برامج الفدية كخدمة: الوجه الجديد لجرائم الإنترنت الصناعية

برامج الفدية كخدمة: الوجه الجديد لجرائم الإنترنت الصناعية

يشجع النموذج الأحدث ألعمال للجرائم الإلكترونية، وهو الهجمات التي يديرها الإنسان، المجرمين ذوي القدرات المختلفة.

إن برامج الفدية، وهي واحدة من أكثر التهديدات عبر الإنترنت انتشارا ورواجا، آخذة في التطور، ويقدم شكلها الأخير تهديدا ً جديدا للمؤسسات في جميع أنحاء العالم. 

والتي يتضمن تطور برامج الفدية التطورات الجديدة في التكنولوجيا. بل إنه يتضمن نموذج أعمال جديدا وهو: برامج الفدية كخدمة (RaaS) إن برامج الفدية كخدمة (RaaS) 

عبارة  عن ترتيب بين مشغل يطور الأدوات اللازمة لتشغيل عمليات الابتزاز ويحافظ عليها، ومستأجر منصة البرامج الضارة كخدمة ينشر مكون الهجوم عبر الإنترنت لبرامج الفدية. 

وعندما يقوم مستأجر منصة البرامج الضارة كخدمة بهجوم باستخدام برامج فدية وهجوم ابتزازي ناجح، يستفيد الطرفان. يعمل نموذج برامج الفدية كخدمة على إزالة العوائق أمام المهاجمين الذين يفتقرون إلى المهارة أو التقنية اللازمة لتطوير أدواتهم الخاصة لكنهم قادرون على إدارة اختبارات ً الاختراق وأدوات مسؤول النظام الجاهزة لتنفيذ الهجمات.

 ويستطيع هؤلاء المجرمون من المستوى الأدنى أيضا شراء الوصول إلى الشبكة من مجموعة إجرامية أكثر تطورا ً قد انتهكت فعلًا محيطا ً. وبالرغم من استخدام مستأجري منصات البرامج الضارة كخدمة لمكونات الهجوم عبر الإنترنت لبرامج الفدية التي يوفرها مشغلون أكثر تطورا ً، إال أنها ليست جزءا من "عصابة" برامج الفدية نفسها.             لكن هذه الشركات لديها مؤسساتها الخاصة العاملة في الاقتصاد العام للجرائم الإلكترونية.

تطوير قدرات المجرمين عبر الإنترنت وتنمية الاقتصاد الإجمالي للمجرمين عبر الإنترنت  

لقد سهل نموذج الفدية كخدمة سرعة التحسين والتصنيع لما يمكن للمجرمين األقل قدرة تحقيقه. في الماضي، ربما كان هؤالء المجرمون األقل تطورا قد استخدموا برامج ضارة متوفرة على نطاق واسع للشراء أو للتنزيل المجاني، أو قاموا بإنشائها أو شرائها لتنفيذ هجمات محدودة النطاق، ولكن اآلن يمكنهم الحصول على كل ما يحتاجونه - من الوصول إلى الشبكات إلى مكونات الهجوم عبر اإلنترنت لبرامج الفدية - من مشغلي برامج الفدية كخدمة )من أجل السعر بالطبع(. تتضمن العديد من برامج الفدية كخدمة ً مجموعة من عروض دعم االبتزاز، والتي تشمل استضافة موقع التسريب والتكامل في مالحظات الفدية، عالوة على التفاوض على فك التشفير، والضغط لدفع األموال، وخدمات معامالت العمالت الرقمية المشفرة.

وهذا يعني أن تأثير هجوم برامج الفدية واالبتزاز الناجح يظل كما هو بغض النظر عن مهارات المهاجم.  

