المقدمة
يُعدّ برنامج الفدية أحد أكثر التهديدات الإلكترونية تدميرًا، إذ يُشفّر بيانات المؤسسات الحساسة ويطالب بفدية لاستعادتها. في حين اعتمدت الحملات الأولى على التصيد الاحتيالي الجماعي أو توزيع البرامج الضارة الانتهازية، تطورت عمليات برامج الفدية الحديثة إلى هجمات مُوجّهة ومُعقدة للغاية. لا يقتصر خصوم اليوم على إصابة الأجهزة فحسب، بل يتنقلون أيضًا عبر الشبكات، ويجمعون بيانات الاعتماد، ويُعطّلون الدفاعات، ويحافظون على سيطرة مُستمرة - كل ذلك مع الحفاظ على التخفي وتجنب الكشف.
تنويه : أدوات الوصول عن بُعد المذكورة في هذه المدونة هي برامج شرعية مصممة لدعم إدارة تقنية المعلومات والدعم عن بُعد. تُسلط هذه المقالة الضوء على كيفية إساءة استخدامها من قِبل المهاجمين في حملات برامج الفدية في حال سوء تكوينها أو إدارتها أو تركها دون مراقبة. ولا تُشير إلى أن هذه الأدوات بحد ذاتها ضعيفة أو خبيثة بطبيعتها.
يُعد استغلال أدوات الوصول عن بُعد المشروعة (RATs) مثل AnyDesk وUltraViewer وAppAnywhere وRustDesk وCloneDesk وSplashtop وTightVNC عاملًا رئيسيًا في هذه الهجمات . صُممت هذه الأدوات في الأصل لإدارة تقنية المعلومات والدعم عن بُعد، ويُقدم العديد منها إصدارات مجانية أو متاحة للجميع ، والتي غالبًا ما يستغلها المهاجمون لسهولة نشرها، وثقة المستخدمين بها، وكثرة إدراجها في القوائم البيضاء في بيئات المؤسسات. تُوفر هذه الأدوات ما يلي:
- وصول غير مراقب: الاتصال دون تفاعل المستخدم
- نقل الملف: نقل الثنائيات أو استخراج البيانات
- التحكم التفاعلي في سطح المكتب: تنفيذ المهام الإدارية عن بعد
- الاتصالات المشفرة: التهرب من مراقبة الشبكة
غالبًا ما تُدرج المؤسسات أدوات الوصول عن بُعد في القائمة البيضاء وتثق بتوقيعاتها الرقمية، التي يستغلها المهاجمون لتجاوز ضوابط الأمان والتسلل خلسةً. يُعد فهم كيفية إساءة استخدام أدوات الوصول عن بُعد أمرًا بالغ الأهمية لبناء دفاعات فعّالة ضد تهديدات برامج الفدية الحديثة.
سلسلة قتل برامج الفدية: تحليل خطوة بخطوة
تُحدد سلسلة قتل برامج الفدية كل مرحلة من مراحل الهجوم، بدءًا من الوصول الأولي وحتى التأثير النهائي. عندما يستخدم المهاجمون أدوات الوصول عن بُعد المشروعة، يكتسبون القدرة على التخفي والثبات والتحكم، مما يزيد من صعوبة الكشف والتخفيف من آثارها.
يُعد فهم كل مرحلة من مراحل سلسلة الهجمات أمرًا بالغ الأهمية للمدافعين. فهو لا يساعد فقط في التعرف على أنماط الهجمات مبكرًا، بل يساعد أيضًا في بناء دفاعات أقوى ومتعددة الطبقات لإيقاف المهاجمين. ومن خلال تحليل كل مرحلة، تتمكن فرق الأمن من توقع سلوك الخصم بشكل أفضل واتخاذ الإجراءات اللازمة في الوقت المناسب لتعطيل النشاط الخبيث قبل أن يُسبب أضرارًا جسيمة. يقدم القسم التالي شرحًا مفصلاً، خطوة بخطوة، لكيفية استغلال مُشغّلي برامج الفدية لأدوات الوصول عن بُعد المشروعة لتعزيز حملاتهم.
المرحلة 1: الوصول الأولي - اختراق بيانات الاعتماد
يحصل المهاجمون على وصول مشروع باستخدام بيانات اعتماد مسروقة أو مُخترقة، متجاوزين بذلك أنظمة الحماية، ظاهرين كمستخدمين موثوق بهم. استهداف حسابات المسؤولين يوفر تحكمًا فائقًا، ويُمكّن من تنفيذ مراحل لاحقة، مثل نشر أداة الوصول عن بُعد والتنقل الجانبي.
