كيف كشف خبراء الأمن عن برامج الفدية
تاريخ النشر: 8th, February 2024 GMT
يستخدم المتسللون برامج الفدية لملاحقة كل صناعة، ويتقاضون أكبر قدر ممكن من المال لإعادة الوصول إلى ملفات الضحية. إنه عمل مربح. ففي الأشهر الستة الأولى من عام 2023، اختلست عصابات برامج الفدية 449 مليون دولار من أهدافها، على الرغم من أن معظم الحكومات تنصح بعدم دفع فدية. على نحو متزايد، يتعاون متخصصو الأمن مع جهات إنفاذ القانون لتوفير أدوات مجانية لفك التشفير - وتحرير الملفات المقفلة والقضاء على إغراء الضحايا.
هناك طريقتان رئيسيتان تستخدمهما برامج فك تشفير برامج الفدية للتوصل إلى الأدوات: الهندسة العكسية للأخطاء، والعمل مع جهات إنفاذ القانون، وجمع مفاتيح التشفير المتاحة للجمهور. يختلف طول العملية اعتمادًا على مدى تعقيد التعليمات البرمجية، ولكنها تتطلب عادةً معلومات عن الملفات المشفرة والإصدارات غير المشفرة من الملفات ومعلومات الخادم من مجموعة القرصنة. "إن مجرد الحصول على ملف مشفر للإخراج عادة ما يكون عديم الفائدة. قال جاكوب كروستيك، مدير أبحاث البرامج الضارة في شركة مكافحة الفيروسات Avast، “أنت بحاجة إلى العينة نفسها، الملف القابل للتنفيذ”. الأمر ليس سهلاً، ولكنه يؤتي ثماره للضحايا المتأثرين عندما ينجح.
أولا، علينا أن نفهم كيف يعمل التشفير. للحصول على مثال أساسي للغاية، لنفترض أن جزءًا من البيانات ربما بدأ كجملة يمكن التعرف عليها، ولكنها تظهر مثل "J qsfgfs dbut up epht" بمجرد تشفيرها. إذا علمنا أن إحدى الكلمات غير المشفرة في "J qsfgfs dbut up epht" من المفترض أن تكون "cats"، فيمكننا البدء في تحديد النمط الذي تم تطبيقه على النص الأصلي للحصول على النتيجة المشفرة. في هذه الحالة، إنها مجرد الأبجدية الإنجليزية القياسية مع تحريك كل حرف للأمام مكانًا واحدًا: A يصبح B، وB يصبح C، وتصبح عبارة "أنا أفضل القطط على الكلاب" سلسلة من الهراء أعلاه. يعد الأمر أكثر تعقيدًا بالنسبة لأنواع التشفير التي تستخدمها عصابات برامج الفدية، لكن المبدأ يظل كما هو. يُعرف نمط التشفير أيضًا باسم "المفتاح"، ومن خلال استنتاج المفتاح، يمكن للباحثين إنشاء أداة يمكنها فك تشفير الملفات.
بعض أشكال التشفير، مثل معيار التشفير المتقدم لمفاتيح 128 أو 192 أو 256 بت، تكون غير قابلة للكسر فعليًا. في مستواه الأكثر تقدمًا، يتم وضع أجزاء من البيانات "النص العادي" غير المشفرة، مقسمة إلى أجزاء تسمى "كتل"، خلال 14 جولة من التحويل، ثم يتم إخراجها في شكلها المشفر - أو "النص المشفر". وقال جون كلاي، نائب رئيس استخبارات التهديدات في شركة تريند مايكرو للبرمجيات الأمنية: "ليس لدينا بعد تكنولوجيا الحوسبة الكمومية التي يمكنها كسر تكنولوجيا التشفير". ولكن لحسن الحظ بالنسبة للضحايا، لا يستخدم المتسللون دائمًا أساليب قوية مثل AES لتشفير الملفات.
في حين أن بعض مخططات التشفير غير قابلة للفك فعليًا، إلا أنه من الصعب إتقانها من الناحية العلمية، ومن المرجح أن يرتكب المتسللون عديمو الخبرة الأخطاء. إذا لم يطبق المتسللون مخططًا قياسيًا، مثل AES، واختاروا بدلاً من ذلك إنشاء نظام خاص بهم، فيمكن للباحثين بعد ذلك البحث عن الأخطاء. لماذا يفعلون هذا؟ في الغالب الأنا. وقال يورنت فان دير فيل، الباحث في مجال الأمن السيبراني في كاسبرسكي: "إنهم يريدون القيام بشيء ما بأنفسهم لأنهم يحبون ذلك أو يعتقدون أنه أفضل لأغراض السرعة".
