رانسوم وير Prinz Eugen: كيف يستهدف ملفاتك الحديثة ويخفي آثار هجومه

مقدمة: تهديد جديد في عالم الرانسوم وير

يعد رانسوم وير Prinz Eugen أحدث تهديدات برامج الفدية التي ظهرت في الساحة الرقمية، ويتميز بتركيزه على ملفاتك الأكثر حداثة واستخداماً بدلاً من تشفير كامل للقرص. على عكس معظم هجمات الفدية التي تترك ملاحظة فدية واضحة تطلب الدفع، لا يترك هذا الهجوم أي أثر مرئي، مما يجعل من الصعب اكتشافه في مراحله الأولى. هذا النهج المتطور يزيد من خطورة الهجوم، لأنه يستهدف البيانات التي قد تكون حيوية لعملياتك اليومية، مما يضغط على الضحايا لدفع الفدية خوفاً من فقدان وصولهم إلى ملفاتهم.

يعتمد المهاجمون وراء Prinz Eugen على أساليب يدوية متقدمة، مثل استخدام برامج إدارة أجهزة الكمبيوتر عن بُعد (RMM) الشرعية، وأدوات النظام المتوفرة أصلاً (living-off-the-land). كما أنهم يستخدمون بيانات اعتماد مسروقة لبروتوكول سطح المكتب البعيد (RDP) للوصول إلى الأنظمة المستهدفة. في إحدى الحوادث التي تم التحقيق فيها، لوحظ استخدام أداة RemotePC لإدارة الأجهزة عن بُعد، بالإضافة إلى إنشاء حساب مشرف خلفي لضمان استمرار الوصول إلى النظام. هذا الأسلوب اليدوي يشير إلى أن المهاجمين لا يعتمدون على نموذج "الفدية كخدمة" (RaaS)، بل يعملون بشكل مستقل، مما يزيد من تعقيد تتبعهم وملاحقتهم.

كيف يعمل رانسوم وير Prinz Eugen: من الوصول الأولي إلى التشفير

الوصول الأولي: الاعتماد على بيانات اعتماد مسروقة وأدوات مشروعة

يبدأ هجوم Prinz Eugen عادةً بالوصول إلى النظام عبر بيانات اعتماد مسروقة لبروتوكول RDP. بعد ذلك، يقوم المهاجمون بتنزيل وتنفيذPayload الرئيسي، وهو ملف يسمى "servertool.exe". هذا الملف هوPayload الرئيسي للرانسوم وير، والذي يبدأ بتنفيذ سلسلة من الأوامر للتحضير للهجوم. في التحقيقات، لوحظ استخدام المهاجمين لأداة RemotePC لإدارة الأجهزة عن بُعد، بالإضافة إلى إنشاء حساب مشرف خلفي لضمان استمرار الوصول إلى النظام حتى بعد إعادة التشغيل.

هذا الأسلوب في استخدام أدوات مشروعة (RMM) وأدوات النظام المتوفرة أصلاً (living-off-the-land) يجعل من الصعب اكتشاف الهجوم بواسطة حلول الأمان التقليدية. لأن هذه الأدوات تعتبر طبيعية في بيئات الشركات، فإن نشاطها لا يثير الشكوك، مما يسمح للمهاجمين بالتحرك بحرية داخل الشبكة دون أن يتم اكتشافهم بسهولة. بالإضافة إلى ذلك، فإن استخدام بيانات اعتماد مسروقة لبروتوكول RDP يعني أن المهاجمين يمكنهم الوصول إلى الأنظمة كما لو كانوا مستخدمين شرعيين، مما يزيد من صعوبة اكتشافهم.

التشفير: استهداف الملفات الحديثة أولاً

يتميز Prinz Eugen بقدرته على تحديد أولويات محددة أثناء عملية التشفير. بدلاً من تشفير جميع الملفات بشكل عشوائي، يركز هذا الرانسوم وير على الملفات التي تم تعديلها مؤخراً، مع معالجتها بترتيب أبجدي في حال تشارك عدة ملفات نفس الطابع الزمني. هذا النهج يهدف إلى زيادة التأثير على الضحية من خلال استهداف البيانات التي من المحتمل أن تكون حيوية لعملياتهم اليومية، مثل المستندات، الجداول، قواعد البيانات، أو الملفات المتعلقة بالمشاريع الجارية.