مسارات الهجوم الشائعة:
- هجمات القوة الغاشمة ضد نقاط نهاية RDP/SMB
- إعادة استخدام بيانات الاعتماد من التسريبات أو الخروقات السابقة
- استهداف حسابات المسؤول للحصول على الحد الأقصى من الامتيازات
مؤشرات الكشف:
- معرفات أحداث Windows 4625 → 4624 (عمليات تسجيل دخول فاشلة متعددة تليها عملية تسجيل دخول ناجحة على الفور)
- نوع تسجيل الدخول RDP 10 في ساعات غير عادية
- عمليات تسجيل الدخول من مواقع جغرافية غير متوقعة.
المرحلة الثانية: إساءة استخدام الأدوات عن بُعد - الاختطاف مقابل التثبيت الصامت
بعد الوصول، يُركز المهاجمون على نشر أداة الوصول عن بُعد لضمان استمرارية سرية. يمكنهم إما اختراق أداة وصول عن بُعد موجودة لتجنب الكشف، أو إجراء تثبيت صامت باستخدام مُثبّتات مُوقّعة ذات مساحة محدودة. غالبًا ما يستخدم التثبيت الصامت علامات سطر الأوامر المعروفة، أو وثائق البائع، أو الهندسة العكسية للعثور على معلمات النشر.
الطريقة 1: اختطاف أدوات الوصول عن بُعد الموجودة
- قم بإحصاء أدوات الوصول عن بعد المثبتة عبر WMI أو السجل أو PowerShell.
- إضافة بيانات اعتماد المهاجم أو تعديل تكوينات الوصول.
- يتجنب إنشاء ملفات أو عمليات جديدة، مما يقلل من مخاطر الاكتشاف.
الطريقة 2: التثبيت الصامت لأدوات الوصول عن بُعد
- نشر برامج التثبيت خفيفة الوزن والموقعة دون تفاعل المستخدم.
- أعلام التثبيت الصامت: /S، /VERYSILENT، /quiet، /NORESTART.
| أدوات التحكم عن بعد | أوامر | الغرض / التأثير |
| AnyDesk | anydesk.exe – تثبيت “C:\ProgramData\AnyDesk” – صامت – البدء مع الفوز | خدمة الوصول عن بعد المستمرة |
| برنامج UltraViewer | UltraViewer_Setup.exe /صامت جدًا /NORESTART | التثبيت بهدوء دون إعادة التشغيل |
| تطبيق في أي مكان | msiexec /i AppAnywhere.msi /quiet /norestart | النشر الصامت على غرار المؤسسات |
| رست ديسك | rustdesk.exe – تثبيت الخدمة – كلمة المرور “Str0ngPass123” | تمكين الوصول عن بعد دون مراقبة |
| كلون ديسك | CloneDesk_Setup.exe /S /D=C:\ProgramData\CloneDesk | تركيب ذو مساحة صغيرة |
| Splashtop | Splashtop_Streamer.exe /s /i silent=1 precheck=0 confirm=0 | نشر هادئ للمؤسسات |
| TightVNC | tightvnc-setup.exe /S /NORESTART | التثبيت المخفي الذي يتم تشغيله بواسطة CLI |
المرحلة 3: الاستمرارية وترسيخ الامتيازات
يستغل المهاجمون مفاتيح تشغيل السجل (HKCU\Software\Microsoft\Windows\CurrentVersion\Run)، والمهام المجدولة المخفية، وتعديلات ملفات التكوين للحفاظ على استمرارية النظام. يتم تحقيق تصعيد الامتيازات باستخدام أدوات مثل PowerRun أو TrustedInstaller، مما يسمح لأدوات الوصول عن بُعد بالعمل بامتيازات النظام وتجاوز قيود المستخدم.