على سبيل المثال، إليك كيفية قيام Kaspersky بفك تشفير سلالة Yanluowang Ransomware. لقد كانت سلالة مستهدفة تستهدف شركات محددة، مع قائمة غير معروفة من الضحايا. استخدم Yanluowang تشفير تيار Sosemanuk لتشفير البيانات: وهي عملية مجانية للاستخدام تقوم بتشفير ملف النص العادي برقم واحد في كل مرة. ثم قام بتشفير المفتاح باستخدام خوارزمية RSA، وهو نوع آخر من معايير التشفير. ولكن كان هناك خلل في النمط. تمكن الباحثون من مقارنة النص العادي بالنسخة المشفرة، كما هو موضح أعلاه، وإجراء هندسة عكسية لأداة فك التشفير المتوفرة الآن مجانًا. في الواقع، هناك الكثير من الملفات التي تم اختراقها بالفعل بواسطة مشروع No More Ransom.
سيستخدم خبراء فك تشفير برامج الفدية معرفتهم بهندسة البرمجيات والتشفير للحصول على مفتاح برنامج الفدية، ومن هناك، إنشاء أداة فك التشفير، وفقًا لكروستك. قد تتطلب عمليات التشفير الأكثر تقدمًا إما التأثير الغاشم أو إجراء تخمينات مدروسة بناءً على المعلومات المتاحة. يستخدم المتسللون أحيانًا منشئ أرقام عشوائية زائفة لإنشاء المفتاح. سيكون RNG الحقيقي عشوائيًا، لكن هذا يعني أنه لن يكون من السهل التنبؤ به. قد يعتمد نموذج RNG الزائف، كما أوضح فان دير فيل، على نمط موجود لكي يظهر عشوائيًا عندما لا يكون كذلك في الواقع - قد يعتمد النمط على وقت إنشائه، على سبيل المثال. وإذا عرف الباحثون جزءًا من ذلك، فإنهم سيتمكنون من ذلك حاول قيمًا زمنية مختلفة حتى تستنتج المفتاح.
لكن الحصول على هذا المفتاح يعتمد غالبًا على العمل مع جهات إنفاذ القانون للحصول على مزيد من المعلومات حول كيفية عمل مجموعات القرصنة. إذا تمكن الباحثون من الحصول على عنوان IP الخاص بالمتسلل، فيمكنهم أن يطلبوا من الشرطة المحلية الاستيلاء على الخوادم والحصول على تفريغ محتوياتها من الذاكرة. أو، إذا استخدم المتسللون خادمًا وكيلاً لإخفاء موقعهم، فقد تستخدم الشرطة محللي حركة المرور مثل NetFlow لتحديد أين تذهب حركة المرور والحصول على المعلومات من هناك، وفقًا لفان دير فيل. تجعل اتفاقية بودابست بشأن الجرائم الإلكترونية هذا الأمر ممكنًا عبر الحدود الدولية لأنها تسمح للشرطة بطلب صورة خادم في بلد آخر بشكل عاجل أثناء انتظار مرور الطلب الرسمي.
يوفر الخادم معلومات عن أنشطة المتسلل، مثل الأشخاص الذين قد يستهدفونهم أو عملية ابتزاز فدية. يمكن أن يخبر هذا برامج فك تشفير برامج الفدية بالعملية التي مر بها المتسللون من أجل تشفير البيانات أو التفاصيل حول مفتاح التشفير أو الوصول إلى الملفات التي يمكن أن تساعدهم على إجراء هندسة عكسية للعملية. يقوم الباحثون بالتدقيق في سجلات الخادم للحصول على التفاصيل بنفس الطريقة التي قد تساعد بها صديقك في البحث عن تفاصيل حول تاريخ Tinder الخاص به للتأكد من صحتها، ويبحثون عن أدلة أو تفاصيل حول الأنماط الضارة التي يمكن أن تساعد في اكتشاف النوايا الحقيقية. قد يكتشف الباحثون، على سبيل المثال، جزءًا من ملف النص العادي لمقارنته بالملف المشفر لبدء عملية الهندسة العكسية للمفتاح، أو ربما سيجدون أجزاء من RNG الزائف التي يمكن أن تبدأ في شرح نمط التشفير.
