كاسبرسكي: زيادة هجمات برمجيات الفدية على الأجهزة المحمولة بمعدل 3.5 أضعاف في الربع الأول من 2017

لا يُظهر الكابوس الذي يعيشه العالم من هجمات برمجيات الفدية الخبيثة أي علامة على التباطؤ، مع ارتفاع حجم هجمات برمجيات الفدية الخبيثة على الأجهزة المحمولة إلى أكثر من ثلاثة أضعاف (3.5 أضعاف) خلال الأشهر القليلة الأولى من العام، وفقًا للتقرير الصادر عن كاسبرسكي لاب بشأن البرمجيات الخبيثة للربع الأول من عام 20177.

وبلغ ملفات برمجيات الفدية الخبيثة على الأجهزة المحمولة التي تم اكتشافها 218,625 برنامجًا خلال ربع العام، مقارنة ب 61,832 برنامجًا في الربع السابق، إذ مثلت أسرة برنامج Congur أكثر من 86% من البرمجيات التي تم اكتشافها، كما واصلت برمجيات الفدية الخبيثة التي تستهدف جميع الأجهزة والأنظمة والشبكات في النمو، حيث ظهرت هناك 11 أسرة تشفير Cryptor جديدة و 55,679 من البرمجيات المعدلة الجديدة في الربع الأول من العام.

وأوضحت كاسبرسكي لاب أن برمجيات الفدية الخبيثة Congur تقوم في المقام الأول بمنع إعداد رقم التعريف الشخصي للجهاز رمز المرور أو إعادة اختياره، وبذلك يصبح للمهاجمين حقوق إدارية على الجهاز، وتجري البرمجيات الخبيثة بعض التغيرات لتحقيق المزيد من الاستفادة من هذه الحقوق بغرض تثبيت وحدة نمطية في ملف النظام بحيث يكاد يكون من المستحيل إزالتها.

وعلى الرغم من رواج برمجية Congur، ظلت برمجية Trojan-Ransom.AndroidOS.Fusob.h الأكثر استخدامًا على نطاق واسع على الأجهزة المحمولة، وهو ما يمثل نحو 455% من جميع أجهزة المستخدمين التي تعرضت لهذه الهجمات خلال فترة البحث.

وبمجرد تشغيلها، تطلب برمجية “حصان طروادة” الخبيثة الحصول على امتيازات إدارية للجهاز وتقوم بجمع معلومات بشأن الجهاز، بما في ذلك إحداثيات الموقع باستخدام نظام “جي بي إس” GPS وبيانات الاتصالات السابقة، ثم تقوم بتحميل البيانات على سيرفر خبيث، بعدها يقوم السيرفر بإرسال أمر لحظر الجهاز بناء على ما تلقاه من بيانات.

وأصبحت الولايات المتحدة الأمريكية البلد الأكثر تضررًا من هجمات برمجيات الفدية الخبيثة من خلال الأجهزة المحمولة في الربع الأول من العام، وكانت هجمات برمجيات الفدية الخبيثة Svpeng الأكثر انتشارًا.

وإجمالًا، تم الكشف عن 55,679 تعديلًا جديدًا لبرمجيات الفدية الخبيثة عبر نظام ويندوز خلال ربع العام بما يمثل زيادة بحوالي الضعفين في الربع الأخير من عام 2016 (29,450 تعديلًا). تنتمي معظم هذه التعديلات الجديدة إلى عائلة Cerber.

وقال رومان أونوشيك، محلل أول البرمجيات الخبيثة في شركة كاسبرسكي لاب: “كان مشهد هجمات الفدية الخبيثة من خلال الأجهزة المحمولة صاخبًا في الربع الأول من العام. ارتفعت هجمات الفدية الخبيثة التي تستهدف الأجهزة المحمولة، واستمرت عائلات والتعديلات الجديدة لبرمجيات الفدية في الانتشار. يجب أن يضع الناس في اعتبارهم أنه يمكن للمهاجمين وسيحاولون – بشكل متزايد – منع وصولهم إلى البيانات الخاصة بهم ليس فقط على جهاز الكمبيوتر ولكن أيضا على أجهزتهم المحمولة”.

وفيما يتعلق بإحصاءات الهجمات الإلكترونية المذكورة في التقرير الخاص بالربع الأول من عام 2017، كشفت حلول كاسبرسكي لاب وصدت 479,528,279 هجمة خبيثة من المصادر عبر الإنترنت تقع في 190 بلدًا في جميع أنحاء العالم، كما تم الكشف عن 79,209,775 عنوانًا لمصدر برمجيات خبيثة على شبكة الانترنت (URLs) من خلال وسائل مكافحة الفيروسات على شبكة الانترنت.

وقالت الشركة إنه قد تم تسجيل محاولات نشر العدوى باستخدام البرمجيات الخبيثة التي تهدف إلى سرقة الأموال عن طريق الوصول عبر شبكة الإنترنت إلى الحسابات المصرفية على 288,000 جهاز كمبيوتر خاص بالمستخدمين. وتم حظر هجمات التشفير من جانب برمجيات الفدية الخبيثة على  240,799 جهاز حاسب خاص بمستخدمين مميزين.

وكشف حل كاسبرسكي لاب لمكافحة فيروسات الملفات ما مجموعه 174,989,956 مادة خبيثة فريدة من نوعها وغير المرغوب فيها. وكشفت منتجات كاسبرسكي لاب لأمن الأجهزة المحمولة أيضًا عن 1,333,605 حزمة تركيب خبيثة، و32،038 حصان طروادة لمهاجمة الحسابات المصرفية عبر الأجهزة المحمولة (حزم تثبيت).

للحد من خطر العدوى، تنصح كاسبرسكي لاب المستخدمين باستخدام حلول أمنية قوية والتأكد من التحديث  المستمر لجميع البرامج، وبإجراء فحص نظامي دوري للتحقق من أي إصابة محتملة. إضافة إلى التصرف بحكمة أثناء تصفح الانترنت، وعدم إدخال البيانات الشخصية في أي موقع على الانترنت في حال عدم التأكد التام من ذلك الموقع أو الاشتباه فيه. وإعداد نسخ احتياطية من المعلومات الهامة.

