أوروبا تصبح مختبر اختبار لبرامج الفدية تحت ضغط المورّدين

لا تحتاج مجموعات برامج الفدية إلى ضرب كل هدف مباشرة عندما يمكن أن يصبح المورّد أقصر طريق إلى الداخل. إن التحول الحالي نحو مؤسسات الاتحاد الأوروبي والشركات التي تخدمها يشير إلى نموذج ابتزاز أكثر كفاءة: الضغط على شركة واحدة، ثم استغلال الثقة التي بنتها مع الشركاء والمتعاقدين ومقدمي الخدمات. هذه هي الأهمية الحقيقية لهذه الخطوة، وليس الجغرافيا وحدها.

حقائق سريعة

• يركز مشغلو برامج الفدية بشكل متزايد على مؤسسات الاتحاد الأوروبي ومورّديها.
• يأتي هذا الاهتمام المتجدد بعد فترة من انخفاض نشاط برامج الفدية عالميا.
• يمكن لعلاقات المورّدين أن تزيد المخاطر اللاحقة لأن حادثا واحدا قد يؤثر في أكثر من مؤسسة.
• في التحليل الأوسع لبرامج الفدية، يتوافق التشفير لتحقيق التأثير مع تقنية MITRE ATT&CK T1486.
• يجب أن يشمل التخطيط الدفاعي الآن جرد الأطراف الثالثة، وليس الأنظمة الداخلية فقط.

لماذا يهم المورّدون لمجموعات برامج الفدية

قراءة Netcrook بسيطة: استهداف المورّدين يمكن أن يضاعف النفوذ. إذا وصل المهاجم إلى مزود مُدار أو شريك برمجي أو تبعية موثوقة أخرى، فقد ترتفع القيمة الإجرامية لذلك الوصول لأن العملاء في المراحل اللاحقة يمكن أن يشعروا بالتعطيل أيضا. هذا لا يعني أن كل حادثة تتعلق بمورّد تتحول إلى سلسلة متتالية، لكنه يعني أن نموذج المخاطر يتغير عندما تكون الخدمات التجارية مشتركة بين المؤسسات.

هذا النمط يتوافق مع سلوك برامج الفدية الراسخ. في جوهره، تعد برامج الفدية هجوما على التوافر، وغالبا ما يرتبط بالابتزاز. وفي التصنيفات التقنية، تُتبع مرحلة التشفير عادة على أنها Data Encrypted for Impact، أو T1486. لكن في تخطيط الاستجابة الواقعي، غالبا ما يكون الضرر أوسع من الملفات المشفرة وحدها. يمكن لأنظمة الهوية والنسخ الاحتياطية وأدوات الإدارة عن بُعد وسير عمل الاستعادة أن تصبح جميعها نقاط ضغط وفقا لما يصل إليه المهاجم.

لا تحدد المعلومات العامة حول هذا التحول الأخير المتمحور حول أوروبا عصابة بعينها أو ضحية محددة أو مسارا معينا للاختراق. وهذا مهم. فبدون تفاصيل على مستوى الحادثة، لا يكون الاستنتاج الآمن أن نوعا واحدا من المورّدين قد تم اختراقه، بل أن سوق برامج الفدية يبدو أنه يرى التبعيات المرتبطة بالاتحاد الأوروبي أرضا ذات قيمة.

ما الذي ينبغي على المدافعين استخلاصه

الدرس الدفاعي ليس أن نفترض أن مخاطر الأطراف الثالثة تخص المشتريات فقط. تحتاج فرق الأمن إلى جرد للمورّدين المهمين، ورؤية إلى أي البائعين يمكنه لمس الخدمات الحساسة، وخطة استجابة تشمل العزل وإعادة تعيين بيانات الاعتماد وخطوات استمرارية الأعمال إذا تعرض شريك لهجوم. عمليا، يكون أهم ضابط غالبا هو الرؤية: معرفة أي العلاقات الخارجية ستسبب أكبر ضرر إذا فشلت.

بالنسبة للمؤسسات التي لديها عمليات في الاتحاد الأوروبي، هذا مهم بشكل خاص لأن تقديم الخدمات عبر الحدود يمكن أن يجعل تبعية مخترقة واحدة تبدو كأنها عدة حوادث في وقت واحد. ولهذا ينبغي أن يتعامل تخطيط برامج الفدية مع المورّدين كجزء من سطح الهجوم، حتى عندما لا تكون إدارتهم مباشرة بيد فريق الأمن.

حتى وقت كتابة هذا التقرير، لم تحدد المعلومات العامة بالكامل السبب التقني الجذري، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق. تدعم المعلومات المتاحة تحليلا للمخاطر، لا ادعاء نهائيا بشأن أي مؤسسة بعينها.

الخلاصة

الدرس أوسع من أوروبا. فاعلو برامج الفدية يتبعون النفوذ، وغالبا ما يوجد النفوذ في العلاقات بين المؤسسات. وأمتن دفاع هو رسم هذه العلاقات قبل أن يفعل المجرمون ذلك، والتعامل مع ثقة المورّدين كضابط أمني يمكن اختباره وكسره واستغلاله.

TECHCROOK

محرك نسخ احتياطي خارجي: المحرك الخارجي للنسخ الاحتياطي هو طريقة بسيطة للاحتفاظ بنسخ غير متصلة من الملفات المهمة. وفي التخطيط لبرامج الفدية، يكمن الأساس في نسخ احتياطية منتظمة تبقى مفصولة عند عدم استخدامها ويتم اختبار استعادتها. إنه أداة عملية ومتاحة على نطاق واسع لاستمرارية الأعمال واستعادة البيانات الشخصية.

ورقة Techcrook: محرك نسخ احتياطي خارجي

WIKICROOK

• برامج الفدية: برمجيات خبيثة تمنع الوصول إلى الأنظمة أو البيانات وتطلب الدفع مقابل الاستعادة.
• استهداف المورّدين: نمط هجوم يركز على البائعين أو مقدمي الخدمات لزيادة التأثير اللاحق.
• T1486: تقنية MITRE ATT&CK للبيانات المشفرة من أجل التأثير، وترتبط عادة ببرامج الفدية.
• الابتزاز: ضغط إجرامي يستخدم الوصول المسروق أو البيانات أو تعطيل الخدمة لإجبار الضحية على الدفع.
• مخاطر الأطراف الثالثة: التعرض الأمني الذي يأتي من الشركاء الخارجيين أو البائعين أو التبعيات الخدمية.