Ransomware أو “برمجيات الفدية” هي أخطر أنواع البرمجيات الخبيثة على المؤسسات اليوم. تقوم بتشفير ملفات الضحية بمفتاح لا يملكه سوى المهاجم، ثم تعرض رسالة تطالب بدفع مبلغ، غالباً بالعملات الرقمية، مقابل أداة فك التشفير.
كيف تطور هذا التهديد؟
- التشفير فقط: النمط القديم، ويمكن التعافي منه بالنسخ الاحتياطية.
- الابتزاز المزدوج (Double Extortion): سرقة البيانات قبل تشفيرها، ثم التهديد بنشرها إن لم تُدفع الفدية حتى لو استعادت الضحية ملفاتها من النسخ الاحتياطي.
- Ransomware-as-a-Service (RaaS): مجموعات تطور البرمجية وتؤجرها لـ”شركاء” ينفذون الاختراقات مقابل نسبة من الفدية.
مراحل الهجوم النموذجي
- الدخول الأولي: بريد تصيد، أو كلمة مرور مسروقة لـ VPN أو RDP، أو ثغرة في جهاز مكشوف على الإنترنت.
- التمركز ورفع الصلاحيات والتنقل داخل الشبكة حتى الوصول إلى Domain Admin.
- حذف أو تشفير النسخ الاحتياطية وتعطيل أدوات الحماية.
- سرقة البيانات ثم تشغيل التشفير على كل الأجهزة دفعة واحدة، غالباً في عطلة نهاية الأسبوع.
أمثلة واقعية
في مايو 2017 انتشرت WannaCry عالمياً مستغلة ثغرة EternalBlue في SMBv1، وأصابت مئات الآلاف من الأجهزة في أكثر من 150 دولة، منها مستشفيات هيئة الصحة البريطانية. وفي مايو 2021 أوقفت شركة Colonial Pipeline الأمريكية تشغيل خط أنابيب الوقود الرئيسي احترازياً بعد هجوم فدية نسبته السلطات لمجموعة DarkSide، ودفعت فدية بملايين الدولارات استُعيد جزء منها لاحقاً.
كيف تحمي مؤسستك؟
- نسخ احتياطي وفق قاعدة 3-2-1 مع نسخة غير متصلة أو غير قابلة للتعديل (Immutable)، واختبار الاستعادة دورياً.
- تفعيل MFA على كل وصول عن بعد والبريد وحسابات المسؤولين.
- عدم تعريض RDP مباشرة للإنترنت، وتحديث أجهزة الحافة كبوابات VPN وجدران الحماية فوراً.
- تقسيم الشبكة وفصل حسابات الإدارة عن حسابات الاستخدام اليومي.
- نشر EDR مع مراقبة فعلية للتنبيهات، وخطة استجابة للحوادث مكتوبة ومجربة.
ولا يُنصح بدفع الفدية، فلا يوجد ضمان لاستعادة البيانات أو لعدم نشرها، كما يموّل الدفع هجمات جديدة. ويمكن أحياناً العثور على أدوات فك مجانية لبعض العائلات القديمة عبر مبادرة No More Ransom.
الفرق بين Ransomware و Malware
الـ Malware هو المظلة العامة، والـ Ransomware نوع محدد منها يتميز بهدفه المالي المباشر عبر الابتزاز.