الآليات:
- مفاتيح تشغيل التسجيل: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- المهام المجدولة: مهام مخفية لإعادة تشغيل أدوات الوصول عن بُعد تلقائيًا
- ملفات التكوين: تعديل config.toml (RustDesk) للوصول غير المراقب
- التصعيد امتياز: قم بتشغيل أداة الوصول عن بُعد كنظام باستخدام PowerRun أو TrustedInstaller
- رصد: مفاتيح تسجيل جديدة، ومهام مجدولة، وعمليات أداة الوصول عن بعد المرتفعة
المرحلة الرابعة: تحييد برامج مكافحة الفيروسات ومكافحة الأدلة الجنائية
باستخدام أدوات الوصول عن بُعد، يستطيع المهاجمون إيقاف خدمات مكافحة الفيروسات تفاعليًا، والتلاعب بسياسات المجموعة، وإضافة أدلة أدوات الوصول عن بُعد إلى قوائم الاستبعاد. يتم مسح السجلات المهمة، وتُستخدم أدوات تمزيق الملفات لإزالة الأدلة الجنائية، مما يُصعّب التحقيق بعد الحادث.
تقنية:
- إيقاف خدمات مكافحة الفيروسات: توقف sc أو توقف الشبكة
- التلاعب بالسياسات: أضف أدلة أداة الوصول عن بعد إلى الاستثناءات.
- مسح السجل: غالبًا ما يستخدم الخصوم أسطر الأوامر التالية كجزء من Anti-Forensics لمسح سجلات الأحداث:
wevtutil cl Security
نظام wevtutil cl
تطبيق wevtutil cl - تقطيع الملفات: إزالة الآثار الجنائية
المرحلة 5: نشر الحمولة وتنفيذها
يقوم المهاجمون بإيقاف خدمات مكافحة الفيروسات، وتعديل سياسات الأمان، وتعطيل آليات الاسترداد، ومسح سجلات الأحداث، وتمزيق الملفات الحساسة لتجنب الكشف عنها وإعاقة التحقيقات الجنائية. قد يتلاعبون أيضًا بحلول النسخ الاحتياطي، وتعطيل النسخ الاحتياطية، واستخدام ثنائيات "العيش من الأرض" (LOLBins) مثل rundll32 أو PowerShell لدمج الإجراءات الضارة مع العمليات المشروعة. تضمن هذه الإجراءات الحد الأدنى من وضوح الرؤية للمدافعين، وتخلق بيئة آمنة لتنفيذ برامج الفدية.
آلية:
- يتم تسليم برامج الفدية من خلال قنوات أداة الوصول عن بعد، وغالبًا ما تكون مقنعة في شكل تحديثات موثوقة أو إجراءات إدارية، ويتم تنفيذها داخل جلسات بعيدة موجودة لتجاوز شكوك المستخدم ومراقبة الأمان.
المرحلة 6: التوسع الجانبي
يتم تسهيل الحركة الجانبية من خلال إعادة استخدام بيانات الاعتماد، أو نشر أداة الوصول عن بعد، أو استغلال عمليات نشر أداة الوصول عن بعد الخاصة بالمؤسسة.
الآليات:
- إعادة استخدام بيانات الاعتماد عبر نقاط النهاية
- استغلال أداة الوصول عن بُعد للمؤسسات للنشر الجماعي
المؤشرات:
- نقاط نهاية متعددة تبلغ عن اتصالات جديدة بأداة الوصول عن بُعد
- المهام المجدولة غير المصرح بها أو تعديلات التسجيل عبر الأجهزة
المرحلة 7: التأثير - التشفير والإغلاق
يؤدي تنفيذ حمولة برامج الفدية إلى تشفير البيانات، وإغلاق الحسابات، وتغيير بيانات اعتماد أداة الوصول عن بُعد لمنع الإصلاح الإداري. تُظهر حملات مثل LockBit وBlack وBasta هذه المرحلة النهائية في الهجمات المباشرة.
النتيجة:
- تشفير الملفات على الأنظمة المستهدفة
- قفل الحسابات أو تغيير بيانات اعتماد أداة الوصول عن بُعد لمنع الإصلاح
أمثلة على الحملات في العالم الحقيقي
فيما يلي أدوات الوصول عن بعد التي يساء استخدامها بشكل شائع والتي يستغلها الخصوم في حملات برامج الفدية من أجل الاستمرار والنشر والحركة الجانبية.