ساعد العمل مع جهات إنفاذ القانون شركة Cisco Talos في إنشاء أداة فك تشفير لبرنامج الفدية Babuk Tortilla. استهدف هذا الإصدار من برامج الفدية الرعاية الصحية والتصنيع والبنية التحتية الوطنية، وقام بتشفير أجهزة الضحايا وحذف النسخ الاحتياطية القيمة. لقد قام Avast بالفعل بإنشاء برنامج فك تشفير بابوك عام، ولكن ثبت أن سلالة التورتيلا يصعب اختراقها. عملت الشرطة الهولندية وشركة Cisco Talos معًا للقبض على الشخص الذي يقف وراء الضغط، وتمكنت من الوصول إلى أداة فك تشفير Tortilla في هذه العملية.
ولكن غالبًا ما تكون أسهل طريقة للتوصل إلى أدوات فك التشفير هذه تنبع من عصابات برامج الفدية نفسها. ربما يتقاعدون، أو يشعرون بالكرم فحسب، لكن المهاجمين أحيانًا ما يطلقون مفتاح التشفير الخاص بهم علنًا. يمكن لخبراء الأمن بعد ذلك استخدام المفتاح لإنشاء أداة فك التشفير وإصدارها ليستخدمها الضحايا في المستقبل.
بشكل عام، لا يمكن للخبراء مشاركة الكثير حول العملية دون إعطاء الدعم لعصابات برامج الفدية. إذا كشفوا عن أخطاء شائعة، فيمكن للمتسللين استخدام ذلك لتحسين محاولاتهم التالية لبرامج الفدية بسهولة. إذا أخبرنا الباحثون عن الملفات المشفرة التي يعملون عليها الآن، فسوف تعرف العصابات أنهم يتوصلون إليها. لكن أفضل طريقة لتجنب الدفع هي أن تكون استباقيًا. وقال كلاي: "إذا قمت بعمل جيد في عمل نسخة احتياطية لبياناتك، فلديك فرصة أكبر بكثير لعدم الاضطرار إلى الدفع".
المصدر: بوابة الوفد
كلمات دلالية: برامج الفدیة للحصول على إنشاء أداة التی یمکن التشفیر ا یمکن أن
إقرأ أيضاً:
الآن، كيف يمكن أن يفهم شخصا مثل البرهان هذه التضحيات؟
إن لم نتمكن من ترجمة شعور الإكبار والإجلال والرهبة الذي ننظر به إلى الشهداء والتضحيات التي قدمت في هذه الحرب، إن لم نترجمه إلى شعور بالإحترام والتقديس تجاه الدولة ممثلة في الدستور والقوانين التي تحكمها، بل إلى ممارسة، فنحن لم نتعلم أي شيء من هذه التضحيات.
حقيقة هناك هوة واسعة بين ما يقدم من تضحيات في الحروب والثورات وبين الواقع الذي يفترض أن هذه التضحيات قد تمت من أجله. ولا يتعلق الأمر بمجرد النسيان أو الأنانية والأطماع الضيقة، وإنما بعجز فكري في الأساس. بعبارة أخرى، المشكلة هنا ليست مشكلة أخلاق بقدر ما هي مشكلة فكر.
يبدو لي أن هناك عجز متأصل في البشر عن القدرة على استيعاب هذه التضحيات فكريا. فنحن نتعاطى معها من خلال الإنفعالات الشعورية، لا من خلال اللغة والفكر؛ ننفعل بمشاعرنا وقد نبكي، ولكن الإنفعال بطبيعته شيء لحظي لا يدوم. لا توجد لدينا قوالب لغوية ومفاهيمية كافية لترجمة التضحيات العظيمة التي نعايشها ونراها أو نسمعها، وكل ما لا يمكن الإحاطة به لغويا في شكل فكرة أو مفهوم، لا يدوم.
هذه مشكلة فلسفية معروفة. ما لا توجد كلمات لتعبر عنه قد يكون موجودا، ولكننا قد لا نراه، وإذا رأيناه وأدركناه سيكون إدراكا مشوشا ووجوده مجرد وجود ذهني قد لا ينتقل من شخص إلى شخص آخر إلا بصعوبة، ناهيك عن رسوخه في الوعي العام. ولكن ما يوجد في اللغة، الفكرة التي تتجسد في شكل كلمات ومفهوم وتعريف، تبقى وتمارس فعلها في الفكر بخلق روابط وعلاقات جديدة مع الأفكار وتخلق مفاهيم جديدة ومعاني جديدة وبالتالي تخلق واقعا جديدا.