اكتشاف ثغرات الشبكة واستغاللها ... مقابل ثمن 

 تتمثل إحدى الطرق التي يوفر من خاللها مشغلو برامج الفدية كخدمة قيمة لمستأجر منصة البرامج الضارة كخدمة في توفير الوصول إلى الشبكات المخترقة. يقوم وسطاء الوصول بالبحث في اإلنترنت للوصول إلى األنظمة الضعيفة، والتي يمكنهم اختراقها واالحتفاظ بها لتحقيق الربح فيما بعد. ويحتاج المهاجمون إلى بيانات اعتماد من أجل تحقيق النجاح. إن بيانات االعتماد المخترقة في غاية األهمية لهذه الهجمات ألنه عندما يبيع المجرمون عبر اإلنترنت الوصول إلى الشبكة، في كثير من الحاالت، يشتمل السعر على حساب مسؤول مضمون. ً وما يفعله المجرمون من خالل الوصول بمجرد تحقيقه يمكن أن يختلف بشكل كبير بناء على المجموعات وأحمال العمل أو الدوافع. وبالتالي يمكن أن يتراوح الوقت بين الوصول األولي إلى النشر العملي للوحة المفاتيح من دقائق إلى أيام أو أكثر، ولكن عندما تسمح الظروف بذلك، يمكن أن يحدث الضرر بسرعة فائقة. في الواقع، لوحظ أن الوقت المستغرق من الوصول األولي إلى الفدية الكاملة )بما في ذلك التسليم من وسيط الوصول إلى مستأجر منصة البرامج الضارة كخدمة( يستغرق أقل من ساعة.

الحفاظ على نمو االقتصاد - طرق الوصول المستمر والمتسلل

 بمجرد أن يتمكن المهاجمون من الوصول إلى شبكة ما، فإنهم يكرهون المغادرة - حتى بعد أخذ الفدية. وقد ال يقلل دفع الفدية في حقيقة األمر من المخاطر على الشبكة المتضررة وربما يخدم فقط لتمويل المجرمين عبر اإلنترنت، الذين سيستمرون في محاولة تحقيق الدخل من الهجمات باستخدام برامج ضارة مختلفة أو مكونات الهجوم عبر اإلنترنت لبرامج الفدية حتى يتم طردهم. تعني عملية التسليم التي تتم بين مهاجمين مختلفين كتحوالت في اقتصاد الجريمة اإللكترونية أن مجموعات نشاط متعددة قد تستمر في بيئة باستخدام طرق مختلفة مختلفة عن األدوات المستخدمة في هجوم برامج الفدية. على سبيل المثال، يؤدي الوصول األولي الذي تحصل عليه أحصنة طروادة المصرفية إلى تنفيذ عملية نشر Strike Cobalt، ولكن مستأجر منصة البرامج الضارة كخدمة الذي قام بشراء الوصول قد يختار استخدام أداة وصول عن بعد مثل TeamViewer لتشغيل حملتها. يعد استخدام األدوات واإلعدادات الشرعية لالستمرار مقابل غرسات البرامج الضارة مثل Strike Cobalt ً أسلوب ً ا شائعا بين متسللي برامج الفدية لتجنب الكشف والتواجد في الشبكة لفترة أطول. وهناك أسلوب آخر شائع بين المهاجمين يتمثل في إنشاء حسابات مستخدم باب خلفي جديدة، سواء كانت محلية أو في Directory Active ،والتي يمكن إضافتها بعد ذلك إلى أدوات الوصول عن بعد مثل شبكة ظاهرية خاصة أو سطح المكتب البعيد. كما تمت مالحظة مهاجمين باستخدام برامج الفدية وهم يقومون بتحرير اإلعدادات على األنظمة لتمكين سطح المكتب البعيد، وتقليل أمان البروتوكوالت، وإضافة مستخدمين جدد إلى مجموعة مستخدمي سطح المكتب البعيد.