عند بدء عملية التشفير، يقوم Prinz Eugen بمسح الدلائل بشكل متكرر دون أي حد للعمق أو الاستثناءات، مما يعني أنه سيحاول تشفير كل ملف تقريباً داخل النظام، باستثناء الملفات التي تحمل الامتداد ".prinzeugen"، والذي يستخدمه الرانسوم وير للإشارة إلى الملفات المشفرة بالفعل. يتم تشفير الملفات باستخدام خوارزمية ChaCha20-Poly1305، وهي خوارزمية تشفير قوية وآمنة، مع استخدام مفتاح رئيسي بطول 32 بايت ومتجه تهيئة عشوائي لكل ملف. يتم اشتقاق المفتاح باستخدام دالة التحويل Argon2id، تليها SHA-256، ثم HKDF-SHA256، مما يزيد من صعوبة كسر التشفير.

تقنيات الدفاع: كيف تحمي شبكتك من هجوم Prinz Eugen

تقييد الوصول عن بُعد وتقوية بيانات الاعتماد

نظراً لاعتماد المهاجمين على بيانات اعتماد RDP المسروقة للوصول إلى الأنظمة، فإن إحدى أهم خطوات الدفاع هي تقييد الوصول عن بُعد إلى الأنظمة الحيوية. يجب تمكين ميزة المصادقة الثنائية (MFA) لجميع حسابات الوصول عن بُعد، وخاصة حسابات المسؤولين. بالإضافة إلى ذلك، يجب مراجعة وتحديث كلمات المرور بانتظام، وضمان عدم إعادة استخدامها عبر الأنظمة المختلفة. كما يُنصح بإيقاف تشغيل بروتوكول RDP إذا لم يكن ضرورياً، أو تقييده باستخدام جدران الحماية (firewalls) للسماح فقط لعناوين IP محددة بالوصول إليه.

يجب أيضاً مراجعة صلاحيات الحسابات المستخدمة للوصول عن بُعد، وضمان عدم منحها صلاحيات إدارية إلا عند الضرورة القصوى. في حال تم compromised أحد الحسابات، يجب عزل النظام فوراً وفحصه بحثاً عن أي نشاط مشبوه. كما يُنصح بمراقبة استخدام أدوات RMM الشرعية، وضمان عدم استخدامها لأغراض غير مصرح بها، مثل إنشاء حسابات خلفية أو تعديل الإعدادات الأمنية.

مراقبة النشاط غير الطبيعي في الشبكة

نظراً لاعتماد المهاجمين على أدوات النظام المشروعة وأدوات RMM، فإن الاعتماد فقط على حلول الأمان التقليدية قد لا يكون كافياً. يجب تفعيل سجلات التدقيق (audit logs) لجميع الأنشطة في الشبكة، وخاصة تلك المتعلقة بإنشاء حسابات جديدة، أو تعديل صلاحيات الحسابات، أو استخدام أدوات إدارة الأجهزة عن بُعد. يجب مراقبة هذه السجلات بانتظام للبحث عن أي نشاط غير طبيعي، مثل تسجيل دخول خارج أوقات العمل، أو استخدام أدوات RMM من قبل مستخدمين غير مصرح لهم.

كما يُنصح بتمكين ميزة الحماية من التهديدات في الوقت الفعلي (real-time threat protection) في جميع الأنظمة، وضمان تحديثها بشكل دوري. يجب أيضاً مراجعة قائمة البرامج المثبتة على الأنظمة بانتظام، وإزالة أي برامج غير معروفة أو مشبوهة. في حال اكتشاف أي نشاط مشبوه، يجب عزل النظام فوراً وفحصه بواسطة خبراء الأمن السيبراني.

تحليل الهجوم: لماذا يستهدف Prinz Eugen الملفات الحديثة؟

زيادة الضغط على الضحايا لزيادة احتمالية الدفع

يهدف Prinz Eugen إلى زيادة الضغط على الضحايا من خلال استهداف الملفات التي من المحتمل أن تكون حيوية لعملياتهم اليومية. عند تشفير هذه الملفات، يصبح من الصعب على الضحايا الاستمرار في عملهم، مما يزيد من الضغط عليهم لدفع الفدية خوفاً من فقدان وصولهم إلى بياناتهم. هذا النهج يختلف عن معظم هجمات الفدية التي تستهدف جميع البيانات بشكل عشوائي، مما يجعل من الصعب على الضحايا تحديد الأولويات أو العمل على استعادة البيانات بطريقة منهجية.

بالإضافة إلى ذلك، فإن عدم ترك ملاحظة فدية واضحة يزيد من صعوبة التواصل مع المهاجمين، مما يزيد من القلق لدى الضحايا. في معظم هجمات الفدية، تترك الملاحظات الفدية تعليمات واضحة حول كيفية الاتصال بالمهاجمين ودفع الفدية. لكن في حالة Prinz Eugen، لا توجد مثل هذه التعليمات، مما يجعل من الصعب على الضحايا معرفة كيفية المضي قدماً. هذا النهج قد يكون مقصوداً لزيادة الضغط على الضحايا، أو قد يكون نتيجة لعدم نضج المهاجمين في هذه المرحلة المبكرة من الهجوم.