هجمات انتزاع الفدية WannaCry.. عندما تُنسف مناهجنا الدراسية عن بَكرَة أبيها

لا شكّ أنك سمعت عن هجمات انتزاع الفدية التي حملت اسم WannaCry أو “هل تُريد البكاء” باللغة العربية، وهي هجمات تستغل ثغرة في إصدارات نظام ويندوز التي تسبق ويندوز 100 وتسمح للمُخترق بقفل الجهاز وتشفير ملفّات المستخدم مع طلب مبلغ 300 دولار أمريكي يتضاعف بعد أيام قليلة، قبل أن يتمرّد المُخترق ويقوم بحذف جميع الملفّات بعد أسبوع إن لم يستجب المُستخدم.

هجمات الفدية أو الهجمات الخبيثة أمر طبيعي في العالم الرقمي، فالشركات تسعى لحماية أنظمتها من مثل تلك الهجمات، لكن السعي لا يعني أبدًا أنها قد تصل لهدفها المنشود.

ولو انتقلنا إلى ضحايا هذا الهجوم، وغيره من الهجمات، سنجد أن الشركات الكبيرة المُستهدفة غالبًا ما تتصرّف بنفس الطريقة: إيقاف تشغيل الأجهزة بالكامل، أو فصلها عن شبكة الإنترنت على الأقل لتجنّب الإصابة. وكمثال عمّا حدث بُعيد هجمات WannaCry، قامت منظّمة الصحّة البريطانية بإيقاف النظام بالكامل، وتأجيل العمليات الجراحية الغير مُستعجلة مع رفض استقبال الحالات المرضية العادية!

في المصارف الأمر لا يختلف أبدًا، سنجد -بهجمات وبدون هجمات- عبارة النظام متوقّف “سيستيم داون!” طالبين من العميل العودة في وقت لاحق يكون بعد 24 ساعة تقريبًا، أي أننا لو احتجنا لنقود في وقت مُحدّد قد لا نحصل عليها لأن النظام متوقّف عن العمل. وهذا بدوره يفتح تساؤلات حول ما يجري داخل فرق العمل المُتخصّصة في المجال التقني في أي مؤسّسة.

جميع من دخل الجامعة بتخصّص هندسة المعلوماتية أو ما يوازيه يُدرك تمامًا أن أي مُقرّر نأخذه مع بداية الفصل الدراسي الثاني سيحتوي على قسم كامل يتحدّث عن الخطط البديلة “بلان ب” (Plan B)، فكونك مُتخصّص في التقنية يعني -بالنسبة للمُدراء- أنك تمتلك عصى سحرية تُمكّنك من إتمام أي مهمّة بسرعة تامة وفي أي وقت دون أية أعذار.

وبالتالي سنجد في مُقرر الشبكات أن الفريق يجب أن يوفّر نظام بديل يعمل طوال الوقت، وعند حدوث أي مشاكل أو كوارث على النظام الأول، يتم الانتقال للنظام الثاني فوريًا ودون أن يتوقّف النظام الكامل عن العمل. الحال نفسه أيضًا في مُقرّر قواعد البيانات Database، فالعمل على قاعدة واحدة فقط دون وجود نسخ احتياطية آنية يعني أن النظام مُعرّض للانهيار في أي وقت، وهذا بدوره قد يعني انهيار للشركة نفسها بسبب كميّة البيانات الكبيرة التي قد تضيع.

لكن وعند النظر إلى ردود أفعال بعض الشركات، العالمية والعربية، نجد أن بعضها يجلس دون لا حول ولا قوّة يشتكي من عدم وجود أداة لفك تشفير الملفّات الهامّة والضرورية التي وفي حالة فقدانها قد تحدث طامّة كُبرى. وهُنا نتساءل بدورنا عن مكان الحلول البديلة، “بلان ب”، لتلك الأنظمة؟

هل من المعقول أن تعمل شركات كبيرة دون أن يكون لديها اتصال احتياطي بالإنترنت؟ ودون أن يكون لديها نظام أو برنامج بسيط يقوم بأخذ نسخ احتياطية من الملفّات وتخزينها على خوادم سحابية؟ أو دون أن يكون لها نظام احتياطي لقواعد البيانات يُمكن الاعتماد عليه في حالات الطوارئ؟

هل من المنطقي أن نؤجّل عمل جراحي بسبب اختراق أو أن نتوقّف عن استقبال الحالات المرضيّة العاديّة التي قد تتضاعف إن لم يُكشف عنها بشكل مُبكّر؟

الحل المنطقي والأقل تكلفة هو إنشاء نظام احتياطي قادر على العمل في أي وقت خلف النظام الأصلي، ولا يُشترط أن يتزامن النظامان معًا، فعلى أقل تقدير من المفترض أن تُتاح إمكانية إدخال البيانات وتخزينها ومن ثم يتم دمجها فيما بعد مع النظام الرئيسي.

هنا نتحدّث عن المشافي فقط، لأن مثل تلك الأمور في المصارف قد تؤدي إلى سرقات كبيرة. لكن الحلول موجودة بكل تأكيد أيًا كان النظام، وأيًا كان مكان عمله. لكن في 2017، ليس من المنطقي أن يدخل العميل أو المريض ويسمع عبارة نعتذر عن استقبالك وتلبية طلباتك لأن النظام متوقّف عن العمل!

ناتاليا كاسبرسكي: هناك حاجة ماسّة لتبنّي قوانين دولية تضمن حماية جميع الأجهزة المتصلة بالإنترنت

شاركت السيدة ناتاليا كاسبرسكي، الرئيس التنفيذي لمجموعة “إنفو واتش” InfoWatch المتخصصة بحلول  القرصنة، في جلسة مناقشة حكومية بشأن المدن الأكثر ذكاءً وأمنًا خلال الدورة الرابعة من معرض ومؤتمر الخليج لأمن المعلومات “جيسيك 2017” GISEC 2017 الذي يعد فعالية عالمية رائدة في مجال الأمن الإلكتروني، وينعقد في دبي بين 21-23 أيار/مايو الجاري.

