عملية فدية تُعرف باسم The Gentlemen، تتعقبها مايكروسوفت تحت اسم Storm-2697، تلفت انتباه باحثي الأمن من جديد لقدرة محددة ومثيرة للقلق: القدرة على تعطيل أدوات كشف والاستجابة لنقاط النهاية (EDR) قبل شن الهجوم. يوضح تقرير استشاري جديد كيف تعمي هذه المجموعة الدفاعات ذاتها التي تعتمد عليها المؤسسات لرصد الاختراقات، وما يمكن للمدافعين فعله لسد هذه الفجوة.

تعمل The Gentlemen كمنصة فدية كخدمة (RaaS)، مما يعني أن المجموعة الأساسية تبني البرمجيات الخبيثة وتصونها بينما تنفذ شبكة من الشركاء عمليات الاختراق الفعلية والمفاوضات. أصبح هذا النموذج البنية المهيمنة خلف حملات الفدية واسعة النطاق لأنه يتيح للمشغلين التوسع بسرعة، ونشر أدواتهم لمزيد من المهاجمين دون القيام بأعمال الاختراق اليدوية بأنفسهم. يصف الباحثون The Gentlemen بأنها مدفوعة ماليًا، ذات أصل ناطق بالروسية ونمو سريع في فترة زمنية قصيرة نسبيًا، وهو نمط يعكس مجموعات RaaS أخرى توسعت بقوة بمجرد نضوج نموذج الشركاء لديها.

كيف تعمي فدية The Gentlemen دفاعات EDR

صُممت برمجيات EDR لتكون خط الدفاع الأخير على الجهاز المخترق: فهي تراقب سلوك العمليات المشبوه، وتشير إلى نشاط الملفات غير المعتاد، ويمكنها عزل الجهاز قبل أن تنتهي الفدية من تشفير الملفات. يستهدف نهج The Gentlemen هذه الطبقة تحديدًا. فبدلاً من محاولة التسلل مرورًا بأدوات EDR، صُممت مجموعة الأدوات التي تستخدمها المجموعة لتعطيل هذه الأدوات أو إلغاء تثبيتها أو تحييدها تمامًا بشكل صريح، مما يزيل نظام الإنذار فعليًا قبل حتى ملاحظة عملية الاقتحام.

أصبحت قدرة قتل EDR هذه ميزة متكررة في مجموعات أدوات الفدية الحديثة، وهي تغيّر حسابات المدافعين. فالشبكة التي تفترض أن وكيل EDR لديها سيبلغ دائمًا تكون عرضة للخطر إذا كانت الخطوة الأولى للمهاجم هي إسكات هذا الوكيل. وبمجرد أن تتعطل أدوات الأمان، يمكن لمشغلي الفدية التحرك جانبيًا، وجمع بيانات الاعتماد، وتجهيز البيانات للسرقة مع مخاطر أقل بكثير من الاكتشاف المبكر. يعكس هذا اتجاهًا أوسع نطاقًا شوهد عبر عائلات الفدية: الجهات التهديدية تعطي الأولوية بشكل متزايد لتعطيل أدوات الأمان كخطوة أولى، وليس كفكرة لاحقة، لأن ذلك يمنحها الوقت اللازم لإكمال حملة تشفير وابتزاز على مستوى الشبكة بالكامل.

لماذا يهم هذا الأمر أبعد من رسالة الفدية

الآثار المترتبة على الخصوصية من تعمية EDR تتجاوز الاضطراب الفوري لهجوم الفدية. معظم عمليات الفدية الحديثة، بما في ذلك مجموعات الابتزاز المزدوج، تسرق البيانات قبل تشفيرها. إذا تم تعطيل أدوات EDR مبكرًا في الاختراق، تفقد المؤسسات الرؤية حول ما تم الوصول إليه أو نسخه أو سرقته بالضبط خلال الفترة التي سيطر فيها المهاجمون على الشبكة. هذا الغموض يعقّد إشعارات الاختراق، والإبلاغ التنظيمي، وأي جهد لإخبار العملاء أو المرضى المتأثرين بالبيانات التي قد تكون كشفت.

