تقرير يكشف شائعات متداولة حول برامج الفدية
كشف تقرير حديث لبحث متعمق أجراه باحثو كاسبرسكي في منتديات شبكة الإنترنت المظلمة عن زيف بعض الخرافات الشائعه عن برامج الفردية وجاء التقرير لمساعدة المؤسسات والشركات على فهم كيفية عمل المنظومات الخاصة ببرمجيات طلب الفدية، وكيفية محاربتها.
وألقى الباحثون نظرة عميقة على عصابتي REvil وBabuk وغيرهما وكشفوا كما أزالوا اللثام عن الأوجه المتعددة التي يتسم بها هذا العالم الغامض.
وتتألف منظومة برمجيات الفدية من جهات عديدة لكل منها دور تؤديه. وبخلاف الاعتقاد السائد بأن عصابات برمجيات الفدية هي في الواقع عصابات مُحكَمة على غرار عصابات المافيا، فإنها في الواقع أقرب إلى عالم فيلم The Gentlemen للمخرج جاي ريتشي، بعدد كبير من الممثلين الذين يلعبون أدوارًا مختلفة في معظم الهجمات؛ فهناك المطورون، ومسؤولو البوتات، وباعة صلاحيات الوصول، ومشغلو عمليات الفدية، وهؤلاء يقدمون الخدمات بعضهم للبعض الآخر من خلال أسواق الويب المظلمة.
المنتديات المظلمة
ويلتقي الممثلون، أو اللاعبون، في منتديات مظلمة متخصصة يمكن للمرء فيها العثور على إعلانات محدثة بانتظام تقدم خدمات وتعرض علاقات شراكة وتعاون. ولا يكرر اللاعبون البارزون الذين يعملون بمفردهم زيارة مثل هذه المواقع كثيرًا، لكن العصابات المعروفة، مثل REvil، التي تزايد استهدافها للشركات في الفترة الماضية، تنشر عروضها وأخبارها بطريقة منتظمة باستخدام برامج حليفة. ويفترض هذا النوع من المشاركة وجود شراكة بين مشغل مجموعة برمجيات الفدية والجهات المتحالفة معها.
وينال المشغل حصة أرباح تتراوح بين 20 و40%، بينما تبقى نسبة 60 إلى 80% للشركة الحليفة.
ويُعدّ اختيار هؤلاء الشركاء عملية دقيقة الضبط ذات قواعد أساسية يضعها مشغلو برمجيات الفدية من البداية، وتشمل القيود الجغرافية وحتى الآراء السياسية. وفي الوقت نفسه، يُختار الضحايا بطريقة انتهازية.
وغالبًا ما تكون الشركات المستهدفة سهلة المنال، لا سيما تلك التي استطاع المهاجمون الوصول إليها بسهولة، نظرًا لأن أولئك الذين يصيبون الشركات وغيرهم ممن يُديرون برمجيات الفدية يتوزعون بين مجموعتين مختلفتين يجري تشكيلهما بدافع الرغبة في الربح فقط. وقد تكون إما الجهات التخريبية العاملة ضمن البرامج الحليفة أو المشغلون المستقلون، هم من يبيعون صلاحيات الوصول لاحقًا، سواء في المزاد أو بسعر ثابت، بدءًا من 50 دولارًا. هؤلاء المهاجمون، في أغلب الأحيان، هم أصحاب شبكات البوتات الذين يعملون في حملات ضخمة واسعة النطاق ويبيعون بالجملة صلاحيات الوصول إلى أجهزة الضحايا، ويصلون إلى بائعين سعيًا للعثور على ثغرات يُكشف عنها علنًا في برامج على الإنترنت، مثل أجهزة ذات منافذ VPN أو بوابات بريد إلكتروني، والتي يمكن استخدامها لاختراق الشركات.
وتعد منتديات برمجيات الفدية موطنًا لأنواع أخرى من العروض أيضًا؛ إذ يبيع بعض مشغلي برمجيات الفدية عينات من برمجيات خبيثة وأدوات لإنشاء برمجيات الفدية مقابل مبالغ تتراوح بين 300 و4,000 دولار، بينما يقدم البعض الآخر برمجيات الفدية كخدمة، ويبيعها مع دعم مستمر من مطوريها، وذلك في باقات بأسعار يمكن أن تبلغ 120 دولار شهريًا أو 1,900 دولار سنويًا.
من جانبه، أكّد دميتري غالوف الباحث الأمني في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن منظومة برمجيات الفدية تتسم بالتعقيد، ولها العديد من المصالح، مشيرًا إلى كونها سوقًا مرن ينشط فيها العديد من اللاعبين، الذين يُعتبر بعضهم انتهازيًا تمامًا، والبعض الآخر محترفًا ومتقدمًا. وأضاف: "لا يختار اللاعبون أهدافًا محددة، فقد يلاحقون أية شركة، كبيرة كانت أم صغيرة، ما داموا يستطيعون الوصول إليها، وعلاوة على ذلك، فإن أعمالهم تزدهر ولن تختفي في أي وقت قريب. لكن الأمر المطمئن للشركات يتمثل في قدرتها على منع الخطر باتخاذ إجراءات أمنية يسيرة، لذلك فإن الممارسات القياسية مثل التحديث المنتظم لبرمجيات الأعمال والتطبيقات والنسخ الاحتياطي المعزول للبيانات والملفات تساعد في منع الخطر، وهناك الكثير الذي يمكن للشركات القيام به لحماية نفسها.