وقد استعرضت كاسبرسكي خلال هذه الجلسة التهديدات الحالية المترافقة مع التطور العالمي لقطاع إنترنت الأشياء؛ كما اقترحت تبني منهج عالمي موحد لحماية جميع الأجهزة الذكية المتصلة بالإنترنت.

وأكدت السيدة كاسبرسكي أن تطوير المدن الذكية وحلول إنترنت الأشياء يستمد الزخم من ظهور عدد كبير من التقنيات الناشئة، والتي تعتمد أنواعًا متنوعة من البروتوكولات والهيكليات والبرمجيات. وبالنظر إلى المعلومات المتاحة للجمهور عمومًا، فإن مئات آلاف الأجهزة المستخدمة يوميًا لا تزال غير آمنة على المستوى العالمي، وبالتالي ينبغي توخي الدقة والحذر عند تطوير نظام يدعم تلك الأجهزة.

وقالت كاسبرسكي في هذا السياق: “لنتخيل النتائج التي تنجم عن حدوث اعتداء سيبراني- مثل هجوم برمجيات الفدية الخبيثة الأخير وانا كراي WannaCry- يؤثر على نظم المطارات المتعلقة بمراقبة تدفق الركاب وجوازات السفر، أو يؤدي إلى نشر بيانات الركاب على الإنترنت أو حتى عرقلة أنظمة الملاحة التي يستخدمها مسؤولو العمليات الجوية. في الواقع، يؤكد هذا أن جميع أنواع الأنظمة التي يستخدمها البشر في المدينة الذكية قد تكون عُرضة لمثل تلك الهجمات”.

من جهة ثانية، أكدت كاسبرسكي أن الوضع يزداد سوءًا، حيث يعتقد مطورو حلول الأمن الإلكتروني أنه من غير المجدي اقتصاديًا مواجهة تلك التحديات؛ كما أن شركات تصنيع الأجهزة لا تأخذ الجانب الأمني على محمل الجد بالشكل الكافي.

وأضافت كاسبرسكي: “إذا قمنا بتطوير منتج متخصص لشريحة صغير من سوق الحلول الأمنية لإنترنت الأشياء، فليس هناك فرصة لنمو وتطور ذلك المنتج أو جني عوائد مالية منه. ولكن مصنعي الأجهزة الذكية يركزون أولًا في وظائف المنتجات ومن ثم المزايا الأمنية، وهو الأمر الذي من المفترض أن يكون من أول نقاط التركيز منذ المراحل المبكرة لعمليات التطوير”.

وأوضحت كاسبرسكي أن الجهات التي تطور التقنيات الناشئة عادةً ما تفتقر لرؤىً واضحة وملائمة إزاء قضايا الأمن الإلكتروني والتي تضمن توفير سبل الحماية الإلكترونية اللازمة. ويؤكد ذلك، بحسب كاسبرسكي، على ضرورة أن تصبح قوانين الأمن الإلكتروني الأساسية واحدة من المحركات الرئيسية لتطوير نظم تقنية المعلومات. ومع أخذ العولمة والتنافس التقني بالاعتبار في القطاع، فإن مثل هذه الأنشطة قد تساعد على تأسيس هيئة دولية تُعنى بصياغة توصيات الأمن السيبراني سواء بالنسبة للحكومات الوطنية أو على الصعيد العالمي.

وكجزء من جدول أعمال معرض “جيسيك 2017″، انضمت ناتاليا كاسبرسكي إلى ندوة حوارية بعنوان “الحكومة وقطاع الأعمال والمجتمع في مواجهة الواقع الجديد للعالم الرقمي”، والتي أدارها السيد كريشنا راجاجوبال، الرئيس التنفيذي لشركة “أكاتي” الماليزية للاستشارات، وذلك بحضور السيد رستم كايري تيدينوف، الرئيس التنفيذي في شركة “أتاك كيلر”؛ وتيم كايري تيدينوف، الرئيس التنفيذي للتقنية في شركة “آبيركت سكيوريتي”. وناقش المشاركون في الندوة تأثر مسيرة التقدم في المجتمع الرقمي سلبًا نتيجة التهديدات الأمنية الداخلية والخارجية التي تطال المؤسسات والشركات.

إلى جانب ذلك، استعرضت كاسبرسكي نتائج أبحاث مركز “إنفو ووتش” التحليلي حول عمليات تسريب البيانات لعام 2016 في منطقة الشرق الأوسط مقارنة بالمشهد الأمني العالمي. وقد وقعت عمليات تسرب البيانات في الشرق الأوسط- والتي تعد أكثر بكثير من نظيراتها في العينات العالمية– نتيجة هجمات خارجية على البنية التحتية لتقنية المعلومات في المؤسسات؛ علمًا أن نسبة التسريبات التي يتم تنفيذها داخليًا لم تتجاوز 18%، فيما بلغت 40% عالميًا. وقد تم رصد عمليات تسريب للبيانات الشخصية والمالية في 90% و60% من إجمالي الحالات المسجلة في العالم ومنطقة الشرق الأوسط على التوالي، مع العلم أن أكثر من ثلث جميع التسريبات كانت تتعلق بمعلومات وأسرار حكومية وتجارية.

من ناحية أخرى، أشارت السيدة كاسبرسكي إلى تحدي الهجمات التي تطال نظم إنترنت الأشياء الصناعية، خاصة وأن جميع المدن الحديثة ومعظم المؤسسات والشركات التي تستخدم أنظمة متصلة بالإنترنت تتعرض لمخاطر العديد من الهجمات الإلكترونية المستهدفة.

وقالت بهذا السياق: “تتباين أنماط الهجمات بشكل عام؛ إذ قد تكون من داخل المؤسسات والشركات، أو باستخدام الفيروسات وهجمات “حجب الخدمات الموزعة” أو مزيج من جميعها. وعند حدوث اختراق في مؤسسة أو موقع معين، عادة ما يستخدم المهاجمون خيارات متنوعة في وقت واحد، مما يتيح لهم المهاجمة ليس فقط عبر أجهزة الحاسب المكتبية، بل من خلال الأجهزة الأخرى المتصلة بالإنترنت أيضًا.

