. غالبًا ما تترك المجموعات المدعومة بالشركاء أثرًا من التكتيكات غير المتسقة لأن أشخاصًا مختلفين كثر يستخدمون نفس مجموعة الأدوات. في المقابل، تميل طاقم مغلق مثل Royal إلى العمل بمزيد من الاتساق والأمن التشغيلي، مما قد يجعل نشاطه أصعب في التحديد والإسناد في المراحل المبكرة من الاختراق.
الابتزاز المزدوج يبقى الخيط المشترك
على الرغم من الاختلافات الهيكلية، تشترك Royal في تكتيك واحد مع كل مجموعة برامج فدية نشطة تقريبًا اليوم: الابتزاز المزدوج. فبدلاً من مجرد تشفير ملفات الضحية والمطالبة بالدفع مقابل مفتاح فك التشفير، تقوم المجموعة أولاً بتسريب بيانات حساسة من الشبكة. إذا لم تُدفع الفدية، فإن التهديد ليس مجرد ملفات مقفلة، بل الإفراج العلني عن البيانات المسروقة، والتي قد تشمل سجلات العملاء أو المعلومات المالية أو الاتصالات الداخلية.
أصبحت حملة الضغط المزدوجة هذه المعيار في الصناعة لأنها فعالة. حتى المؤسسات التي لديها أنظمة نسخ احتياطي قوية يمكنها استعادة البيانات المشفرة دون دفع، لا تزال تواجه التداعيات السمعة والتنظيمية لتسريب البيانات. إنه تكتيك يظهر في جميع أنحاء منظومة برامج الفدية بغض النظر عن حجم المجموعة أو شهرتها. يستخدمه الوافدون الجدد والأصغر بنفس سهولة الأسماء الراسخة. القضية الأخيرة لـ M3RX ransomware claiming a Spanish software firm وسرقة مئات الجيجابايت من البيانات تتبع نفس الدليل: التسلل، والتسريب، والتشفير، وتهديد الكشف حتى يتم الدفع.
ما يخبرنا به هذا النمط هو أن حجم أو شهرة مجموعة برامج الفدية مؤشر ضعيف على المخاطر. طاقم غير معروف نسبيًا مع حفنة من المشغلين المهرة يمكنه تنفيذ نفس هجوم الابتزاز المزدوج، بنفس العواقب، كمجموعة تتصدر العناوين الرئيسية.
ماذا يعني هذا لك
بالنسبة لفرق الأمن وأصحاب الأعمال، الدرس المستفاد من Royal والمجموعات المشابهة هو أن مراقبة التهديدات المبنية حول مشاهدة قائمة قصيرة من أسماء برامج الفدية الشهيرة غير كاملة. غالبًا ما تكون المجموعات الأقل شهرة لبرامج الفدية مكونة من مشغلين ذوي خبرة من منظمات منحلة أو أعيدت تسميتها، مما يعني أن قدراتهم قد تضاهي الأسماء الأكبر حتى بدون بصمة عامة كبيرة.
هذا له أيضًا آثار مباشرة على كيفية تفكير المؤسسات في الوصول إلى الشبكة. لأن الابتزاز المزدوج يعتمد على قدرة المهاجمين على التحرك عبر الشبكة وسحب البيانات قبل تفعيل التشفير، فإن الحد من الحركة الجانبية هو أحد أكثر الدفاعات فعالية المتاحة. يمكن للتقسيم القوي للشبكة، وضوابط الوصول الصارمة، ومراقبة عمليات نقل البيانات الصادرة غير العادية أن تكتشف الاختراق قبل اكتمال التسريب، حتى لو لم يتم إيقاف الاختراق الأولي. تظل أدوات الوصول عن بُعد الآمنة، بما في ذلك شبكات VPN المهيأة بشكل صحيح مع المصادقة متعددة العوامل، واحدة من أبسط الطرق لتقليل سطح الهجوم المكشوف الذي تعتمد عليه مجموعات مثل Royal لكسب موطئ قدم أولي.
النقاط القابلة للتنفيذ
لا تحتاج الشركات إلى تتبع كل مجموعة غامضة لبرامج الفدية بالاسم لحماية نفسها، لكنها تحتاج إلى افتراض أن أي نظام غير مُرقّع أو نقطة وصول عن بُعد مكشوفة هي مدخل محتمل لمجموعات لم يسمعوا بها قط. بعض الخطوات العملية تحدث فرقًا حقيقيًا: حافظ على تحديث أدوات الوصول عن بُعد وحمايتها بالمصادقة متعددة العوامل، وقسّم الشبكات بحيث لا يمكن لحساب مخترق واحد الوصول إلى البيانات الحساسة، وراقب عمليات نقل البيانات الصادرة الكبيرة أو غير العادية التي قد تشير إلى تسريب جارٍ، واحتفظ بنسخ احتياطية غير متصلة بالإنترنت يتم اختبارها بانتظام، وليس مجرد تخزينها.
المجموعات الأقل شهرة لبرامج الفدية ليست حاشية للأسماء الأكبر التي تهيمن على الأخبار. كما يوضح Royal وغيره من عمليات الأطقم الأصغر والمغلقة، غالبًا ما تأتي الرؤية المنخفضة مع مهارة تشغيلية متزايدة، وليس مخاطر منخفضة. التعامل مع كل مجموعة، مألوفة كانت أو لا، بنفس مستوى الصرامة الدفاعية هو الطريقة الأكثر موثوقية للبقاء متقدمين عليهم.
