برنامج كريبتولوكر يحمل أخبارًا سيئة

بشكل عام لا تُعَد برامج انتزاع الفدية تحديدًا هي البرامج الخبيثة الأكثر شرًا وضررًا، ولكن النوع الجديد لهذه الفئة من البرامج، والذي يُدعَى CryptoLocker، يُعَد مثار قلق بشكل خاص؛ لأنه يقوم بالفعل بما تدعي – فقط – معظم برامج انتزاع الفدية أنها تفعله: حيث يقوم هذا البرنامج بتشفير محتويات جهاز الكمبيوتر باستخدام شفرات قوية للغاية.

إذا لم تكن معتادًا على مثل هذه البرامج فيجب أن تعلم أن برامج انتزاع الفدية هي أحد أنواع البرامج الخبيثة. وبمجرد أن تصيب هذه البرامج جهازها المستضيف، تقوم – على الأقل – بتشفير البيانات التي عليه أو غلق جهاز الضحية بطريقةٍ أو بأخرى. بعد ذلك يقوم هذا البرنامج الخبيث بإبلاغ المستخدم المصاب (الضحية) بأنه يجب أن يدفع الفدية لكي يتم فتح ملفاته مرة أخرى.

 بطبيعة الحال، ليس هناك أي ضمان على الإطلاق يكفل أن دفع الفدية سوف يفتح أو يطلق أي شيء، بل على الأرجح أن هذا لن يحدث، وبالتالي فإن دفع الفدية لن يُحَقِّق أي شيء آخر سوى تسمين جيوب المهاجمين الذين طوروا أو نشروا هذا البرنامج الخبيث.

هناك الكثير من التهديدات النبيلة التي نكتب عنها هنا لأنها شيقة ومثيرة للاهتمام، ولأنك قد سمعت عنها أشياء مخيفة في نشرات الأخبار. ونحن نرغب في المضي قدمًا والاسهاب في شرح هذا النوع من التهديدات من حيث كيفية عمله وطبيعته (ماهيته)، وبشكل عام، لماذا لا تحتاج حقًا أن تقلق بشأنه.

إلا أن برنامج انتزاع الفدية (CryptoLocker) لا ينتمي لهذه التهديدات النبيلة؛ حيث يُعَد برنامج CryptoLocker نوعًا من التهديدات التي تستطيع حقًا أن تدمر أسبوعك أو شهرك أو عامك وذلك اعتمادًا على مدى أهمية البيانات الموجودة على جهاز الكمبيوتر (ومدى وجود تقنية النسخ الاحتياطي)، لذلك ينبغي عليك أن تقلق بشأن هذا البرنامج ولو قليلاً.

ولم يكن الأمر مفاجئًا عندما قال عدد قليل من المستخدمين المصابين الذين دفعوا الفدية أنهم لم يتلقوا مفتاح فك الشفرة في المقابل، وذلك على الرغم من أن بعض الخبراء قد أشاروا إلى أن مجموعة من المهاجمين يدأوا في توزيع مفاتيح فك الشفرة في أواخر الأسبوع الماضي.

يبدو أن هناك عددًا قليلاً من المهاجمين المختلفين يستخدمون برنامج CryptLocker في الوقت الراهن، حيث أنني كتبت عن إحدى الهجمات التي استخدمت هذا البرنامج في الشهر الماضي وكانت تستهدف موقع Threatpost.com. وقد قام هذا البرنامج الخبيث بتشفير الصور ومقاطع الفيديو والوثائق وغير ذلك، ثم زود الضحايا برابط يحتوي على قائمة كاملة بأنواع الملفات المشفرة.

وكان البرنامج الخبيث يستخدم التشفير RSA-2048 والذي تتم حمايته بواسطة مفتاح خاص. بعد ذلك، عرضت واجهة برنامج انتزاع الفدية ساعة العد التنازلي لمدة ثلاثة أيام، وفي الوقت ذاته تحذر المستخدمين من أنه في حالة انقضاء الوقت سوف يتم حذف مفتاح فك التشفير الخاص إلى الأبد ولن تكون هناك أي طريقة لاستعادة الملفات المشفرة.

وخلال هذا الوقت يطالب المهاجمون بدفع فدية تُقَدَّر بـ 300 دولار من خلال عدد من وسائل الدفع المختلفة من ضمنها عملات Bitcoin.

ويُعَد هذا التهديد قويًا للغاية لدرجة أنه تتطَلَّب استشارة من فريق الإستعداد لحالات طواريء الحاسوب بالولايات المتحدة (US-CERT)، والذي يُعَد فرعًا من إدارة الأمن الوطني التي تُكَلَّف أساسًا بتحليل وتقليل المخاطر التي تُشَكِّلها التهديدات على الإنترنت.

وأشارت هذه الاستشارة إلى أن الإصابات التي تسَبَّبَ فيها برنامج CryptoLocker كانت في زيادة مستمرة، إلا أن الغرض الرئيسي من هذه الاستشارة كان حث المصابين على عدم دفع الفدية المرتبطة بالبرامج الخبيثة.