واستعرضت كاسبرسكي مجموعة من التهديدات الرئيسية التي تؤثر على تقنية المعلومات، وأهمها التهديدات الإلكترونية مثل الفيروسات، وبرمجيات الأبواب الخلفية التي تخترق النظم والتطبيقات الحاسوبية، والهجمات على أنظمة إنترنت الأشياء الصناعية، وعمليات القرصنة الإلكترونية، وهجمات “حجب الخدمات الموزعة” DDoS، وبرمجيات حصان طروادة الخبيثة، إضافة إلى تسربت البيانات والمعلومات، والتجسس، والتأثير على الموظفين، والأخبار الكاذبة، والانكشاف على الجماعات الإرهابية، ومحاولات التشهير والتهجم على السمعة.

باحث أمني ينشر أداة تسمح بفك تشفير الملفّات بعد هجمات WannaCry

بعد أسبوع واحد من بدء هجمات انتزاع الفدية WannaCry، تمكّن الباحث Benjamin Delpy من تطوير أداة تسمح بفك تشفير الملفّات المُتضرّرة بعد الهجوم، ودون الحاجة لدفع فديّة للمُخترقين.

وتحمل الأداة الاسم wanakiwi، ويُمكن استخدامها مع أنظمة ويندوز من إكس بي وحتى 7، بشرط أن وحيد فقط وهو أن الجهاز لم يتوقّف عن العمل بعد إصابته، وإلا قد لا تكون الأداة ذات تأثير، لأن ذواكر الحاسب تفقد البيانات بمُجرّد إعادة تشغيله أو إيقافه بشكل كامل.

وبشكل عام، تقوم الأداة بفحص ذواكر الحاسب للبحث عن الأعداد الأولية، وهي الأعداد التي تستنتد عليها خوارزميات التشفير للبدء في إنشاء أنماط تشفير الملفّات. وبعد الحصول على تلك الأرقام، تقوم أداة wanakiwi بإنشاء مفاتيح لفك تشفير الملفات اعتمادًا عليها، فاستناد خوارزميات التشفير ومفاتيحها يكون على تلك الأعداد بشكل أساسي.

وتُعتبر هجمات WannaCry الأكبر في التاريخ بعد إصابة أكثر من 300 ألف حاسب في أكثر من 150 بلد حول العالم، مع قفل بيانات المستخدمين وتشفيرها وطلب فدية مالية لقاء فك تشفيرها وإلا سيتم حذف تلك الملفّات بعد أسبوع. ويُصادف اليوم، 20 مايو/أيار، مرور أسبوع منذ حدوث تلك الهجمات.

وللحماية من هجمات WannaCry -وغيرها أيضًا- يُنصح تثبيت التحديثات بشكل فوري خصوصًا التحديثات الأمنية؛ فشركة مايكروسوفت أغلقت الثغرة التي استغلّتها أداة WannaCry منذ 14 مارس/آذار 2017. لكن وعلى الرغم من ذلك، تمكّنت الأداة من إصابة عدد كبير جدًا من الأجهزة.

معظم ضحايا برمجية انتزاع الفدية WannaCry يعملون على ويندوز 7

بعد هذا الخبر ستفكر جدياً بترقية نظام تشغيل حاسبك، حيث نشرت كاسبرسكي إحصائية تظهر انتشار ضحايا برمجية انتزاع الفدية WannaCry التي ضربت العالم الأسبوع الماضي وكانت معظم الأجهزة المصابة تعمل بنظام ويندوز 7.

بحسب بيانات كاسبرسكي فإن 98% من الحواسب المصابة بالبرمجية تعمل بنظام ويندوز 7 بمختلف إصداراته، في حين كانت نسبة الإصابة لنظام ويندوز 10 لا تزيد عن 0.03%، وعلى مستوى المخدمات والشركات فإن نظام ويندوز 2008 R2 بمختلف إصداراته كانت نسبته أعلى من 1%.

من الطبيعي أن يكون ويندوز 7 الأعلى إصابة نظراً لإنتشاره الواسع في العالم حيث تصل حصته السوقية أربعة أضعاف حصة ويندوز 10. من المهم الإشارة إلى أن مايكروسوفت أرسلت تحديث أمني يسد الثغرة التي استغلتها البرمجية قبل أسابيع من شنها، لكن أغلبية المستخدمين لا يحدثون أنظمة تشغيل حواسيبهم ما يجعلهم عرضة لمثل هذه المخاطر.

وبالرغم من إيقاف دعم ويندوز إكس بي بالتحديثات الأمنية إلا أن مايكروسوفت أرسلت تحديث طارئ وغير اعتيادي يسد الثغرة أيضاً لمنع انتشاره المتزايد لاسيما أن البرمجية تعتمد الإنتشار عبر الشبكات المحلية.

برمجية خبيثة تحتال على مستخدمي واتس اب من خلال الدعوة إلى تغيير لون التطبيق

يجري حاليًا تحذير مستخدمي واتس اب، الذي يعد أكثر تطبيقات التراسل الفوري انتشارًا حول العالم من رسالة احتيالية جديدة تضم رابطًا خبيثًا إلى موقع يُزعم أنه يتيح تغيير لون التطبيق.

وتقول الرسالة، التي رُصدت أول مرة من قبل أحد مستخدمي موقع “ريديت” Reddit: “أصبح بإمكانك الآن تغيير واتس اب وإضفاء اللون المفضل لديك”. ويُطلب من متلقي الرسالة مشاركتها مع 12 صديقًا لتفعليها وتأكيد اللون الجديد.