مواجهة الخصوم األكثر مراوغة ودهاء في العالم

 ً تعتبر إحدى سمات برامج الفدية كخدمة التي تجعل التهديد مثيرا للمخاوف بدرجة كبيرة للغاية هي كيفية اعتماده على المهاجمين من البشر الذين يمكنهم اتخاذ قرارات مستنيرة ً ومحسوبة وتغيير أنماط الهجوم استنادا إلى ما يجدونه في الشبكات التي يصلون إليها، مما يضمن تحقيقهم ألهدافهم. لقد صاغت شركة Microsoft هذا المصطلح برامج الفدية التي يديرها البشر لتعريف هذه الفئة من الهجمات على أنها سلسلة من األنشطة التي تنتهي بمكون الهجوم عبر اإلنترنت لبرامج الفدية، وليس كمكونات ضارة للهجوم عبر اإلنترنت يجب حظرها. في حين أن معظم حمالت الوصول األولية تعتمد على االستطالع اآللي، بمجرد أن يتحول الهجوم إلى مرحلة التدريب العملي على لوحة المفاتيح، سيستخدم المهاجمون معرفتهم ومهارتهم لمحاولة التغلب على منتجات األمان في البيئة. يتم إغراء مهاجمي برامج الفدية لجني األرباح السهلة، لذلك فإن زيادة التكاليف عن طريق تشديد إجراءات األمان أمر أساسي لتعطيل اقتصاد الجرائم عبر اإلنترنت. يعني اتخاذ القرار البشري هذا أنه حتى إذا اكتشفت منتجات األمان وجود مراحل محددة من الهجوم، فلن يتم طرد المهاجمين أنفسهم بشكل كامل؛ فهم يحاولون االستمرار إذا لم يتم حظرهم بواسطة عنصر تحكم أمان. وفي العديد من الحاالت، إذا تم الكشف عن أداة أو مكون هجوم عبر اإلنترنت وحظره بواسطة منتج مكافحة الفيروسات، فإن المهاجمين ببساطة يمسكون بأداة مختلفة أو يعدلون مكون الهجوم عبر اإلنترنت. ً يدرك المهاجمون أيضا أوقات استجابة مركز عمليات األمان )SOC )وإمكانات أدوات الكشف وحدودها. وبحلول الوقت الذي يصل فيه الهجوم إلى مرحلة حذف النسخ االحتياطية أو نسخ الظل االحتياطية، سيكون المهاجم على بعد دقائق من نشر برامج الفدية. ومن المحتمل أن يكون المهاجم قد قام بالفعل بإجراءات ضارة مثل استخراج البيانات. وهذه المعرفة هي المفتاح بالنسبة لمراكز عمليات األمان التي تستجيب لبرامج الفدية: إن التحقيق في عمليات الكشف مثل Strike Cobalt قبل مرحلة نشر برامج الفدية وتنفيذ إجراءات المعالجة السريعة وإجراءات االستجابة للحوادث )IR )هي أمور بالغة األهمية الحتواء الخصم البشري.

  تعزيز األمان ضد التهديدات مع تجنب إجهاد التنبيه

يجب أن تتضمن أي استراتيجية أمان دائمة ضد الخصوم البشريين أهداف كشف الهجمات ومنعها. وال يكفي االعتماد على الكشف وحده ألن 1 )بعض أحداث التسلل غير ً قابلة للكشف عنها عمليا )تبدو كإجراءات عادية متعددة(، و 2 )ليس من غير المألوف أن يتم التغاضي عن هجمات برامج الفدية بسبب إرهاق التنبيه الناجم عن تنبيهات منتجات أمنية متعددة ومتباينة. ً ونظرا ألن المهاجمين لديهم طرق متعددة للتحايل على منتجات األمان وتعطيلها ولديهم القدرة على تقليد السلوك اإلداري الحميد من أجل المزج بأكبر قدر ممكن، يجب على فرق أمان تكنولوجيا المعلومات ومراكز عمليات األمان دعم جهود الكشف مع تعزيز تدابير األمان. يتم إغراء مهاجمي برامج الفدية لجني األرباح السهلة، لذلك فإن زيادة التكاليف عن طريق تشديد إجراءات األمان أمر أساسي لتعطيل اقتصاد الجرائم عبر اإلنترنت.

  فيما يلي بعض الخطوات التي يمكن أن تتخذها المؤسسات لحماية نفسها: 

 المحافظة على سالمة بيانات االعتماد:  ً

قم بتطوير تجزئة شبكة منطقية استنادا إلى االمتيازات التي يمكن تنفيذها إلى جانب تجزئة الشبكة للحد من الحركة الجانبية. 

مراجعة تعرض بيانات اعتماد للهجمات:

 ً تعد مراجعة تعرض بيانات االعتماد للهجمات أمرا في غاية األهمية لمنع هجمات برامج الفدية والجرائم اإللكترونية بشكل عام. يمكن لفرق أمان تكنولوجيا المعلومات ومراكز ً عمليات األمان العمل معا لتقليل االمتيازات اإلدارية وفهم مستوى عرض بيانات االعتماد الخاصة بهم.

