Theft Ransomware

بيئة التهديدات الحديثة لا ترحم. يُطوّر مجرمو الإنترنت باستمرار أدواتهم لاستغلال المستخدمين غير المستعدين. من بين أكثر هذه التهديدات ضررًا برامج الفدية، وهي برمجيات خبيثة تُشفّر البيانات وتبتز الضحايا مقابل المال. ومن بين هذه الأنواع الناشئة، برنامج "سرقة الفدية"، الذي لوحظ بالفعل أنه يُلحق أضرارًا بالغة بالأنظمة غير المدركة.

ما الذي يجعل سرقة برامج الفدية أمرًا خطيرًا؟

برمجيات الفدية السرقة هي سلالة جديدة مرتبطة بعائلة برمجيات الفدية دارما سيئة السمعة، وهي مجموعة معروفة باستهدافها الأفراد والمؤسسات. عند اختراق الجهاز، يقوم البرنامج الخبيث بتشفير الملفات وإعادة تسميتها بإضافة:

• معرف الضحية الفريد
• عنوان البريد الإلكتروني للمهاجمين
• امتداد '.theft'

على سبيل المثال، يصبح '1.png' هو '1.png.id-9ECFA84E.[datatheft@tuta.io].theft.'

يُواجه الضحايا بعد ذلك إشعارات فدية على شكل ملفات نصية (info.txt) ونافذة منبثقة. وبينما تكون الملاحظة النصية موجزة، ولا تتضمن سوى بيانات الاتصال، تُقدم النافذة المنبثقة تفاصيل أكثر، بما في ذلك طمأنة بإمكانية استعادة البيانات في حال دفع الفدية. بل إن المهاجمين يُقدمون "إثبات فك التشفير" بالسماح باستعادة ثلاثة ملفات صغيرة غير حساسة مجانًا.

وفي إطار زيادة الضغوط، يزعم المجرمون أنهم سرقوا بيانات تجارية حساسة ويهددون بتسريبها إذا تم رفض الدفع.

الخصائص التقنية للتهديد

كما هو الحال مع غيرها من المتغيرات القائمة على دارما، لا يقفل برنامج الفدية "Theft Ransomware" الأنظمة بالكامل، بل يُشفّر الملفات المحلية والمشتركة عبر الشبكة. يقوم البرنامج الخبيث بنشاط بما يلي:

• إنهاء العمليات المرتبطة بالملفات قيد الاستخدام (قواعد البيانات، والقراء، وما إلى ذلك)
• ينسخ نفسه إلى مسار %LOCALAPPDATA% ويسجل الثبات عبر مفاتيح التشغيل
• يضبط نفسه ليبدأ تلقائيًا مع إعادة تشغيل النظام
• يحذف نسخ الظل للمجلد لمنع الاسترداد بسهولة

ويقوم البرنامج الخبيث أيضًا بجمع بيانات الموقع الجغرافي لتحديد ما إذا كان يجب الاستمرار في التشفير، وربما استبعاد مناطق معينة.

كيف تنتشر العدوى

يستخدم برنامج الفدية الخبيث أساليب تسلل متعددة، وأكثرها شيوعًا هو خدمات RDP (بروتوكول سطح المكتب البعيد) ضعيفة الحماية. وتُعدّ هجمات القوة الغاشمة والقاموس ضد الحسابات ضعيفة الحماية نقطة دخول شائعة. وبمجرد دخول البرنامج الخبيث، قد يُعطّل جدران الحماية لتسهيل عمله.

وتشمل قنوات التوزيع الأخرى المعروفة ما يلي:

التصيد الاحتيالي والهندسة الاجتماعية – المرفقات أو الروابط الضارة في رسائل البريد الإلكتروني والرسائل المباشرة والمنشورات.

أحصنة طروادة والأبواب الخلفية – تستخدم لإسقاط برامج الفدية بصمت.

الإعلانات الخبيثة والتنزيلات غير المقصودة - يتم تشغيلها ببساطة عن طريق زيارة موقع ويب مخترق.

مصادر البرامج المشبوهة - الأدوات المقرصنة، وحزم البرامج المجانية، والتحديثات المزيفة.

الوسائط القابلة للإزالة والشبكات المحلية – مما يسمح للبرامج الضارة بالانتشار داخليًا بمجرد وصولها إلى النظام.

لماذا يُعد دفع الفدية رهانًا محفوفًا بالمخاطر

فك تشفير الملفات المشفرة بالسرقة بدون مفتاح المهاجم يكاد يكون مستحيلاً. في حين أن بعض متغيرات برامج الفدية بها عيوب، فإن التهديدات القائمة على "دارما" عادةً ما تكون متينة البنية. والأهم من ذلك، أن دفع الفدية لا يضمن استرداد الأموال، إذ يُترك العديد من الضحايا خاليي الوفاض حتى بعد تحويل الأموال. والأسوأ من ذلك، أن الدفع لا يُمول سوى المزيد من العمليات الإجرامية.

تعزيز دفاعاتك ضد برامج الفدية

أفضل طريقة لمكافحة برامج الفدية المسروقة هي الوقاية. بما أن إزالة البرامج الضارة لن تُعيد الملفات المشفرة تلقائيًا، يجب على المستخدمين التركيز على المرونة والدفاعات الاستباقية. من الممارسات الرئيسية التي ينبغي على كل مستخدم اتباعها:

• النسخ الاحتياطية المنتظمة – احتفظ بنسخ من الملفات المهمة عبر مواقع آمنة متعددة، مثل محركات الأقراص غير المتصلة بالإنترنت والخدمات السحابية غير المخصصة للنظام المصاب.
• تحديث البرامج والأنظمة – تطبيق التصحيحات لإغلاق الثغرات الأمنية التي يستغلها برنامج الفدية.
• استخدم المصادقة القوية – قم بتأمين خدمات RDP باستخدام كلمات مرور فريدة ومعقدة وتمكين المصادقة متعددة العوامل.
• كن حذرًا عند التعامل مع رسائل البريد الإلكتروني والروابط - لا تفتح المرفقات غير المتوقعة أو تنقر على الروابط غير المعروفة، حتى لو كانت تبدو شرعية.
• تقييد الحقوق الإدارية – قم بتقييد الامتيازات لتقليل تأثير تنفيذ البرامج الضارة المحتمل.
• قم بتثبيت أدوات أمان موثوقة - استخدم حلول مكافحة البرامج الضارة مع ميزات الحماية من برامج الفدية.

• تعطيل وحدات الماكرو والبرامج النصية – يتم تشغيل العديد من هجمات برامج الفدية من خلال مستندات Office أو البرامج النصية.

• شبكات القطاعات – منع انتشار البرامج الضارة أفقياً عبر بيئات العمل.

الأفكار النهائية

يُسلّط برنامج الفدية "سرقة البيانات" الضوء على التطور المستمر لعائلة "دارما" ودورها الدائم في حملات الفدية العالمية. إنّ مزيجها من التشفير وسرقة البيانات والابتزاز يجعلها ضارة للغاية. وبما أن استعادة الملفات غالبًا ما تكون مستحيلة بدون نسخ احتياطية نظيفة، فإنّ الحماية الحقيقية الوحيدة هي الوقاية متعددة الطبقات، والنظافة السيبرانية القوية، واستراتيجيات استرداد موثوقة.