في الغالب، ينتشر برنامج CryptoLocker عَبْر حملات التصيد المختلفة، بما في ذلك بعض الشركات الشرعية أو من خلال تتَبُّع الإخطارات الوهمية الواردة من شركة فيدكس (Federal Express) أو UPS. وقد قال بعض الضحايا أن برنامج CryptoLocker ظهر بعد إصابة شبكة بوت نت المستقلة أيضًا. وطبقًا لما صرح به كوستين راو الخبير في كاسبرسكي بأن هذا البرنامج الخبيث يستهدف في المقام الأول مستخدمي الولايات المتحدة والمملكة المتحدة، إلا أن الهند وكندا وأستراليا وفرنسا تُعَد أهدافًا من الدرجة الثانية.

يُعَد برنامج CryptoLocker نوعًا من التهديدات التي تستطيع حقًا أن تدمر أسبوعك أو شهرك أو عامك وذلك اعتمادًا على مدى أهمية البيانات الموجودة على جهاز الكمبيوتر، لذلك ينبغي عليك أن تقلق بشأن هذا البرنامج ولو قليلاً.

ووفقًا لما ورد في التقارير، فإن هناك بعض الإصدارات من برنامج CryptoLocker التي لا تستطيع فقط إصابة الملفات المحلية، بل قادرة أيضًا على على إصابة الملفات المُخَزَّنَة في الوسائط القابلة للإزالة مثل عُصي (فلاشات) USB ومحركات الأقراص الصلبة الخارجية والملفات المُتَبَادَلَة على شبكة الاتصال وبعض خدمات التخزين السحابية القادرة على مزامنة المجلدات المحلية مع تخزينها على الإتنرنت.

ويحذر أيضًا إخطار (استشارة) فريق الإستعداد لحالات طواريء الحاسوب بالولايات المتحدة (US-CERT) من أن هذا البرنامج الخبيث قادر على القفز من جهاز إلى آخر داخل الشبكة الواحدة، لذلك ينصح الإخطار المستخدمين المصابين بإزالة الأجهزة المتضررة من شبكاتهم على الفور.

وقد أفاد بريان كريبس، الصحفي المتخصص في الشؤون الأمنية، في وقت سابق من هذا الأسبوع أن الطاقم الذي يدير برنامج CryptoLocker قد تهاون بشأن المهلة التي حددها بـ 72 ساعة، ربما لأنه كان يخسر المال بسبب المستخدمين الذين سيدفعون، ولكنه لم يستطع تحديد كيفية الدفع بعملات Bitcoin أو MoneyPak في الوقت المحدد.

ويظل العد التنازلي مستمرًا ولكن لا يتم حذف مفتاح فك الشفرة بعد أن تنتهي نافذة الوقت التنازلي. وبدلاً من ذلك، يقوم المهاجمون فقط بتعديل السعر المطلوب ليصل إلى عشرة أضعاف السعر الأصلي.

ويقول لورانس أبرامز، خبير البرامج الخبيثة في موقع BleepingComputer.com والذي ذُكِرَ في مقالة كريبس، أن عددًا من الشركات والأفراد لن يكون لديهم أي خيار سوى دفع الفدية، وأنا أختلف تمامًا مع هذا المبدأ؛ لأنك إذا دفعت لهؤلاء المجرمين فإن بذلك تشجعهم على الاستمرار في جريمتهم. لذلك أنصح بعمل نُسَخ احتياطية للملفات المهمة الموجودة في جهازك الآن وبشكل منتظم، ولا تدع محرك الأقراص الخارجي الذي يحتوي على النسخ الاحتياطية موصولاً بجهازك. وبالتالي، في حالة إصابتك بمثل هذه البرامج، يصبح كل ما لديك فعله هو العودة إلى واحدة من نسخك الاحتياطية.

قد تساعدك بعض الخواص الموجودة في المنتجات المكافحة للفيروسات على تجنب الإصابة، ولكن طبقًا لما ورد في تقرير كريبس، فإن بعض المنتجات المكافحة للفيروسات تزيل العدوى بعد أن يتم تشفير الملفات، وهذا يعني أنه سيكون من المستحيل بالنسبة لهؤلاء المستخدمين أن يدفعوا الفدية حتى وإن أرادوا ذلك.

ومن المثير للاهتمام للغاية، أن مصممي برنامج CryptoLocker يستخدمون خلفيات نصية لمعالجة هذا السيناريو. وهو إذا أراد الضحية أن يدفع، ولكن برنامج مكافحة الفيروسات قام بإزالة العدوى (هذا لا يفك تشفير الملفات)، فإنه يصبح من الممكن أن يتم تحميل البرنامج الخبيث القابل للتنفيذ، عن طيب خاطر، باستخدام رابط مكتوب على الخلفية النصية.

يتمتع مستخدمو برنامج كاسبرسكي للحماية على الإنترنت بحماية ضد جميع التعديلات الحالية لبرنامج CryptoLocker، حيث يتم منع تنفيذ هذا البرنامج الخبيث على أنظمتهم.