VietNamNet مقاله‌ای از آقای دائو ترونگ تان، متخصص امنیت سایبری و معاون مدیر موسسه بلاکچین و هوش مصنوعی، را برای درک حمله سایبری به شرکت اوراق بهادار VNDirect و خطرات باج‌افزار معرفی می‌کند.
باج‌افزار، نوعی بدافزار که داده‌های سیستم قربانی را رمزگذاری کرده و برای رمزگشایی آنها درخواست باج می‌کند، به یکی از خطرناک‌ترین تهدیدات امنیت سایبری در جهان امروز تبدیل شده است. عکس: zephyr_p/Fotolia

مورد VNDirect و چه چیزی باج‌افزار را خطرناک می‌کند؟

در ۲۴ مارس ۲۰۲۴، شرکت اوراق بهادار VNDirect در ویتنام به جدیدترین نقطه کانونی در نقشه حملات باج‌افزاری بین‌المللی تبدیل شد. این حمله، مورد منحصر به فردی نیست.

باج‌افزار، نوعی نرم‌افزار مخرب که برای رمزگذاری داده‌ها روی سیستم قربانی و درخواست باج برای رمزگشایی آن طراحی شده است، به یکی از گسترده‌ترین و خطرناک‌ترین تهدیدات امنیت سایبری در جهان امروز تبدیل شده است. وابستگی روزافزون به داده‌های دیجیتال و فناوری اطلاعات در تمام زمینه‌های زندگی اجتماعی، سازمان‌ها و افراد را در برابر این حملات آسیب‌پذیر می‌کند.

خطر باج‌افزار نه تنها در توانایی آن در رمزگذاری داده‌ها، بلکه در نحوه‌ی گسترش و درخواست باج نیز نهفته است که یک کانال تراکنش مالی ایجاد می‌کند که از طریق آن هکرها می‌توانند سود غیرقانونی کسب کنند. پیچیدگی و غیرقابل پیش‌بینی بودن حملات باج‌افزار، آنها را به یکی از بزرگترین چالش‌های پیش روی امنیت سایبری امروز تبدیل کرده است.

حمله VNDirect یادآوری آشکاری بر اهمیت درک و پیشگیری از باج‌افزار است. تنها با درک نحوه عملکرد باج‌افزار و تهدیدی که ایجاد می‌کند، می‌توانیم اقدامات حفاظتی مؤثری را از آموزش کاربران، اعمال راه‌حل‌های فنی گرفته تا ایجاد یک استراتژی پیشگیری جامع برای محافظت از داده‌ها و سیستم‌های اطلاعاتی حیاتی، اجرا کنیم.

نحوه عملکرد باج‌افزار

باج‌افزار، یک تهدید وحشتناک در دنیای امنیت سایبری، به شیوه‌ای پیچیده و چندوجهی عمل می‌کند و عواقب جدی برای قربانیان ایجاد می‌کند. برای درک بهتر نحوه عملکرد باج‌افزار، باید هر مرحله از فرآیند حمله را بررسی کنیم.

عفونت

حمله زمانی آغاز می‌شود که باج‌افزار یک سیستم را آلوده می‌کند. چندین راه رایج برای ورود باج‌افزار به سیستم قربانی وجود دارد، از جمله:

ایمیل‌های فیشینگ: ایمیل‌های جعلی با پیوست‌های مخرب یا لینک‌هایی به وب‌سایت‌های حاوی کد مخرب؛ سوءاستفاده از آسیب‌پذیری‌های امنیتی: سوءاستفاده از آسیب‌پذیری‌های نرم‌افزارهای وصله‌نشده برای نصب خودکار باج‌افزار بدون تعامل با کاربر؛ تبلیغات مخرب: استفاده از تبلیغات اینترنتی برای توزیع بدافزار؛ ​​دانلود از وب‌سایت‌های مخرب: کاربران نرم‌افزار یا محتوا را از وب‌سایت‌های غیرقابل اعتماد دانلود می‌کنند.