وألقى الباحثون نظرة عميقة على عصابتي REvil وBabuk وغيرهما وكشفوا كما أزالوا اللثام عن الأوجه المتعددة التي يتسم بها هذا العالم الغامض.
وتتألف منظومة برمجيات الفدية من جهات عديدة لكل منها دور تؤديه. وبخلاف الاعتقاد السائد بأن عصابات برمجيات الفدية هي في الواقع عصابات مُحكَمة على غرار عصابات المافيا، فإنها في الواقع أقرب إلى عالم فيلم The Gentlemen للمخرج جاي ريتشي، بعدد كبير من الممثلين الذين يلعبون أدوارًا مختلفة في معظم الهجمات؛ فهناك المطورون، ومسؤولو البوتات، وباعة صلاحيات الوصول، ومشغلو عمليات الفدية، وهؤلاء يقدمون الخدمات بعضهم للبعض الآخر من خلال أسواق الويب المظلمة.
المنتديات المظلمة
ويلتقي الممثلون، أو اللاعبون، في منتديات مظلمة متخصصة يمكن للمرء فيها العثور على إعلانات محدثة بانتظام تقدم خدمات وتعرض علاقات شراكة وتعاون. ولا يكرر اللاعبون البارزون الذين يعملون بمفردهم زيارة مثل هذه المواقع كثيرًا، لكن العصابات المعروفة، مثل REvil، التي تزايد استهدافها للشركات في الفترة الماضية، تنشر عروضها وأخبارها بطريقة منتظمة باستخدام برامج حليفة. ويفترض هذا النوع من المشاركة وجود شراكة بين مشغل مجموعة برمجيات الفدية والجهات المتحالفة معها.
وينال المشغل حصة أرباح تتراوح بين 20 و40%، بينما تبقى نسبة 60 إلى 80% للشركة الحليفة.
ويُعدّ اختيار هؤلاء الشركاء عملية دقيقة الضبط ذات قواعد أساسية يضعها مشغلو برمجيات الفدية من البداية، وتشمل القيود الجغرافية وحتى الآراء السياسية. وفي الوقت نفسه، يُختار الضحايا بطريقة انتهازية.
وغالبًا ما تكون الشركات المستهدفة سهلة المنال، لا سيما تلك التي استطاع المهاجمون الوصول إليها بسهولة، نظرًا لأن أولئك الذين يصيبون الشركات وغيرهم ممن يُديرون برمجيات الفدية يتوزعون بين مجموعتين مختلفتين يجري تشكيلهما بدافع الرغبة في الربح فقط. وقد تكون إما الجهات التخريبية العاملة ضمن البرامج الحليفة أو المشغلون المستقلون، هم من يبيعون صلاحيات الوصول لاحقًا، سواء في المزاد أو بسعر ثابت، بدءًا من 50 دولارًا. هؤلاء المهاجمون، في أغلب الأحيان، هم أصحاب شبكات البوتات الذين يعملون في حملات ضخمة واسعة النطاق ويبيعون بالجملة صلاحيات الوصول إلى أجهزة الضحايا، ويصلون إلى بائعين سعيًا للعثور على ثغرات يُكشف عنها علنًا في برامج على الإنترنت، مثل أجهزة ذات منافذ VPN أو بوابات بريد إلكتروني، والتي يمكن استخدامها لاختراق الشركات.
وتعد منتديات برمجيات الفدية موطنًا لأنواع أخرى من العروض أيضًا؛ إذ يبيع بعض مشغلي برمجيات الفدية عينات من برمجيات خبيثة وأدوات لإنشاء برمجيات الفدية مقابل مبالغ تتراوح بين 300 و4,000 دولار، بينما يقدم البعض الآخر برمجيات الفدية كخدمة، ويبيعها مع دعم مستمر من مطوريها، وذلك في باقات بأسعار يمكن أن تبلغ 120 دولار شهريًا أو 1,900 دولار سنويًا.
من جانبه، أكّد دميتري غالوف الباحث الأمني في فريق البحث والتحليل العالمي لدى كاسبرسكي، إن منظومة برمجيات الفدية تتسم بالتعقيد، ولها العديد من المصالح، مشيرًا إلى كونها سوقًا مرن ينشط فيها العديد من اللاعبين، الذين يُعتبر بعضهم انتهازيًا تمامًا، والبعض الآخر محترفًا ومتقدمًا. وأضاف: "لا يختار اللاعبون أهدافًا محددة، فقد يلاحقون أية شركة، كبيرة كانت أم صغيرة، ما داموا يستطيعون الوصول إليها، وعلاوة على ذلك، فإن أعمالهم تزدهر ولن تختفي في أي وقت قريب. لكن الأمر المطمئن للشركات يتمثل في قدرتها على منع الخطر باتخاذ إجراءات أمنية يسيرة، لذلك فإن الممارسات القياسية مثل التحديث المنتظم لبرمجيات الأعمال والتطبيقات والنسخ الاحتياطي المعزول للبيانات والملفات تساعد في منع الخطر، وهناك الكثير الذي يمكن للشركات القيام به لحماية نفسها.