وحالما يقوم المستخدمون بمشاركة الرسالة مع 12 صديقًا، يُطلب منهم أن يستخدموا حاسبًا شخصيًا لضمان عمل الميزة الجديدة، وبعد النقر على الرابط الموجود في الرسالة يُطلب منهم تنزيل امتداد باسم “بلاك واتس” BlackWhats من متجر جوجل كروم. وبعد تنزيل امتداد BlackWhats، يُصاب جهاز المستخدم، إضافة إلى الـ 12 صديقًا، ببرمجية إعلانية خبيثة.

ومن جانبها قالت جوجل إنها أزالت الامتداد من متجر جوجل كروم، كما يُنصح بالتأكد من الرابط الذي يُشارك مع المستخدمين، إذ إنه يستخدم خليطًا من الحروف الروسية والإنجليزية يظهر وكأنه عنوان موقع واتس اب الرسمي على الويب шһатѕарр.com.

يُشار إلى أن تقنية احتيالية مشابهة استخدمت في الماضي لخداع مستخدمي موقع الدفع الإلكتروني “باي بال” PayPal.

شركات وباحثون أمنيون يخلصون إلى أن كوريا الشمالية قد تكون وراء برمجية WannaCry

خلصت اثنتان من كبرى شركات أمن المعلومات العالمية إلى أنه يوجد رابط بين هجمات الفدية الخبيثة “وانا كراي” WannaCry الأخيرة ومجموعة قراصنة مرتبطة بحكومة كوريا الشمالية تُعرف باسم “مجموعة لازاروس” Lazarus Group.

وقال شركتا كاسبرسكي لاب وسيمانتك أمس الاثنين إن تفاصيل تقنية وُجدت في نسخة مبكرة من شيفرة “وانا كراي” تشبه شيفرة اُستخدمت من قبل قراصنة مرتبطين بحكومة كوريا الشمالية في عام 20155 في إنشاء أبواب خلفية، وهي نفس المجموعة التي تورطت في هجوم عام 20144 على شركة “سوني بيكتشرز”، وكذلك سرقة نحو 81 مليون دولار أمريكي من مصرف بنغلاديش المركزي في عام 2016.

وقد عرفت مجموعة لازاروس أيضًا باستخدام واستهداف عملة بيتكوين الرقمية في عمليات القرصنة. وكان الباحث الأمني في غوغل نيل ميهتا أول من رصد أوجه التشابه بين شيفرة “وانا كراي” وشيفرة مجموعة  لازاروس، وكررها باحثون آخرون من بينهم ماتيو سويش من شركة “كوماي تكنولوجيز” ومقرها الإمارات العربية المتحدة.

ومع أن الشيفرة المشتركة لا تعني دائمًا أن نفس المجموعة نفذت الاختراق، فقد تكون مجموعة مختلفة تمامًا أعادت استخدام رمز خاص بمجموعة لازاروس منذ عام 2015 بغية إرباك أي شخص يحاول التعرف على مرتكبي الجريمة. ومع ذلك، يُعتقد أن الشيفرة المعاد استخدامها قد أُزيلت من الإصدارات الأحدث من برمجية الفدية الخبيثة “وانا كراي”، مما يعطي وزنًا لنظرية أن مجموعة لازاروس قد تكون مسؤولة عن الهجوم، بحسب شركة كاسبرسكي لاب.

وقالت كاسبرسكي لاب في منشور على مدونتها: “نعتقد أنه من المهم أن يبحث باحثون آخرون في جميع أنحاء العالم عن أوجه التشابه هذه ويحاولون اكتشاف المزيد من الحقائق بشأن أصل وانا كراي”، مشيرةً إلى أنه في الأيام الأولى لهجوم مصرف بنغلاديش، كانت هناك أدلة شحيحة تربطه بمجموعة لازاروس. ومع ذلك، فقد وجد الباحثون مع مرور الوقت المزيد من القرائن التي تثبت تورط المجموعة المرتبطة بحكومة كوريا الشمالية.

وتعد كاسبرسكي لاب من بين فرق البحث التي تدرس مجموعة لازاروس منذ سنوات، وفي شهر نيسان/أبريل الماضي، نشرتالشركة الروسية المتخصصة في أمن المعلومات تقريرًا مفصلًا يكشف خبايا وأسرار طريقة عمل مجموعة القرصنة الخطيرة.

يُشار إلى أن هجوم الإلكتروني الذي استخدم برمجية “وانا كراي”، والذي بدأ يوم الجمعة الماضي، ضرب حتى الآن أكثر من 200,000 جهاز حاسب في نحو 150 بلدًا، مما تسبب في تعطيل مستشفيات، ومؤسسات حكومية، بالإضافة إلى مؤسسات تجارية.

ويأتي الربط بين هجمات “وانا كراي” وحكومة كوريا الشمالية في الوقت الذي ينتقد فيه باحثو الأمن وشركات التقنية الحكومة الأمريكية لتخزين الأسلحة السيبرانية بما في ذلك البرمجية الخبيثة Eternal Blue التي طورتها وكالة الأمن القومي الأمريكية NSA واستفادت منها “وانا كراي” بعدما نُشرت على الإنترنت في الشهر الماضي من قبل مجموعة قراصنة معروفة باسم “وسطاء الظل” Shadow Brokers.

“إف5 نتووركس” تستعرض معلومات جديدة بشأن هجمات WannaCry وسبل الحماية منها

تطلق عادة تسمية “كوارث الفيروسات” على الحوادث التي يتم فيها إصابة أكثر من 25 حاسبًا على نفس الشبكة بفيروس ما، وتنطبق هذه التسمية على الهجمات الأخيرة WannaCry التي تقفل كل الملفات الموجودة على الحاسبات المصابة حتى يقوم المستخدم بدفع فدية لإعادة فتحها.

وقد كان القطاع الصحي في المملكة المتحدة من أوائل المؤسسات التي أصابتها هذه الهجمات، إلا أنها انتشرت لاحقًا ليطال أثرها العديد من المؤسسات على نطاق واسع حول العالم.