رمزگذاری

پس از آلوده شدن، باج‌افزار فرآیند رمزگذاری داده‌ها را روی سیستم قربانی آغاز می‌کند. رمزگذاری فرآیند تبدیل داده‌ها به فرمتی است که بدون کلید رمزگشایی قابل خواندن نیست. باج‌افزار اغلب از الگوریتم‌های رمزگذاری قوی استفاده می‌کند و تضمین می‌کند که داده‌های رمزگذاری شده بدون کلید خاص قابل بازیابی نیستند.

تقاضای باج

پس از رمزگذاری داده‌ها، باج‌افزار پیامی را روی صفحه قربانی نمایش می‌دهد و برای رمزگشایی داده‌ها درخواست باج می‌کند. این پیام معمولاً حاوی دستورالعمل‌هایی در مورد نحوه پرداخت (معمولاً از طریق بیت‌کوین یا سایر ارزهای دیجیتال برای پنهان کردن هویت مجرم) و همچنین مهلت پرداخت است. برخی از نسخه‌های باج‌افزار همچنین تهدید می‌کنند که در صورت عدم پرداخت باج، داده‌ها را حذف یا منتشر می‌کنند.

تراکنش‌ها و رمزگشایی (یا عدم رمزگذاری)

قربانی سپس با یک تصمیم دشوار روبرو می‌شود: پرداخت باج و امید به بازگرداندن اطلاعاتش، یا امتناع و از دست دادن همیشگی آن. با این حال، پرداخت تضمین نمی‌کند که داده‌ها رمزگشایی شوند. در واقع، ممکن است مجرمان را به ادامه اقدامات خود تشویق کند.

نحوه عملکرد باج‌افزارها نه تنها پیچیدگی فنی را نشان می‌دهد، بلکه یک واقعیت غم‌انگیز را نیز نشان می‌دهد: تمایل به سوءاستفاده از ساده‌لوحی و ناآگاهی کاربران. این موضوع اهمیت افزایش آگاهی و دانش امنیت سایبری، از تشخیص ایمیل‌های فیشینگ گرفته تا به‌روزرسانی نرم‌افزارهای امنیتی را برجسته می‌کند. با وجود تهدیدی که دائماً در حال تکامل است، مانند باج‌افزارها، آموزش و پیشگیری بیش از هر زمان دیگری اهمیت دارد.

انواع رایج باج‌افزار

در دنیای همواره در حال تکامل تهدیدات باج‌افزاری، برخی از انواع آنها به دلیل پیچیدگی، توانایی گسترش و تأثیر جدی که بر سازمان‌های سراسر جهان دارند، برجسته هستند. در اینجا شرح هفت نوع محبوب و نحوه عملکرد آنها آمده است.

REvil (همچنین با نام Sodinokibi شناخته می‌شود)

ویژگی‌ها: REvil نوعی از باج‌افزار به عنوان سرویس (RaaS) است که به مجرمان سایبری اجازه می‌دهد تا آن را برای انجام حملات خود "اجاره" کنند. این امر به طور قابل توجهی توانایی باج‌افزار برای گسترش و تعداد قربانیان را افزایش می‌دهد.

روش‌های انتشار: توزیع از طریق آسیب‌پذیری‌های امنیتی، ایمیل‌های فیشینگ و ابزارهای حمله از راه دور. REvil همچنین از روش‌های حمله برای رمزگذاری خودکار یا سرقت داده‌ها استفاده می‌کند.

ریوک

ویژگی‌ها: Ryuk در درجه اول سازمان‌های بزرگ را هدف قرار می‌دهد تا پرداخت باج را به حداکثر برساند. این بدافزار قابلیت سفارشی‌سازی خود را برای هر حمله دارد که تشخیص و حذف آن را دشوار می‌کند.

روش انتشار: Ryuk از طریق ایمیل‌های فیشینگ و شبکه‌های آلوده به سایر بدافزارها، مانند Trickbot و Emotet، پخش شده و داده‌های شبکه را رمزگذاری می‌کند.

رابین‌هود

ویژگی‌ها: رابین‌هود به خاطر توانایی‌اش در حمله به سیستم‌های دولتی و سازمان‌های بزرگ، با استفاده از یک تاکتیک رمزگذاری پیچیده برای قفل کردن فایل‌ها و درخواست باج‌های کلان، شناخته شده است.

