كيف يمكن لخبراء الأمن فك برامج الفدية؟

يتم تصنيف 'كيف يمكن لخبراء الأمن فك برامج الفدية' بواسطة BTW Media لأن الأدلة المنشورة تربطها بالبنية التحتية للإنترنت أو الحوكمة أو التبعيات التشغيلية أو رؤية السوق.

• بناءً على الممارسات غير القانونية للقراصنة، يتزايد عدد خبراء الأمن الذين يعملون مع سلطات إنفاذ القانون لتوفير أدوات فك التشفير مجانًا.
• يطور خبراء فك برامج الفدية الأدوات بعدة طرق رئيسية: الهندسة العكسية للخطأ، والعمل مع سلطات إنفاذ القانون، وجمع مفاتيح التشفير المتاحة للعموم.

عصر القرصنة الجامحة

يستخدم القراصنةبرامج الفديةلتعقب كل صناعة،ويطالبون بأكبر قدر ممكن من المالللوصول إلى ملفات الضحايا. إنها تجارة مربحة. في النصف الأول من عام 2023، احتالت عصابات برامج الفدية على أهدافها بمبلغ449 مليون دولار.
ومع ذلك، يتزايد تعاون خبراء الأمن مع سلطات إنفاذ القانون لتوفير أدوات فك التشفير مجانًا.

اقرأ أيضًا:القراصنة لا يبدو أنهم راضون عن سرقة العملات المشفرة!

عدة حلول شائعة

هناك عدة طرق رئيسية يطور بها خبراء فك برامج الفدية الأدوات: الهندسة العكسية للأخطاء، والعمل مع سلطات إنفاذ القانون، وجمع مفاتيح التشفير المتاحة للعموم. تعتمد مدة هذه العملية على تعقيد الكود، ولكنها تتطلب عادةً معلومات حول الملف المشفر، والنسخة غير المشفرة من الملف، ومعلومات الخادم التي تقدمها مجموعة القرصنة.

قال جاكوب كروستيك، رئيس أبحاث البرامج الضارة في شركة أفاست لمكافحة الفيروسات: "مجرد الحصول على الملف المشفر الناتج عادة ما يكون عديم الفائدة. أنت بحاجة إلى العينة نفسها، الملف القابل للتنفيذ." الأمر ليس سهلاً، لكن عندما ينجح، فإنه يحقق فوائد للضحايا المتضررين.

سيستخدم خبراء فك برامج الفدية معرفتهم بهندسة البرمجيات والتشفير للحصول على مفاتيح برامج الفدية وإنشاء أداة فك التشفير من هناك، كما قال كروستيك. قد تتطلب عمليات التشفير الأكثر تقدمًا كسرًا بالقوة الغاشمة، أو تخمينًا مدروسًا بناءً على المعلومات المتاحة. في بعض الأحيان، يستخدم القراصنة مولدات أرقام عشوائية زائفة لإنشاء المفاتيح. سيكون مولد الأرقام العشوائية الحقيقي عشوائيًا، لكن ذلك يعني أنه ليس من السهل التنبؤ به. كما يشرح فان دير فيل، قد يعتمد المولد العشوائي الزائف على نمط موجود ليبدو عشوائيًا بينما هو في الواقع ليس كذلك - على سبيل المثال، قد يعتمد النمط على وقت إنشائه.

إذا عرف الباحثون جزءًا منه، يمكنهم تجربة قيم زمنية مختلفة حتى يستنتجوا المفتاح.

لكن الحصول على المفاتيح يتطلب غالبًا العمل مع سلطات إنفاذ القانون للحصول على مزيد من المعلومات حول كيفية عمل مجموعة القرصنة. إذا تمكن الباحثون من الحصول على عنوان IP للقرصان، يمكنهم طلب من الشرطة المحلية مصادرة الخادم والحصول على تفريغ للذاكرة من محتويات الخادم. أو، إذا استخدم القراصنة خوادم بروكسي لإخفاء موقعهم، فقد تستخدم الشرطة أدوات تحليل حركة المرور مثل NetFlow لتحديد أين تذهب حركة المرور واستخراج المعلومات منها، كما قال فان دير فيل. تجعل اتفاقية بودابست لمكافحة الجرائم الإلكترونية الجرائم عبر الحدود ممكنة لأنها تسمح للشرطة بطلب صور الخوادم في بلد آخر على وجه السرعة أثناء انتظار الطلب الرسمي.

اقرأ أيضًا:تم استرداد 674 مليون دولار من العملات المشفرة من أصل 2.6 مليار دولار مسروقة

العمل مع القانون

تم العمل مع سلطات إنفاذ القانون لمساعدة Cisco Talos في إنشاء أداة فك تشفير لبرنامج الفدية Babuk tortilla. يستهدف هذا الإصدار من برامج الفدية الرعاية الصحية والتصنيع والبنية التحتية الوطنية، ويقوم بتشفير أجهزة الضحايا وحذف النسخ الاحتياطية القيمة. أنشأت أفاست أداة فك تشفير عالمية لـ Babuk، لكن سلالة tortilla أثبتت صعوبة اختراقها. عملت الشرطة الهولندية و Cisco Talos معًا لاعتقال المسؤولين عن الفيروس، وفي هذه العملية حصلوا على أداة فك تشفير tortilla.

بشكل عام، لا يمكن للخبراء مشاركة الكثير من المعلومات حول العملية دون إعطاء عصابات برامج الفدية فائدة الشك. إذا كشفوا عن الأخطاء الشائعة، يمكن للقراصنة استخدامها لتحسين محاولة برامج الفدية التالية بسهولة. إذا أخبرنا الباحثون عن الملفات المشفرة التي يعملون عليها، ستعرف العصابة أنهم على دراية بها. لكن أفضل طريقة لتجنب ما سبق هي أن تكون استباقيًا.