 تعزيز حماية السحابة:

 مع تحرك المهاجمين نحو موارد السحابة، من المهم تأمين موارد السحابة وهوياتها باإلضافة إلى الحسابات المحلية. يجب على فرق األمان التركيز على تقوية البنية األساسية لهوية األمان، وفرض المصادقة متعددة العوامل )MFA )على جميع الحسابات، ومعالجة مسؤولي السحابة/المسؤولين المستأجرين باستخدام نفس المستوى من األمان وسالمة بيانات االعتماد الخاص بمسؤولي المجال. 

 إغالق نقاط األمان العمياء:

 يجب على المؤسسات التحقق من أن أدوات األمان لديهم تعمل بالتكوين األمثل ويجب عليهم إجراء عمليات فحص منتظمة للشبكة للتأكد أن منتج األمان يحمي جميع األنظمة.

 تقليل سطح الهجوم: 

وضع قواعد تقليل سطح الهجوم لمنع تقنيات الهجوم الشائعة المستخدمة في هجمات برامج الفدية. في الهجمات التي تمت مالحظتها من العديد من مجموعات األنشطة المرتبطة ببرامج الفدية، كانت المؤسسات ذات القواعد المحددة بوضوح قادرة على منع الهجمات في مراحلها األولية مع منع النشاط العملي على لوحة المفاتيح. تقييم المحيط: يجب على المؤسسات تحديد األنظمة المحيطة التي قد يستخدمها المهاجمون للوصول إلى الشبكة وتأمينها. يمكن استخدام واجهات المسح العامة، مثل RiskIQ ،لزيادة البيانات. 

 تعزيز حماية أصول واجهة اإلنترنت: 

يستخدم مهاجمو برامج الفدية ووسطاء الوصول ثغرات أمنية لم يتم إصالحها، سواء تم الكشف عنها بالفعل أو الثغرات المباغتة، وخاصة في مرحلة الوصول األولية. وهم يتكيفون مع الثغرات الجديدة بشكل سريع. ولتقليل التعرض بشكل أكبر، يمكن للمؤسسات استخدام إمكانات إدارة التهديدات والثغرات األمنية في منتجات اكتشاف نقاط النهاية واالستجابة الكتشاف الثغرات األمنية والتكوينات الخاطئة وتحديد أولوياتها ومعالجتها.

 التحضير لالسترداد: ً 

يجب أن يتضمن أفضل وسائل الحماية من برامج الفدية خطط ً ا للتعافي سريعا في حالة حدوث هجوم. ستكون تكلفة التعافي من هجوم أقل من دفع الفدية، لذلك تأكد من عمل نسخ احتياطية منتظمة ألنظمتك المهمة وحماية تلك النسخ االحتياطية ضد المسح والتشفير بشكل متعمد. وإذا أمكن، يمكن تخزين النسخ االحتياطية في مخزن غير قابل للتغيير على اإلنترنت أو غير متصل باإلنترنت أو خارج الموقع بالكامل.

 مزيد من الدفاع ضد هجمات برامج الفدية ً

 لألمان. ً يتطلب التهديد متعدد األوجه القتصاد برامج الفدية الجديدة والطبيعة المراوغة لهجمات برامج الفدية التي يديرها البشر أن تتبنى المؤسسات نهجا شامال ً في منع هجمات برامج الفدية. ولزيادة تقوية الدفاعات ضد برامج الفدية ً تساعد الخطوات التي ذكرناها أعاله في الدفاع ضد أنماط الهجوم الشائعة وستقطع شوطا طويال التقليدية والتشغيل البشري وغيرها من التهديدات، يمكن استخدام أدوات األمان التي يمكنها توفير رؤية عميقة عبر المجاالت وإمكانات التحقيق الموحدة.

 للحصول على نظرة عامة إضافية على برامج الفدية كاملة مع الحصول على النصائح وأفضل الممارسات للوقاية منها والكشف عنها والمعالجة، راجع حماية مؤسستك ً حول برامج الفدية التي يديرها البشر، اقرأ مقالة جيسيكا باين، باحث أمان أول، بعنوان

 برامج الفدية كخدمة: 

فهم من برامج الفدية، وللحصول على معلومات أكثر تفصيال االقتصاد في الجرائم عبر اإلنترنت وكيفية حماية نفسك.

 تابع آخر المستجدات بشأن مشكالت األمان المتطورة من خالل زيارة Insider Security. مشاركة هذا الرسم المعلومات