| عن بعد استخدم أداة | حملات الفدية المرتبطة |
| AnyDesk | TargetCompany، D3adCrypt، Makop، Mallox، Phobos، LockBit 2.0، LockBit 3.0، LockBit 2025 Renegade، Beast، Dharma، Proton / Shinra، MedusaLocker |
| برنامج UltraViewer | الوحش، CERBER، Dharma (عائلة .cezar)، GlobeImposter 2.0، LockBit 3.0، Makop، Phobos، SpiderPrey، TargetCompany |
| تطبيق في أي مكان | ماكوب، ريوك، D3adCrypt، دارما |
| رست ديسك | مقلد، لوك إكس إكس إكس، دايموند، دي ثري إيه دي كريبت، ماكوب |
| Splashtop | ماكوب، بلو سكاي، رانسوم هب، بروكسيما |
| TightVNC | سيربر 4.0 / 5.0 |
رسم خرائط ممثل التهديد (MITRE ATT&CK)
يُعد فهم التكتيكات والأساليب والإجراءات التي يستخدمها الخصوم أمرًا بالغ الأهمية للدفاع ضد حملات برامج الفدية التي تُدار بأدوات الوصول عن بُعد. من خلال ربط هذه الأنشطة بإطار عمل MITRE ATT&CK، يمكن لفرق الأمن تصور كيفية وصول المهاجمين إلى النظام، ونشر الأدوات، والحفاظ على استمرارية الهجوم، وتصعيد صلاحياتهم، وفي النهاية إرسال حمولات فعالة. يُسلط الجدول أدناه الضوء على المراحل الرئيسية للهجوم، والتقنيات المُستخدمة، وأدوات الوصول عن بُعد الأكثر إساءةً والمُرتبطة بكل خطوة.
| المستويات | تقنية | معرف التقنية الفرعية MITRE ATT&CK | الملاحظات |
| الوصول الأولي | القوة الغاشمة | T1110.001 | استهداف نقاط نهاية RDP/SMB للحصول على الوصول الأولي |
| نشر الأدوات | نقل أداة الدخول | T1105 | تم نقل أدوات الوصول عن بعد للتنفيذ |
| التنفيذ | الخدمات عن بعد | T1021.001 | الجلسات البعيدة المستخدمة لتنفيذ الحمولات |
| إصرار | مفاتيح تشغيل التسجيل | T1547.001 | مفاتيح التسجيل التي تم إنشاؤها/تعديلها لاستمرارية الأداة |
| التصعيد امتياز | آلية التحكم في ارتفاع الإساءة | T1548.002 | تم ملاحظة ارتفاع الامتيازات لتشغيل الأدوات ذات حقوق النظام |
| التهرب الدفاعي | دفاعات ضعف | T1562.001 | تم تعطيل خدمات الأمان، وتم مسح السجلات |
| الحركة الجانبية | الخدمات عن بعد | T1021.001 | إساءة استخدام الخدمات عن بعد للتنقل عبر نقاط النهاية |
| التأثير | تشفير البيانات من أجل التأثير | T1486 | الأدوات المستخدمة لنشر برامج الفدية وتشفير البيانات |
الاتجاهات الناشئة والتهديدات المستقبلية
مع تطور مُشغّلي برامج الفدية، تظهر أساليب جديدة تتجاوز الاستغلال التقليدي في الموقع. تُبرز هذه الاتجاهات كيف يجمع المهاجمون بين الأتمتة وإساءة استخدام السحابة وأنظمة RaaS لزيادة نطاق عملياتهم وإخفاء هويتها.
- AIنشر أداة الوصول عن بعد المعتمدة على: اتخاذ القرارات الآلية للحمولات
- إساءة استخدام أداة الوصول عن بعد السحابي: استغلال بوابات الوصول عن بعد المستندة إلى السحابة
- تكامل RaaS: أدوات الوصول عن بُعد المضمنة في عروض برامج الفدية كخدمة لحملات المؤسسات
- هجمات متعددة المراحل: اختراق أداة الوصول عن بعد الأولية متبوعًا بحمولات ثانوية (استخراج البيانات، واختطاف العملات المشفرة، وبرامج الفدية الجانبية)
كيف تشفى بسرعة؟ Seqrite احمِ نفسك من هذه الأنشطة.
قد يحاول مهاجمو برامج الفدية استخدام أدوات موثوقة كسلاح، لكن برنامج Quick Heal و Seqrite صُممت هذه الأنظمة بطبقات دفاعية متعددة لإيقافها فورًا. ومن خلال الجمع بين المراقبة الآنية والحماية الذاتية والكشف المتقدم عن السلوكيات، تضمن هذه الحلول عدم قدرة المهاجمين على تعطيل الحماية بسهولة أو التسلل دون أن يُلاحظوا.
- الحماية من الفيروس: يكتشف بشكل نشط المثبتات المصابة بأحصنة طروادة أو الحمولات المخفية ويحيّدها قبل أن تتمكن من تنفيذها.