هذا نمط مألوف عبر مشهد الفدية. التحذيرات الاستشارية التي تغطي مجموعات نشطة أخرى، مثل التحذيرات المشتركة الصادرة حول فدية Gunra التي تستهدف مؤسسات الرعاية الصحية، أشارت مرارًا إلى كيفية استغلال المهاجمين للبقع العمياء في المراقبة لتعظيم الضرر قبل أن يلاحظ أي شخص. قطاع الرعاية الصحية على وجه الخصوص كان هدفًا متكررًا، كما هو مفصل في التحذيرات حول التهديد المتنامي لـ Gunra للمستشفيات، لأن بيانات المرضى الحساسة مقترنة بالحاجة التشغيلية العاجلة تجعل المؤسسات أكثر عرضة للدفع بسرعة. نهج تعمية EDR الذي تتبعه The Gentlemen يندرج ضمن هذا النهج نفسه: عطّل المراقبين، ثم خذ وقتك.

ماذا يعني هذا بالنسبة لك

إذا كنت تدير عمليات تكنولوجيا المعلومات أو الأمان لشركة، فإن هذا التقرير الاستشاري تذكير بأن برمجيات EDR وحدها ليست ضمانة للحماية. فالمهاجمون يبنون أدوات بنشاط مصممة لهزيمتها، ووكيل واحد معطل على جهاز واحد يمكن أن يكون الفرق بين حادثة محتواة واختراق على مستوى الشبكة بالكامل. الدفاعات متعددة الطبقات، بما في ذلك المراقبة على مستوى الشبكة التي لا تعتمد فقط على وكلاء نقاط النهاية في الإبلاغ، أصبحت ضرورية بشكل متزايد لرصد الاختراق عندما تتعطل إشارة EDR.

للمستخدمين اليوميين والمستهلكين، الخلاصة أقل حول الإجراء المباشر وأكثر حول الوعي. مجموعات الفدية مثل The Gentlemen تستهدف في النهاية المؤسسات التي تحتفظ ببياناتك، من أصحاب العمل إلى مقدمي الرعاية الصحية إلى شركات الخدمات. عندما تفقد تلك المؤسسات الرؤية في هجوم، يمكن أن تتأخر إشعارات الاختراق الناتجة أو تكون غير مكتملة، ولهذا فالبقاء يقظًا تجاه إفصاحات الاختراق والتصرف بسرعة تجاه تغييرات كلمات المرور أو عروض مراقبة الائتمان يهم أكثر من أي وقت مضى.

البقاء في المقدمة أمام فدية تتفادى EDR

الدفاع ضد The Gentlemen والمجموعات المماثلة يتطلب معاملة EDR كطبقة واحدة من بين عدة طبقات بدلاً من نقطة فشل واحدة. يجب على فرق الأمان مراقبة المحاولات غير المصرح بها لإلغاء تثبيت وكلاء الأمان أو تعطيلها، لأن هذا السلوك بحد ذاته علامة تحذير مبكرة قوية على اختراق نشط. الحفاظ على تحديث الأنظمة مهم أيضًا، لأن المهاجمين يعتمدون غالبًا على ثغرات معروفة للحصول على موطئ قدم أولي اللازم للوصول إلى أدوات الأمان وتعطيلها، وهي ديناميكية شوهدت أيضًا في إرشادات التصحيح الأخيرة مثل تقرير ثغرة يوم الصفر في ويندوز CVE-2026-68820.

في النهاية، صعود تكتيكات تفادي EDR لفدية The Gentlemen يؤكد تحولًا في كيفية عمل مجموعات الفدية: المعركة تبدأ الآن قبل التشفير، في اللحظة التي يحاول فيها المهاجمون تعمية دفاعاتك. المؤسسات التي تبني تكرارًا في مراقبتها، وتقسّم شبكاتها للحد من الحركة الجانبية، وتدرّب موظفيها على التعرف على العلامات المبكرة للعبث ببرمجيات الأمان ستكون في وضع أفضل بكثير من تلك التي تعتمد على EDR كشبكة أمان واحدة.

خلاصات قابلة للتنفيذ:

  • راجع ما إذا كانت برمجيات EDR أو مضاد الفيروسات لديك مفعّل بها حماية من العبث ولا يمكن تعطيلها بدون مصادقة إضافية.
  • أعد إعداد تنبيهات محددة لإلغاء تثبيت وكيل EDR أو تعطيله أو توقف خدماته، لأن هذا السلوك علامة حمراء بحد ذاته.
  • أضف مراقبة قائمة على الشبكة جنبًا إلى جنب مع أدوات نقاط النهاية حتى لا تختفي الرؤية إذا تعطل وكيل واحد.
  • صحيح الثغرات المعروفة فورًا، لأن الأنظمة غير المحدثة تظل أسهل نقطة دخول لشركاء RaaS.
  • إذا كنت مستهلكًا، راقب إشعارات الاختراق من المؤسسات التي تتعامل معها وتصرف بسرعة تجاه أي تغييرات موصى بها لكلمات المرور أو أمان الحساب.