هجوم برامج الفدية (Ransomware): ما لا يجب فعله في الدقائق الأولى — أخطاء تجعل الوضع أسبوع

إياك أن تحذف اللقطات المأخوذة للأنظمة الوهمية (snapshot) أو تكتب فوقها. وإذا أمكن، لا تقم بأي عملية نقل للملفات على نظام التشغيل حتى يأتي متخصص يمكنه أخذ نسخة من الذاكرة (memory dump). تغير خصائص الملفات يجعل التعرف على نوع الفيروس أمراً صعباً.

الشيء الوحيد الذي يجب فعله الآن فوراً: افصل كابلات الشبكة يدوياً من ظهر جميع الأجهزة المصابة وغير المصابة، وافصل مودم المكتب ونقاط الاتصال اللاسلكي. قلل الاتصال بالشبكة إلى الصفر ولكن اترك الأجهزة شغالّة.

العام الماضي وفي حادثة مشابهة، قام أحد عملائنا بإعادة تشغيل السيرفر بدافع الذعر ففقد مفتاح التشفير الموجود بالذاكرة المؤقتة. معمل الاسترجاع أفاد بأنه لو كان الجهاز ظل يعمل لكان هناك احتمال 70 بالمئة لاستخراج المفتاح من الذاكرة.

أكبر خطأ هو توصيل قرص خارجي تعتقد أنه نظيف بالسيرفر فوراً لتفقد النسخة الاحتياطية، إذا كان الفيروس يعمل بالخلفية سيتشفر القرص في لحظتها ولن يتبقى معك أي شيء.

وفقاً للائحة العامة لحماية البيانات في الاتحاد الأوروبي، إذا كان هناك خطر تسرب بيانات شخصية، فإن إبلاغ سلطة حماية البيانات المختصة خلال 72 ساعة من العلم بالواقعة هو التزام قانوني. احتفظ بسجلات التواصل ولوج النظام بعناية.

لا تستمع للموظفين الذين يقترحون دفع الفدية. حتى لو دفعت، لا يوجد أي ضمان بمليون في المئة أنهم سيعطونك المفتاح أو أن النظام سيعود للعمل. بالإضافة إلى أنك ستظل مدرجاً في قائمتهم كهدف سهل.

في أول نصف ساعة إياك وفعل هذه الأشياء الثلاثة: 1) لا تعد تشغيل السيرفرات ولا تفصل عنها الكهرباء، 2) لا توصل وحدات النسخ الاحتياطي النظيفة بالشبكة أو بالأجهزة، 3) لا تبدأ أي مراسلة مع المهاجم عبر الإيميل أو الرابط الموجود في ملاحظة الفدية.

قدر الله وما شاء فعل، موقف في غاية التوتر لكن إن تصرفت بدون ذعر فهناك أمل في الحل. عندما يصل الخبير اجعله يفحص فقط الأجهزة المفصولة عن الشبكة، الهدوء هو القاعدة الأولى للاسترجاع.

تم الحفظ. محاولة فعل هذا بمفردك هي أغلى الطرق.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

لم أكن أعلم بهذا.

بعد تجربة ذلك، تغيرت نظرتي للأمور. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

عند النظر إلى العملية ككل، تتغير الصورة. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

دعني أتركها كملاحظة، قد تكون مفيدة.

موضوع في الوقت المناسب تمامًا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

دعني أتركها كملاحظة، قد تكون مفيدة.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. طيب عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

هذا العنوان مؤرشف.

سأكتب ما حدث لي، ربما يفيدكم ثم يعني بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

دعني أتركها كملاحظة، قد تكون مفيدة.

ملخص سريع للجدد: محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. بالتوفيق.