- الحماية الذاتية لمكافحة الفيروسات: يمنع المهاجمين من إنهاء خدمات الأمان أو إلغاء تثبيتها بالقوة.
- الكشف القائم على السلوك: يراقب الأنشطة غير الطبيعية المرتبطة ببرامج الفدية، مثل التغييرات الجماعية للملفات أو تشغيل العمليات المشبوهة.
- الحماية من برامج الفدية: يقوم بحظر محاولات التشفير غير المصرح بها في الوقت الفعلي، مما يقطع الهجوم قبل قفل البيانات.
- التحكم في التطبيق: يقيد استخدام الأدوات البعيدة غير المصرح بها، مما يضمن السماح بتشغيل التطبيقات الموثوقة فقط.
أفضل ممارسات وتوصيات الأمان
لا يقتصر الدفاع ضد برامج الفدية على امتلاك الأدوات المناسبة فحسب، بل يشمل أيضًا استخدامها بحكمة وبناء عادات يومية راسخة. إليك بعض الخطوات العملية التي يمكن لكل مؤسسة اتخاذها للتفوق على المهاجمين:
- تقييد استخدام أداة الوصول عن بعداحتفظ فقط بالأدوات البعيدة التي تحتاجها فعلاً، وأزل الباقي. كلما قلّت نقاط الدخول، زادت أمان أنظمتك.
- فرض المصادقة متعددة العوامل (MFA): حتى لو قام المهاجمون بسرقة كلمة مرور، فإن المصادقة المتعددة العوامل تجعل تسجيل الدخول أكثر صعوبة بالنسبة لهم.
- تحديد الحقوق الإدارية: لا تمنح صلاحيات المسؤول إلا للضرورة القصوى. قلة الصلاحيات تعني ضررًا أقل في حال اختراق الحساب.
- تدقيق ومراقبة السجلات بشكل مستمر: راقب سجلاتك عن كثب - يمكن أن تكون عمليات تسجيل الدخول غير المعتادة، أو التثبيتات الصامتة، أو أوامر الإعداد الغريبة بمثابة علامات تحذير مبكرة.
- التحديثات والتصحيحات المنتظمة: احرص على متابعة التحديثات الخاصة بأنظمة التشغيل وأدوات الأمان لديك حتى لا يتمكن المهاجمون من استغلال العيوب القديمة.
- التدريب على توعية المستخدم: الإنسان هو خط الدفاع الأول. تدريب الموظفين على رصد رسائل التصيد الاحتيالي أو أنشطة الدعم عن بُعد المشبوهة يمكن أن يوقف الهجمات قبل أن تبدأ.
الخلاصة:
يمكن أن تصبح أدوات تكنولوجيا المعلومات الموثوقة بسهولة نواقل هجمات خفية في حال سوء إدارتها، ويُعدّ إساءة استخدام أدوات الوصول عن بُعد الآن عاملًا أساسيًا في ظهور الجيل التالي من برامج الفدية. ولمواجهة هذا الخطر، تحتاج الشركات إلى نهج متعدد الطبقات يجمع بين الحوكمة والمراقبة والاستجابة السريعة.
شفاء سريع و Seqrite تلعب هذه الأنظمة دورًا محوريًا في استراتيجية الدفاع هذه، إذ توفر حماية قوية ضد الفيروسات، وكشفًا للسلوكيات غير المرغوب فيها، وحماية من برامج الفدية. وعند دمجها مع حوكمة صارمة واستجابة فعّالة للحوادث، تستطيع المؤسسات التفوق على المهاجمين.
وتشمل التدابير الرئيسية ما يلي:
- حوكمة أداة الوصول عن بعد والقائمة البيضاء
- حماية متعددة الطبقات ضد الفيروسات مدعومة بتقنية Quick Heal / Seqrite
- الكشف السلوكي والتصفية الخارجية
- الاستجابة السريعة للحوادث من أجل الاحتواء والتعافي
ومن خلال اعتماد استراتيجية الدفاع متعددة الطبقات هذه، تستطيع المؤسسات اكتشاف حملات الفدية المستندة إلى أداة الوصول عن بعد واحتوائها والتخفيف منها بشكل استباقي - وتحويل الأدوات الموثوقة من تهديدات محتملة إلى أصول يمكن التحكم فيها وإدارتها.
المؤلف: ماتين تادفي
المؤلف المشارك : عمر خان