وفي هذا السياق، قال راي بومبون، الباحث الأمني لدى “إف5 نتووركس” F5 Networks: “الخطير في الهجمات الجديدة وفقا لشركة إف5 نتووركس هو تركيزها في جانب كبير على القطاع الصحي، وبالتالي فإن مضاعفات هذه الهجمات قد تتسبب بوفاة بعض المرضى (نتيجة عدم التمكن من الوصول إلى ملفاتهم)، مما يصنّف هذه الهجمات ضمن جرائم القتل الإلكترونية أيضًا، وهي سابقة خطيرة في هذا المجال”.

وقد ركزت هذه الهجمات على بروتوكول SMB الخاص بمشاركة البيانات والذي عادة ما يكون مفتوحًا على مصراعيه ضمن شبكات المؤسسات، مما ساهم على انتشار الهجمات الجديدة على نطاق واسع وبصورة سريعة.

ولا شك أن تثبيت التحديثات الخاصة بأنظمة التشغيل هي الخطوة الأهم في مجال الحماية من هذه الهجمات، إلا أن بالإمكان الاستعانة بطبقة ثانية من الحماية تتمثل في إيقاف حركة البيانات بشقيها، الواردة من الإنترنت والبيانات التي يتم تناقلها عبر الشبكة، وإغلاق المنافذ الشبكية TCP التي تحمل الأرقام 22 و 23 و 3389 و 139 و 145، إضافة إلى منافذ UDP التي تحمل الرقم 137 و 138، هذا بالإضافة إلى ضرورة النسخ الاحتياطي للبيانات.

تعليق كاسبرسكي لاب على هجمات فيروس الفدية WannaCry الأخيرة

شهد العالم أوسع حملة من هجمات انتزاع الفدية التي ضربت مؤسسات حول العالم. وقد قام باحثوكاسبرسكي لاب بتحليل البيانات، ويمكنهم التأكيد بأن نظم الحماية الأمنية الفرعية في الشركة قد اكتشفت ما لا يقل عن 45,000 محاولة لنقل الإصابة في 744 بلدًا، معظمها في روسيا.

وتتمكن برمجية الفدية من إصابة الضحايا عن طريق التسلل من خلال إحدى الثغرات الأمنية الموصوفة والمثبتة في Microsoft Security Bulletin MS17-010. يذكر أن هذا الهجوم الذي استخدم أداة Eternal Blue قد اكتشف من خلال نشاط عصابة Shadowbrokers بتاريخ 14 نيسان/أبريل 2017. 

وبعد أن يتمكن المهاجمون من التغلغل في النظام، سرعان ما يقومون بتثبيت أدوات التمويه Rootkit التي تمكنهم من تحميل البرنامج لتشفير البيانات. وتقوم البرمجية الخبيثة بتشفير الملفات. يتم عرض مبلغ الفدية وقدره 600 دولار أمريكي على هيئة العملة الإلكترونية بيتكوين إلى جانب المحفظة، ثم يرتفع مبلغ الفدية شيئًا فشيئًا مع مرور الوقت.

ويحاول خبراء كاسبرسكي لاب حاليًا تحديد ما إذا كان من الممكن فك تشفير البيانات المقفلة نتيجة لهذا الهجوم، وذلك بهدف تطوير أداة لفك التشفير في أقرب وقت ممكن.

وقالت كاسبرسكي لاب إن حلولها الأمنية تقوم باكتشاف البرمجية الخبيثة المستخدمة في هذا الهجوم عن طريق أسماء التتبع والرصد التالية: Trojan-Ransom.Win32.Scatter.uf، وTrojan-Ransom.Win32.Scatter.tr، وTrojan-Ransom.Win32.Fury.fr، وTrojan-Ransom.Win32.Gen.djd، وTrojan-Ransom.Win32.Wanna.b، و.Trojan-Ransom.Win32.Wanna.c

ويوجد أيضًا أسماء التتبع والرصد: Trojan-Ransom.Win32.Wanna.d، وTrojan-Ransom.Win32.Wanna.f، وTrojan-Ransom.Win32.Zapchast.i، وTrojan.Win64.EquationDrug.gen، وTrojan.Win32.Generic  (ينبغي تفعيل مكوّن مراقب النظام  System Watcher).

ويوصي باحثو الشركة باتخاذ عدة إجراءات للحد من تداعيات وانتشار هذا الهجوم، بما في ذلك تثبيت برنامج تصحيح الثغرات الرسمي Patch من مايكروسوفت الذي يقوم بسد الثغرات الأمنية المستخدمة في الهجوم، والتأكد من تفعيل/تشغيل الحلول الأمنية على كافة العقد في الشبكة.

وفي حال استخدام حل كاسبرسكي لاب، يوصي الباحثون بالتأكد من أنه يشتمل على مراقب النظام System Watcher، وهو مكوّن يركز على الكشف السلوكي الاستباقي والتأكد كذلك من تشغيله، وبتشغيل خاصية المسح الضوئي للمناطق الحرجة  Critical Area Scan في حل كاسبرسكي لاب للكشف عن الإصابة المحتملة في أقرب وقت ممكن (وإلا سيتم اكتشافها تلقائيا، في حال لم يتم إيقافها في غضون 24 ساعة).

ويوصي باحثو كاسبرسكي لاب أيضًا بإعادة تشغيل النظام بعد الكشف عن MEM: Trojan.Win64.EquationDrug.gen، وباستخدم خدمات الإبلاغ عن مخاطر التهديدات الخاصة بالعملاء  Customer-Specific Threat Intelligence Reporting.

كل ما تود معرفته عن فيروس WannaCry

منذ بضعة أيام، بدأ هجوم واسع الانتشار لفيروس WannaCry -الذي يستخدم برنامج التشفير Trojan- وأصبح وباءً يهدد العالم كله؛ وقد أطلق عليه وباء نتيجة انتشاره الهائل الذي أسفر عن إصابة أكثر من 45,000 حالة في يوم واحد فقط، ومن المؤكد أن الرقم الفعلي أكبر من ذلك كثيراً.

