البرمجيات الخبيثة والفدية: كيف تدخل وكيف توقفها

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1العائلة كاملة في جدول

الأسماء كثيرة لكن السؤالين اللذين يهمان المدافع اثنان: كيف ينتشر؟ وماذا يفعل حين يصل؟ الجواب يحدد الدفاع.

2الفدية والابتزاز المزدوج

الفدية القديمة كانت تشفّر الملفات فقط، فكانت النسخ الاحتياطية تكفي. فرد المهاجمون بـ الابتزاز المزدوج: يسرقون البيانات قبل التشفير، ثم يهددون بنشرها حتى لو استعدت ملفاتك من النسخة. وبعضهم يكتفي بالسرقة والابتزاز دون تشفير أصلًا. لذلك الدفاع اليوم طبقات: منع الدخول، وكشف الحركة داخل الشبكة مبكرًا، ونسخ احتياطية للتعافي.

3مؤشرات الاختراق: البصمة والسلوك

كيف يعرف المدافع أن ملفًا خبيث؟ بطريقتين. البصمة (IOC): بصمة SHA-256 للملف، أو عنوان IP، أو نطاق معروف بأنه خبيث، تُقارن بقوائم استخبارات التهديد. سريعة لكنها تفشل مع أي نسخة جديدة. السلوك: برنامج يشفّر مئات الملفات في دقيقة، أو يحذف نسخ الظل، أو يتصل بخادم غريب كل 60 ثانية. هذا ما يرصده EDR ويكشف حتى البرمجيات الجديدة.

النسخة v2 تغيّر بايتًا واحدًا فتفلت من قائمة البصمات، لكن سلوكها يفضحها. لهذا تحتاج الطريقتين معًا. العينات هنا وهمية.

import hashlib

# A tiny threat-intel list: SHA-256 hashes of files already known to be malicious.
known_bad = {
    hashlib.sha256(b"fake-invoice-dropper v1").hexdigest(): "Loader (fictional sample)",
}

files = {
    "October_invoice.pdf.exe": b"fake-invoice-dropper v1",
    "October_invoice_v2.exe": b"fake-invoice-dropper v2",
    "report.docx": b"quarterly numbers",
}

for name, content in files.items():
    digest = hashlib.sha256(content).hexdigest()
    verdict = known_bad.get(digest, "no match")
    print(f"{name:<26} {digest[:16]}...  {verdict}")

# Behaviour does not care about the hash: many renames in a short time is the signal.
renames_per_minute = {"backup-agent": 3, "October_invoice_v2.exe": 412}
for proc, rate in renames_per_minute.items():
    print(f"{proc:<26} {rate:>4} renames/min", "<- ransomware-like" if rate > 100 else "")

4الدقائق الأولى بعد الإصابة

ما تفعله في أول خمس دقائق يحدد حجم الضرر. افصل الجهاز عن الشبكة (الكابل والواي فاي) ليتوقف الانتشار، ولا تطفئه: الذاكرة فيها أدلة تضيع بالإطفاء. صوّر رسالة الفدية بجوالك، وبلّغ فريق تقنية المعلومات أو الأمن فورًا، ولا تحاول «التنظيف» وحدك. وفي البيت: افصل الجهاز، وغيّر كلمات مرور حساباتك المهمة من جهاز آخر نظيف، واستعد ملفاتك من النسخة غير المتصلة.

مثال محلول

المسألة: مكتب محاماة صغير: 15 جهازًا، ونسخة احتياطية ليلية على قرص شبكي متصل، وRDP مفتوح على الإنترنت ليعمل المحامون من البيت بكلمات مرور فقط. رتّب أهم ثلاثة إصلاحات.

الحل: (1) أغلق RDP المكشوف واستبدله بـ VPN عليه MFA، لأنه من أشهر أبواب الفدية في دليل CISA. (2) اجعل نسخة واحدة غير متصلة (قرص يُفصل أو تخزين سحابي غير قابل للتعديل) واختبر الاستعادة شهريًا، لأن القرص المتصل سيُشفَّر مع الباقي. (3) فعّل التحديث التلقائي وMFA للبريد، وعطّل الماكرو في مرفقات البريد. لاحظ الترتيب: نغلق أوسع باب أولًا، ثم نضمن التعافي، ثم نضيق الأبواب الباقية.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك