برامج الفدية تخرب عملية الاسترداد قبل تشفير أي شيء
يتخيل معظم الناس هجوم برنامج الفدية كحدث واحد مفاجئ: يتم تشفير الملفات، تظهر رسالة فدية، وتتسابق المنظمة للاستجابة. في الواقع، فإن الجزء الأكثر تدميراً من هجوم برنامج الفدية غالباً ما يحدث قبل قفل أي ملف واحد. يقوم المهاجمون بتدمير النسخ الاحتياطية وخيارات الاسترداد أولاً عمداً، بحيث عندما يحدث التشفير في النهاية، لا يتبقى للضحايا أي شبكة أمان يعتمدون عليها.
هذه هي الرؤية الأساسية وراء التركيز المتزايد في عمليات الأمن: هندسة الكشف المصممة خصيصاً لالتقاط أعمال التخريب قبل التشفير. يبرز سلوكان كعلامات تحذير مبكرة موثوقة. الأول هو حذف النسخ الظلية، حيث يقوم المهاجمون بمسح "Volume Shadow Copies" في نظام ويندوز، وهي اللقطات المدمجة التي تسمح للمسؤولين بالعودة إلى نسخة سابقة ونظيفة من النظام. والثاني هو إساءة استخدام كائنات نهج المجموعة (GPOs) لدفع الحمولات الخبيثة عبر الشبكة بأكملها دفعة واحدة، مما يحول حساباً مخترقاً واحداً إلى آلية للتوزيع الجماعي.
كلا الإجراءين هادئان مقارنة بالتشفير نفسه. لا يقومان بقفل أي شخص عن أي شيء بشكل فوري. هذا هو بالضبط سبب خطورتهما: يحدثان في الفترة الزمنية قبل أن يلاحظ أي شخص أن هناك خطأ ما، وهما مصممان تحديداً لجعل الاسترداد مستحيلاً بمجرد أن يصبح الهجوم واضحاً.
لماذا تغير هندسة الكشف الجدول الزمني
يميل الأمن التقليدي إلى التركيز على لحظة التأثير، وهي النقطة التي يتم فيها تشفير الملفات وتتعطل الأنظمة. بحلول ذلك الوقت، يكون الضرر قد وقع إلى حد كبير. تقلب هندسة الكشف هذا الجدول الزمني من خلال بناء التنبيهات حول الخطوات التحضيرية التي يتخذها المهاجمون قبل بدء التشفير.
التنبيه على حذف النسخ الظلية يعني التعامل معه كحدث مريب بطبيعته بدلاً من كونه صيانة روتينية. نادراً ما يحتاج المسؤولون الشرعيون إلى حذف النسخ الظلية بشكل جماعي عبر أنظمة متعددة في فترة زمنية قصيرة. عندما يظهر هذا النمط، فهو إشارة قوية على أن شيئاً ما يعمل بنشاط لإزالة قدرة المنظمة على التعافي بنفسها.
وبالمثل، فإن مراقبة تغييرات GPO التي تدفع نصوصاً برمجية أو ملفات تنفيذية جديدة عبر المؤسسة تلتقط المهاجمين في اللحظة التي يحاولون فيها توسيع نطاق وصولهم. تعد GPOs أداة إدارية قوية على وجه التحديد لأنها يمكن أن تصل إلى كل جهاز في النطاق (Domain). هذه القوة هي أيضاً ما يجعلها هدفاً جذاباً للمهاجمين الذين يسعون لتوزيع حمولة برنامج الفدية على أوسع نطاق وأسرع وقت ممكن.
من خلال بناء قواعد الكشف حول هذه السلوكيات المحددة والمفهومة جيداً للمهاجمين، تحصل فرق الأمن على فرصة للتدخل قبل بدء التشفير، وليس بعده. وهذا تحول ذو معنى من الاستجابة التفاعلية للحوادث إلى التعطيل الاستباقي.
المخاطر المتعلقة بالخصوصية خلف تدمير النسخ الاحتياطية
يجدر التوقف عند سبب أهمية تدمير النسخ الاحتياطية أكثر من مجرد الصداع التشغيلي المباشر. عندما يتم تدمير خيارات الاسترداد، تُدفع المنظمات نحو مجموعة أضيق بكثير من الخيارات، ومن أكثرها شيوعاً دفع الفدية. أظهرت الأبحاث حول نتائج برامج الفدية أن حصة كبيرة من المنظمات لا تزال تختار الدفع، على الرغم من أن القيام بذلك لا يضمن أي شيء. تغطيتنا السابقة لـ 34% من شركات أستراليا ونيوزيلندا ما زالت تدفع فدية وجدت أن الدفع بعيد كل البعد عن كونه حلاً موثوقاً، وغالباً ما يتم اتخاذ هذا القرار تحت نوع الضغط الذي يخلقه تدمير النسخ الاحتياطية بالضبط.
هناك أيضاً بُعد متعلق بالخصوصية هنا. عندما تختفي النسخ الاحتياطية ويصبح التفاوض هو السبيل الوحيد للمضي قدماً، تكون المنظمات أيضاً أكثر عرضة لخطر تسرب البيانات. غالباً ما يقرن المهاجمون التشفير بسرقة البيانات، مهددين بتسريب معلومات حساسة عن العملاء أو الموظفين إذا لم يتم الدفع. تدمير النسخ الاحتياطية يزيل خيار الاستعادة البسيطة ورفض التفاوض، مما يزيد من احتمالات أن تنتهي البيانات الشخصية المسروقة كوسيلة ضغط. إن اكتشاف الهجوم مبكراً، قبل مسح النسخ الاحتياطية، يحافظ على أكثر من مجرد البنية التحتية لتكنولوجيا المعلومات. إنه يحافظ على قدرة المنظمة على قول لا لطلب الفدية دون المقامرة بالبيانات الشخصية للأشخاص الذين تخدمهم.
ماذا يعني هذا بالنسبة لك
إذا كنت تدير أنظمة تكنولوجيا المعلومات لشركة، فهذا تذكير بأن الدفاع ضد برامج الفدية لا يمكن أن يتوقف عند برامج مكافحة الفيروسات على نقاط النهاية أو اكتشاف الملفات المشفرة. نقطة الارتكاز الحقيقية غالباً ما تكون قبل ساعات أو أيام، في التغييرات الإدارية الهادئة التي تسبق الهجوم المرئي. إذا كنت مجرد مستهلك أو موظف تخزن بياناتك داخل هذه الأنظمة، فإن الخلاصة غير مباشرة أكثر لكنها لا تزال مهمة: المنظمات التي تستثمر في هندسة الكشف المبكر أقل عرضة للوصول إلى موقف يُجبرون فيه على دفع فدية أو التفاوض مع مهاجمين يمتلكون معلوماتك الشخصية.
خلاصات قابلة للتنفيذ
للفرق الأمنية، تتبع خطوات ملموسة قليلة مباشرة من هذا: بناء تنبيهات مخصصة لأحداث حذف النسخ الظلية بدلاً من التعامل معها كضوضاء خلفية، ومراقبة تغييرات GPO بحثاً عن نطاق أو توقيت غير عادي، والاحتفاظ بنسخة احتياطية واحدة على الأقل معزولة عن النطاق بالكامل بحيث لا يمكن لحساب مسؤول مخترق واحد الوصول إليها. بالنسبة للآخرين، هذا سبب وجيه لسؤال المنظمات التي تحتفظ ببياناتك عن شكل خطة الاسترداد الفعلية لديهم، وما إذا كانت تعتمد على نسخ احتياطية يمكن للمهاجم حذفها في دقائق.