ما الذي حدث؟

تعرض عدد كبير من المؤسسات الكبيرة مثل المستشفيات البريطانية لهجوم متزامن أدى إلى تعليق أعمالها. ووفقاً للبيانات الصادرة عن أطراف ثالثة، اخترق فيروس WannaCry أكثر من 100,000 جهاز كمبيوتر، الأمر الذي جعله السبب الرئيسي وراء جذب هذا الفيروس ذلك القدر الهائل من الاهتمام.

وقد جاءت روسيا في المرتبة الأولى من حيث تعرضها لهجمات الفيروس. كما عانت عدة دول مثل أوكرانيا والهند وتايوان من هذا الفيروس. وفي المجمل، بلغ عدد الدول المصابة بالفيروس 74 دولة، وكل ذلك في اليوم الأول فقط من الهجوم.

ما المقصود بفيروس WannaCry؟

بوجه عام، يهاجم فيروس WannaCry على مرحلتين: المرحلة الأولى يطلق عليها استغلال الثغرات ويهدف فيها إلى التسلل والانتشار، والمرحلة الثانية يطلق عليها التشفير ويحدث ذلك عن طريق برنامج تشفير يتم تنزيله إلى الكمبيوتر بعد إصابته بالفيروس.

وهذا هو الفرق الرئيسي بين فيروس WannaCry ومعظم برامج التشفير الأخرى. وليتمكن الفيروس من التسلل إلى جهاز كمبيوتر عبر برنامج تشفير مشترك، يجب أن يرتكب المستخدم خطاً مثل النقر على رابط مريب يسمح لبرنامج “الوورد” بتشغيل وحدة ماكرو خبيثة، أو تنزيل مرفق مريب من رسالة بريد إلكتروني. ويمكن أن تصاب النظم بفيروس WannaCry بدون القيام بأي خطأ.

فيروس WannaCry: استغلال الثغرات والانتشار

فقد استفاد مبتكرو فيروس WannaCry  من ثغرة نظام Windows المعروفة باسم EternalBlue، واستغلوا نقطة ضعف عالجتها شركة مايكروسوفت في التحديثات الأمني MS17-010بتاريخ 14 مارس من العام الحالي. ومن خلال استخدام هذه الثغرة، استطاع المخربون الوصول عن بُعد إلى أجهزة الكمبيوتر وتثبيت برنامج التشفير.

إذا قمت بتثبيت التحديث، ولم تعد نقطة الضعف موجودة في جهاز الكمبيوتر الخاص بك، فلن تجدي أي هجمات لاختراق الكمبيوتر عن بُعد نفعاً. ويود فريق الأبحاث والتحليل العالمي الخاص بشركة Kaspersky Lab فريق GreAT الإشارة على وجه خاص إلى أن معالجة نقطة الضعف وتصحيحها لن يردع بأي شكل من  الأشكال برنامج التشفير عن العمل. من ثم إذا ساعدت بطريقة ما على تشغيل برنامج التشفير (راجع أعلاه لمعرفة ما إذا ارتكبت خطأ أم لا) فلن تجدي المعالجة والتصحيح نفعاً.

وبعد اختراق فيروس WannaCry جهاز الكمبيوتر بنجاح، سيحاول الانتشار عبر الشبكة المحلية للوصول إلى أجهزة الكمبيوتر الأخرى، مثلما تفعل دودة الكمبيوتر. ثم يمسح برنامج التشفير أجهزة الكمبيوتر الأخرى بحثاً عن نقطة الضعف نفسها التي يمكن استغلالها بمساعدة ثغرة EternalBlue، وعندما يعثر فيروس WannaCry على آلية ضعيفة، فإنه يهاجمها ويقوم بتشفير ملفات داخلها.

وقد تبيَّن أن فيروس WannaCry يستطيع الانتشار إلى الشبكة المحلية بكاملها وتشفير كل أجهزة الكمبيوتر الأخرى المتصلة بهذه الشبكة عند اختراقه كمبيوتر واحد؛ مما جعل الشركات الكبيرة أكثر من عانى من هجمات فيروس WannaCry – فكلما زاد عدد أجهزة الكمبيوتر الأخرى في الشبكة المحلية زاد الضرر.

فيروس WannaCry: برنامج التشفير

ولما كان فيروس WannaCry برنامج تشفير (يُطلق عليه بعضهم اسم تشفير WCrypt أو برنامج فك التشفير WannaCryy حتى ولو كان من الناحية المنطقية برنامج تشفير وليس برنامج فك تشفير ) فهو يعمل مثل برامج التشفير الأخرى؛ أي أنه يضع شفرة على الملفات الموجودة في أجهزة الكمبيوتر ثم يطلب فدية مقابل فك تشفيرها. وهو يعد إلى حد كبير صورة أخرى من برنامج التشفير الشهير CryptXXX Trojan السيئ السمعة.

يقوم فيروس WannaCry بتشفير ملفات مختلفة الأنواع (والقائمة الكاملة هنا) تشمل -بالطبع- المستندات المكتبية، والصور، ومقاطع الصوت، والملفات الأرشيفية، وتنسيقات الملفات الأخرى التي ربما تحتوي على بيانات شديدة الأهمية للمستخدم. ويتم إعادة تسمية امتدادات الملفات المشفرة إلى .WCRY (أي اسم برنامج التشفير) ثم تصبح الملفات غير قابلة للوصول على الإطلاق.

بعد ذلك، يُغيِّر برنامج التشفير Trojan خلفية سطح المكتب إلى صورة تحتوي على معلومات عن العدوى والإجراءات التي يجب على المستخدم فعلها لاستعادة الملفات. وينشر فيروس WannaCry إشعارات في شكل ملفات نصية تحتوي على المعلومات نفسها في كل المجلدات في الكمبيوتر حتى يضمن تسلُّم المستخدم للرسالة.

وكالعادة، تنتهي كل هذه الأمور إلى تحويل مبلغ معين بعملة البيتكوين إلى محفظة الأشرار. وبعد ذلك ربما يفكون التشفير من كل الملفات. في البداية، طلب المجرمون السيبرانيون 300 دولار أمريكي ثم قرروا زيادة السعر؛ حيث طلب آخر إصدارات من فيروس WannaCry فدية تبلغ 600 دولار أمريكي.

