شنّ برنامج فدية جديد يُدعى "بيتيا" هجومًا على العديد من المواقع الإلكترونية التابعة لشركات كبرى. في الأشهر السابقة، ألحق هجوم "واناكراي" أضرارًا بالغة بأكثر من 300,000 ألف جهاز كمبيوتر حول العالم؛ ويُعتقد أن "بيتيا" مرتبط بنفس نوع أدوات القرصنة التي استخدمها "واناكراي" ويشترك معه في طرق انتشار مماثلة.
لقد احتجز برنامج الفدية "بيتيا" بالفعل آلاف أجهزة الكمبيوتر، مما أثر على الشركات وبنيتها التحتية من أوكرانيا إلى الولايات المتحدة والهند . وقد أثر ذلك على المطار الدولي الأوكراني ، وشركات الشحن متعددة الجنسيات، والشركات القانونية والإعلانية، وأدى إلى إغلاق أنظمة مراقبة الإشعاع في منشأة تشيرنوبيل النووية ، مما يدل على التأثير العالمي الكبير لهذا البرنامج على البنية التحتية الحيوية والخدمات الأساسية.
الانتشار العالمي وتأثير بيتيا
تأثرت العديد من الشركات حول العالم بهجوم برامج الفدية هذا ، الذي يستهدف أجهزة الكمبيوتر التي تعمل بنظام ويندوز، ويطلب عادةً فدية بعملة البيتكوين لاستعادة الوصول إلى البيانات. وشملت الدول الأكثر تضرراً أوكرانيا وروسيا والمملكة المتحدة والهند ، على الرغم من الإبلاغ عن حوادث مماثلة في إسبانيا ومناطق مختلفة من أمريكا الشمالية والجنوبية وآسيا.
حدد خبراء الأمن متغيرات مرتبطة بـ Petya (المعروف أيضًا باسم Petrwrap )، بينما حددت شركات مثل Kaspersky وبائعين آخرين متغيرًا يسمى NotPetya ، والذي يعتبره العديد من المتخصصين برنامج فدية زائف هدفه الرئيسي هو إلحاق الضرر وليس بالضرورة جمع الأموال.
في قطاع الشركات، أثّر برنامج بيتيا الخبيث على مجموعات إعلانية ضخمة ، وشركات بنية تحتية ، وشركات طاقة ، وشركات أدوية ، بالإضافة إلى مكاتب حكومية وإدارات عامة. ولا تقتصر التكلفة الحقيقية على دفع الفدية فحسب، بل تشمل فقدان البيانات أو سرقتها ، وتعطيل الأعمال لفترات طويلة، والإضرار بالسمعة، والتكاليف التقنية والقانونية. وفي العديد من الحوادث، أصبح نظام دفع الفدية غير قابل للاستخدام، أو لم يتم توفير مفتاح فك التشفير، مما يعزز الفرضية القائلة بأن الهدف في كثير من الحالات كان تدمير البيانات وخلق حالة من عدم الاستقرار.
ردود فعل من المنظمات الدولية وجهات إنفاذ القانون
لم تتمكن يوروبول من تقديم بيانات تشغيلية متعلقة بالهجوم في مراحله الأولى؛ وأشارت المتحدثة باسمها ، تين هوليفويت ، إلى أنهم يحاولون "الحصول على صورة كاملة للهجوم" من خلال العمل مع شركاء من قطاع الصناعة وإنفاذ القانون. وقال المدير التنفيذي ليوروبول، روب واينرايت : "يُعدّ هجوم بيتيا دليلاً على كيفية تطور الجرائم الإلكترونية ونموها، وهو يُذكّرنا مرة أخرى بأهمية الأمن السيبراني وضرورته ".
بالإضافة إلى يوروبول، رصدت فرق الاستجابة للحوادث من عدة موردين (مثل تشيك بوينت وسيسكو وغيرهما) انتشارًا واسعًا لفيروس بيتيا داخل شبكات الشركات . وتتفق العديد من التقارير على أن الهجوم بدأ بقوة خاصة في أوكرانيا، متسببًا في اضطرابات هائلة للبنية التحتية الحيوية قبل أن ينتشر إلى بقية أوروبا وقارات أخرى.