استخدام تقنيات تشفير متقدمة затрудняет الاسترداد

يستخدم Prinz Eugen خوارزمية تشفير متقدمة (ChaCha20-Poly1305) مع مفتاح رئيسي بطول 32 بايت، بالإضافة إلى متجه تهيئة عشوائي لكل ملف. هذا يجعل من الصعب للغاية فك تشفير الملفات دون امتلاك المفتاح السري، الذي يتم اشتقاقه باستخدام دالة تحويل معقدة (Argon2id، SHA-256، HKDF-SHA256). بالإضافة إلى ذلك، يتم تشفير الملفات في أجزاء بحجم 1 ميجابايت، ويتم التحقق من سلامة الملفات باستخدام خوارزمية SHA-256 بعد التشفير.

هذا الأسلوب المتقدم في التشفير يزيد من صعوبة استرداد البيانات بدون دفع الفدية، أو بدون وجود نسخة احتياطية حديثة وسليمة. كما أن عدم ترك ملاحظة فدية يزيد من صعوبة التواصل مع المهاجمين للحصول على المفتاح السري. في معظم هجمات الفدية، يمكن للضحايا الاتصال بالمهاجمين للحصول على تعليمات حول كيفية الدفع والحصول على المفتاح السري. لكن في حالة Prinz Eugen، لا توجد مثل هذه التعليمات، مما يزيد من صعوبة الاسترداد.

التحقيقات الحالية: ما نعرفه عن ضحايا Prinz Eugen

عدد محدود من الضحايا المعلنين، لكن هناك المزيد

حتى الآن، أدرجت مواقع تسريب بيانات رانسوم وير Prinz Eugen ثلاثة ضحايا فقط، مما يشير إلى أن الهجوم لا يزال في مراحله المبكرة. ومع ذلك، فإن مجتمع الأمن السيبراني على علم بعدد أكبر من المنظمات المتأثرة بهذا الهجوم، مما يشير إلى أن المهاجمين قد يكونون قد استهدفوا ضحايا آخرين لم يتم الإعلان عنهم بعد.

في إحدى الحوادث التي تم التحقيق فيها، لوحظ استخدام المهاجمين لأداة RemotePC لإدارة الأجهزة عن بُعد، بالإضافة إلى إنشاء حساب مشرف خلفي لضمان استمرار الوصول إلى النظام. هذا الأسلوب اليدوي يشير إلى أن المهاجمين لا يعتمدون على نموذج "الفدية كخدمة" (RaaS)، بل يعملون بشكل مستقل، مما يزيد من تعقيد تتبعهم وملاحقتهم.

تحليل الهجوم: من البداية إلى النهاية

في التحقيق الذي أجرته شركة Threatdown، تم تحليل هجوم Prinz Eugen من البداية إلى النهاية. بدأ الهجوم ببيانات اعتماد مسروقة لبروتوكول RDP، تلاه تنزيل وتنفيذPayload الرئيسي "servertool.exe". بعد ذلك، بدأ المهاجمون باستخدام أداة RemotePC لإدارة الأجهزة عن بُعد، وإنشاء حساب مشرف خلفي لضمان استمرار الوصول إلى النظام.

بعد ذلك، بدأ المهاجمون في تشفير الملفات الحديثة باستخدام خوارزمية ChaCha20-Poly1305، مع التركيز على الملفات التي من المحتمل أن تكون حيوية لعمليات الضحايا اليومية. تم تشفير الملفات في أجزاء بحجم 1 ميجابايت، وتم التحقق من سلامتها باستخدام خوارزمية SHA-256. لم يتم ترك أي ملاحظة فدية واضحة، مما زاد من صعوبة اكتشاف الهجوم والتعامل معه.

ما يجب أن تتوقعه بعد ذلك: اتجاهات محتملة للهجوم

تطور الهجوم: من يدوي إلى آلي

نظراً لاعتماد المهاجمين الحاليين على الأسلوب اليدوي في تنفيذ الهجوم، من المحتمل أن نلاحظ تطوراً في أساليبهم نحو الأتمتة في المستقبل. هذا قد يشمل استخدام أدوات آلية لإنشاء حسابات خلفية، أو استخدام أدوات RMM آلية لإدارة الأجهزة عن بُعد. مثل هذا التطور قد يزيد من سرعة وانتشار الهجوم، مما يجعل من الصعب على الضحايا اكتشافه والتعامل معه في الوقت المناسب.

بالإضافة إلى ذلك، قد نلاحظ زيادة في عدد الضحايا المعلنين، أو ظهور مواقع تسريب بيانات جديدة خاصة بهذا الهجوم. كما قد نلاحظ محاولات من قبل المهاجمين لاستهداف قطاعات محددة، مثل الرعاية الصحية أو التعليم، التي من المحتمل أن تدفع الفدية بسرعة خوفاً من فقدان بياناتها الحيوية.