كما يهدد المخربون المستخدم بأن الفدية ستزداد بعد 3 أيام، وسيكون من المستحيل فك شفرة الملفات بعد 7 أيام. ونحن نوصي بعدم دفع الفدية للأشرار؛ نظراً لعدم وجود ضمان على أنهم سيفكون شفرة الملفات بعد تسلُّمهم الفدية. في الواقع، أظهر الباحثون أن مبتزين سيبرانيون آخرين -في بعض الأوقات- يحذفون ببساطة بيانات المستخدم، مما يعني أنه لا يمكن مادياً فك شفرة بقايا الملفات، رغم ذلك إلا أنهم يستمرون في طلب فدية وكأن شيئاً لم يحدث.

كيف أوقف تسجيل مجال انتشار العدوى مؤقتاً؟ ولماذا لم ينتهِ هذا الوباء بعد؟

ومن المثير للاهتمام أن هناك باحثاً يحمل اسم Malwaretech استطاع إيقاف انتشار العدوى مؤقتاً عن طريق تسجيل مجال اسمه طويل وبلا معنى على الإطلاق عبر الإنترنت.

فقد تبيَّن أن بعض إصدارات فيروس WannaCry راسلت هذا المجال نفسه، وعند عدم تسلُّمها رداً إيجابياً تقوم بتثبيت برنامج التشفير وتبدأ أعمالها القذرة. أما إذا كان هناك رد (أي تم تسجيل المجال) فيوقف البرنامج الخبيث كل أنشطته.

وبعد العثور على مرجع هذا المجال في رمز برنامج التشفير Trojan، سجَّل الباحث المجال مما أدى إلى توقف الهجوم مؤقتاً. وعلى مدار الفترة المتبقية من اليوم، تمت مراسلة هذا المجال عشرات الآلاف من المرات مما يعني إنقاذ عشرات الآلاف من أجهزة الكمبيوتر من التعرض للعدوى.

هناك نظرية ترى أن هذه الوظيفة المبنية في فيروس WannaCry تعمل وكأنها “قاطع دائرة” في حال حدوث خطأ ما، وترى نظرية أخرى يساندها الباحث نفسه أن هذه إحدى الطرق المستخدمة لتعقيد تحليل سلوك البرنامج الخبيث. في بيئات الاختبار المستخدمة في البحث، غالباً ما كان يُرسل الرد الإيجابي عن عمد من أيمجال، وكان برنامج التشفير Trojannn -في هذه الحالة- لا يفعل أي شيء في بيئة الاختبار.

ولكن للأسف، يكفي للأشرار تغيير اسم المجال المشار إليه سابقاً بوصفه “قاطع دائرة” في الإصدارات الجديدة من برنامج التشفير “Trojan” حتى يستأنف الفيروس هجومه. لذا من المرجح جداً ألا يكون اليوم الأول لهجوم فيروس WannaCry هو اليوم الأخير.

كيف أواجه فيروس WannaCry؟

لسوء الحظ، لا يجود شيء يمكن فعله الآن لفك شفرة الملفات التي اخترقها فيروس WannaCry وقام بتشفيرها (ولكن يعمل باحثونا من أجل إيجاد حل). وهذا يعني أن الطريقة الوحيدة لمواجهة الاختراق هي عدم التعرض للاختراق في المقام الأول.

إليك بعض النصائح حول كيفية الوقاية من الاختراق وتقليل الضرر:

• إذا كنت تملك بالفعل حلاً أمنياً من Kaspersky Lab مثبتاً في نظامك، فإننا ننصحك بالقيام بما يلي: ابدأ بعملية مسح يدوية للأجزاء الشديدة الأهمية بالنسبة لك، وإذا كشف الحل الأمني عن وجود برنامج خبيث مثل MEM:Trojan.Win64.EquationDrug.gen (هذه هي الطريقة التي تقوم بها حلولنا الأمنية المضادة للفيروسات بكشف فيروس WannaCry)، فأعد تشغيل النظام الخاص بك.
• إذا كنت عميلاً حالياً لدينا، فحافظ علىوحدة “System Watcher” في وضع التشغيل، فمن الضروري مكافحة الأنواع الجديدة لهذا الفيروس التي قد تظهر.
• تثبيت تحديثات البرامج. يدعو هذا الوباء بكل جدية إلى تثبيت تحديثات النظام الأمنية MS17-010من جانب كل مستخدمي نظام Windows، خاصة عندما تصدر شركة مايكروسوفت تحديثات للنظم التي لم تعد تدعمها رسمياً مثل: نظام Windows XP، أو نظام  Windows 2003. أحدثكم بمنتهى الجدية، قوموا بتثبيت هذه التحديثات الآن! فالآن هو ما يُطلق عليه  الوقت المهم للغاية.
• أنشأ نسخاً احتياطية من الملفات بانتظام وخزِّن النسخ في أجهزة تخزين غير متصلة دائماً بالكمبيوتر. إذا كان لديك نسخة احتياطية حديثة، فلن تكون الإصابة بالفيروس كارثة، ولكنها ستكون مضيعة لساعات عديدة في إعادة تثبيت النظام. إذا لم تكن ترغب في إنشاء نسخ احتياطية بنفسك، فبإمكانك الاستفادة من خدمة النسخ الاحتياطي المدمجة في برنامجKaspersky Total Security التي يمكنها تنفيذ هذه العملية بصورة آلية.

• استخدم برنامجاً موثوقاً لمكافحة الفيروسات. يستطيع برنامج Kaspersky Internet Security الكشف عن فيروس WannaCryyy عند محاولته اختراق الجهاز، وعند محاولته الانتشار عبر الشبكات. وعلاوة على هذا، تملك وحدة System Watcherr المدمجة مزية إلغاء جميع التغييرات غير المرغوب فيها، مما يعني أنها ستمنع تشفير الملفات حتى مع تلك الفيروسات الخبيثة غير المدرجة بعد في قواعد بيانات برامج مكافحة الفيروسات.