كيف يعمل برنامج بيتيا الخبيث ولماذا هو مدمر للغاية
يُعدّ برنامج Petya ضارًا بشكل خاص لأنه، على عكس برامج الفدية التي تُشفّر الملفات واحدًا تلو الآخر، يُمكنه قفل القرص الصلب بالكامل . تقوم العديد من أنواعه بتشفير سجل التمهيد الرئيسي (MBR) والقطاعات الحيوية للقرص، وتعرض رسالة تُحاكي "إصلاح نظام الملفات" بينما تقوم في الواقع بتشفير الكمبيوتر.
على عكس برنامج WannaCry، لا يتضمن هجوم Petya آلية إيقاف تلقائي ، وفقًا لتحليلات يوروبول وقطاع البرمجيات الخبيثة، مما يجعل تعطيله صعبًا بعد انتشاره. في بعض الحالات، ينتظر البرنامج الخبيث حوالي ساعة بعد الإصابة قبل إعادة تشغيل النظام وعرض تحذير التشفير، وخلال هذه الفترة يمكنه مواصلة الانتشار عبر الشبكة.
بدأ فريق الاستجابة للطوارئ الحاسوبية الأمريكي (US-CERT) ومراكز استجابة أخرى بتلقي العديد من التقارير عن الإصابات، ولاحظوا أن هذا النوع من البرامج الخبيثة يقوم بتشفير إدخالات سجل نظام ويندوز ويستغل ثغرات في خدمة مراسلة SMB. تسمح هذه الثغرات باختراق الأنظمة غير المُحدثة حتى مع وجود إجراءات أمنية أساسية.
يحتوي الملف المُعرَّف باسم RAMSON_PETYA.SMA على متغيرات مختلفة ووسائل إصابة متعددة، بعضها استُخدم أيضًا في هجوم WannaCry . وتجمع تقنيات الانتشار بين استغلال ثغرة SMBv1 المعروفة باسم "EternalBlue "، وأدوات الإدارة عن بُعد مثل PsExec للتنقل الجانبي، وحملات التصيّد الاحتيالي التي تتضمن مرفقات أو روابط خبيثة.
استراتيجيات الوقاية: ما يجب فعله قبل وأثناء وبعد الهجوم
إن أفضل حماية ضد حشرة بيتيا هي استراتيجية وقائية شاملة . يوصي الخبراء باتخاذ تدابير على ثلاث مراحل: قبل الهجوم، وأثناء الإصابة، وبعد الحادث، تجمع بين الضوابط التقنية وإدارة العوامل البشرية.
قبل الهجوم: الحفاظ على نسخ احتياطية منتظمة وموثقة من خلال تدريبات الاستعادة؛ تطبيق التصحيحات والتحديثات على أنظمة التشغيل والتطبيقات؛ تعطيل البروتوكولات غير الآمنة مثل SMBv1 كلما أمكن ذلك؛ نشر حلول منع التهديدات وتوفير التدريب على الأمن السيبراني للمستخدمين.
أثناء الهجوم: افصل المعدات المتضررة عن الشبكة لاحتواء الانتشار، وأبلغ السلطات وفرق الاستجابة، وقم بتقييم النطاق باستخدام معلومات التهديدات، ونسق الاستجابة مع الدعم القانوني والتقني المتخصص.
بعد احتواء الهجوم: قم بإجراء تقييم أمني شامل ، وتنظيف الثغرات الأمنية والآثار المتبقية، وإجراء تحليل جنائي لتسلسل الأحداث، وتعزيز وعي المستخدمين . إن تطبيق بنى أمنية تُعطي الأولوية للوقاية وتجزئة الشبكة يُمكن أن يُقلل بشكل كبير من تأثير الحوادث المستقبلية.
يُظهر هجوم بيتيا ومشتقاته أن برامج الفدية الخبيثة قد تحولت من مشكلة هامشية إلى تهديد استراتيجي للشركات والحكومات والمواطنين. إن التعلم من هذه الهجمات وتطبيق تدابير استباقية هو السبيل الوحيد للتخفيف من آثار تفشيها في المستقبل.