ما يحدث أمام أعيننا الآن هو حدث عظيم، هذه الحرب بكل ما فيها من وقائع مادية محسوسة أو وقائع معنوية ذاتية في الأنفس تحتاج إلى إدراك وإلى تعبير مكتوب لتبقى. مثلا، الهجوم على بيت القائد العام ومحاولة اغتياله واقعة مادية، ردة فعل الحرس الرئاسي وقرارهم بالدفاع حتى الموت هذه واقعة ذاتية أو معنوية. هؤلاء العساكر الذين حموا البرهان بأرواحهم لم يفعلوا ذلك حبا في البرهان كشخص، وإنما لأنه يمثل الدولة. ولكن لماذا التضحية من أجل الدولة؟ ماذا تعني دولة؟ هل هي مباني وقصور وسيارات وموظفين؟
لا أحد يقدم روحه من أجل طوب وحديد ومصالح أشخاص. يمكننا، ويجب علينا، افتراض أنهم ضحوا من أجل قيم ومعاني أسمى يجب أن تتجسد في الدولة حتى لو كانت غير موجودة فيها الآن يجب أن يتم خلقها لإيجاد المعنى لهذه التضحيات.
الآن، كيف يمكن أن يفهم شخصا مثل البرهان هذه التضحيات؟
سيفهم منها، لا بقدر ما شعر وانفعل تجاه أشخاص يعرفهم وله معهم ذكريات، وإنما بقدر ما يملك من كلمات لإستيعاب هذه الواقعة، بقدر ما يملك من لغة. فإذا لم تملك اللغة التي تمكنك من التفكير في الواقعة، فأنت قد تكون شعرت بها، ولكنك لم تفهمها. والفهم في السياق الحالي ليس فهما من أجل الفهم، وإنما لكي تتم ترجمته على مستوى الدولة؛ فنحن نتكلم عن حرب تخوضها الدولة.
كنت أحيانا أتساءل، كيف لشخص قاتل ودفن رفاقه الذين استشهدوا أمامه، أن ينسى كل ذلك ويخون أو يتنكر للقضية التي حارب من أجلها؟ وفقا لما تقدم، المشكلة هنا ليست مجرد مشكلة ضمير وأخلاق، ولكنها أيضا مشكلة فقر لغوي وفكري. صحيح الإنسان كائن معقد والعالم أكثر تعقيدا، ولكن إذا لم تفهم قضية ما بشكل صحيح فمن السهل أن تتخلى عنها أو أن تخونها.
الآن، تخيل شعبا كاملا مر بهذه التجربة، تجربة الحرب بكل مآسيها وملاحمها، ولكنه لا يستطيع استيعاب كل ذلك داخل اللغة، لا يفهمه بواسطة كلمات وأفكار ومفاهيم، بواسطة قوالب صلبة تمسك وتخزن وأيضا تعالج (بالمعنى المستخدم في مجال الكمبيوتر).
(هذا الاستطراد خاص للصديق Omar Salam )
وهذا أيضا مثال على ما نقوله، فمعنى كلمة process المستخدمة في مجال الكمبيوتر، يشير إلى عمليات معينة ذات طابع منطقي حسابي. إن لم تكن موجودة في لغتك اليومية، فالمفهوم كذلك لن يكون موجودا في ذهنك.
لا يتعلق الأمر هنا بفقر أو غنى اللغة العربية ووجود كلمات تؤدي نفس المعنى، وهذا الجدل المعروف. بل بالواقع الذي نعيشه، فإذا لم توجد في لغتك الحية المستخدمة الآن، والتي هي جزء لا يتجزأ من عالمك المادي، كلمة بنفس المعنى، فلن تسعفك مفردة قديمة هي بطبيعتها جزء من واقع آخر في زمن ماضي، كانت يوما ما جزءا من لغة حية في واقع حي هو الذي يعطيها معناها، لا واقعك الحالي.
بالعودة إلى موضوعنا، ألخص وأقول، على الرغم من أن هناك الكثير في هذه الحرب الذي نعجز عن التعبير عنه، وقد نشعر أحيانا بأن الصمت حياله هو أبلغ تعبير، سواء كان مأساويا لأبعد حد، أو كان مثاليا ومبهرا لأبعد حد، فإن هذا بالذات هو ما نحتاج أن نتكلم فيه وعنه وحوله، وأن نترجم هذا الكلام بعد ذلك إلى أفعال تجسر الهوة ما بين التضحية والواقع.
وهذه مهمة قد يقوم بها البعض بشكل تلقائي، ويمكن أيضا العمل عليها بشكل منهجي بواسطة مؤسسات توظف الكتابة والإعلام والفن والتربية والتعليم لأجل هذه الغاية.
حليم عباس
إصابة شاب بطعنة نافذة فى مشاجرة بطما سوهاج