روش انتشار: از طریق کمپین‌های فیشینگ و همچنین سوءاستفاده از آسیب‌پذیری‌های امنیتی در نرم‌افزارها.

داپل‌پیمر

ویژگی‌ها: DoppelPaymer یک نوع باج‌افزار مستقل است که با رمزگذاری داده‌ها و تهدید به انتشار اطلاعات در صورت عدم پرداخت باج، می‌تواند خسارات جدی ایجاد کند.

روش انتشار: از طریق ابزارهای حمله از راه دور و ایمیل‌های فیشینگ، به‌ویژه با هدف قرار دادن آسیب‌پذیری‌ها در نرم‌افزارهای وصله‌نشده، منتشر می‌شود.

اسنیک (همچنین با نام اکانس شناخته می‌شود)

ویژگی‌ها: SNAKE برای حمله به سیستم‌های کنترل صنعتی (ICS) طراحی شده است. این بدافزار نه تنها داده‌ها را رمزگذاری می‌کند، بلکه می‌تواند فرآیندهای صنعتی را نیز مختل کند.

روش انتشار: از طریق فیشینگ و کمپین‌های سوءاستفاده، با تأکید بر هدف قرار دادن سیستم‌های صنعتی خاص.

فوبوس

ویژگی‌ها: Phobos شباهت‌های زیادی با Dharma، یکی دیگر از انواع باج‌افزار، دارد و اغلب برای حمله به مشاغل کوچک از طریق RDP (پروتکل دسکتاپ از راه دور) استفاده می‌شود.

روش انتشار: عمدتاً از طریق RDP آسیب‌پذیر یا در معرض دید، که به مهاجمان اجازه می‌دهد از راه دور به باج‌افزار دسترسی پیدا کرده و آن را مستقر کنند.

لاک‌بیت

LockBit یکی دیگر از انواع باج‌افزار محبوب است که تحت مدل Ransomware-as-a-Service (RaaS) عمل می‌کند و به خاطر حملاتش به کسب‌وکارها و سازمان‌های دولتی شناخته شده است. LockBit حملات خود را در سه مرحله اصلی انجام می‌دهد: سوءاستفاده از آسیب‌پذیری‌ها، نفوذ عمیق به سیستم و استقرار بار رمزگذاری.

مرحله ۱ - بهره‌برداری: LockBit با استفاده از تکنیک‌هایی مانند مهندسی اجتماعی، از جمله از طریق ایمیل‌های فیشینگ یا حملات جستجوی فراگیر (brute force) به سرورهای اینترانت و سیستم‌های شبکه، از آسیب‌پذیری‌های شبکه سوءاستفاده می‌کند.

مرحله ۲ - نفوذ: پس از نفوذ، LockBit از یک ابزار «پس از بهره‌برداری» برای افزایش سطح دسترسی خود و آماده‌سازی سیستم برای حمله رمزگذاری استفاده می‌کند.

مرحله ۳ - استقرار: LockBit بار داده رمزگذاری شده را روی هر دستگاه قابل دسترسی در شبکه مستقر می‌کند، تمام فایل‌های سیستم را رمزگذاری می‌کند و یک یادداشت باج‌خواهی از خود به جا می‌گذارد.

لاک‌بیت همچنین در فرآیند نفوذ خود از تعدادی ابزار رایگان و متن‌باز، از اسکنرهای شبکه گرفته تا نرم‌افزار مدیریت از راه دور، برای انجام شناسایی شبکه، دسترسی از راه دور، سرقت اطلاعات کاربری و استخراج داده‌ها استفاده می‌کند. در برخی موارد، لاک‌بیت حتی تهدید می‌کند که در صورت عدم پرداخت باج، اطلاعات شخصی قربانی را منتشر خواهد کرد.

با پیچیدگی و توانایی گسترش گسترده، LockBit یکی از بزرگترین تهدیدات در دنیای باج‌افزارهای مدرن است. سازمان‌ها باید مجموعه‌ای جامع از اقدامات امنیتی را برای محافظت از خود در برابر این باج‌افزار و انواع آن اتخاذ کنند.

دائو ترونگ تان

درس ۲: از حمله VNDirect تا استراتژی ضد باج‌افزار