زيادة التعاون الدولي لمكافحة التهديد

نظراً لخطورة هجوم Prinz Eugen، من المحتمل أن نلاحظ زيادة في التعاون الدولي بين السلطات الحكومية، وشركات الأمن السيبراني، والمنظمات الدولية لمكافحة هذا التهديد. هذا قد يشمل تبادل المعلومات الاستخباراتية حول أساليب المهاجمين، أو تنسيق الجهود لملاحقة المهاجمين وتقديمهم للعدالة.

بالإضافة إلى ذلك، من المحتمل أن نلاحظ زيادة في الوعي العام حول خطورة هجمات الفدية، وخاصة تلك التي تستهدف الملفات الحديثة. هذا قد يشمل حملات توعية من قبل شركات الأمن السيبراني، أو تقديمSupport فني من قبل الحكومات لمساعدة الضحايا على حماية شبكاتهم والاستعداد للهجمات المستقبلية.

الاستعداد للهجوم: خطوات عملية لحماية مؤسستك

تحديث الأنظمة وحلول الأمان بانتظام

أول خطوة لحماية شبكتك من هجوم Prinz Eugen هي التأكد من تحديث جميع الأنظمة وحلول الأمان بانتظام. يجب تفعيل التحديثات التلقائية لجميع الأنظمة، وخاصة تلك المتعلقة بالأمان، مثل جدران الحماية، وأنظمة كشف التسلل (IDS/IPS)، وبرامج مكافحة الفيروسات. يجب أيضاً مراجعة إعدادات الأمان بانتظام، وضمان تفعيل جميع الميزات الأمنية المتاحة.

يجب أيضاً مراجعة قائمة البرامج المثبتة على الأنظمة بانتظام، وإزالة أي برامج غير معروفة أو مشبوهة. في حال اكتشاف أي نشاط مشبوه، يجب عزل النظام فوراً وفحصه بواسطة خبراء الأمن السيبراني. كما يُنصح بتمكين ميزة الحماية من التهديدات في الوقت الفعلي (real-time threat protection) في جميع الأنظمة، وضمان تحديثها بشكل دوري.

إعداد نسخ احتياطية معزولة واختبارها بانتظام

ثاني خطوة هامة هي إعداد نسخ احتياطية معزولة واختبارها بانتظام. يجب إعداد نسخ احتياطية لجميع البيانات الحيوية، وتخزينها في مواقع معزولة عن الشبكة الرئيسية، مثل السحابة أو أجهزة التخزين الخارجية غير المتصلة بالإنترنت. يجب أيضاً اختبار عملية استرداد البيانات بانتظام للتأكد من فعالية النسخ الاحتياطية وعدم وجود أي مشاكل في عملية الاسترداد.

يجب أيضاً مراجعة سياسة النسخ الاحتياطية بانتظام، وضمان تغطيتها لجميع البيانات الحيوية، وأنها تحدث بشكل دوري. في حال حدوث هجوم فدية، يمكن للنسخ الاحتياطية المعزولة أن تكون الفرق بين استرداد البيانات بسرعة أو فقدانها إلى الأبد. بالإضافة إلى ذلك، يجب مراجعة إعدادات الوصول إلى النسخ الاحتياطية، وضمان عدم إمكانية الوصول إليها إلا من قبل مستخدمين مصرح لهم.

الخاتمة: البقاء في المقدمة في مواجهة التهديدات المتطورة

يعد رانسوم وير Prinz Eugen مثالاً جديداً على كيف تتطور هجمات الفدية لتجنب الاكتشاف وزيادة الضغط على الضحايا. من خلال استهداف الملفات الحديثة وعدم ترك أي أثر مرئي، يزيد هذا الهجوم من صعوبة اكتشافه والتعامل معه. ومع ذلك، فإن وجود استراتيجيات دفاعية قوية، مثل تقييد الوصول عن بُعد، ومراقبة النشاط غير الطبيعي، وإعداد نسخ احتياطية معزولة، يمكن أن يقلل بشكل كبير من خطر التعرض لهذا الهجوم.

يجب على المؤسسات أن تدرك أن التهديدات السيبرانية لا تزال تتطور، وأن الاعتماد فقط على حلول الأمان التقليدية قد لا يكون كافياً. من الضروري أن تظل الشركات في المقدمة من خلال تحديث أنظمة الأمان بانتظام، ومراجعة السياسات الأمنية، وتدريب الموظفين على التعرف على التهديدات السيبرانية. من خلال اتخاذ هذه الخطوات، يمكن للمؤسسات حماية نفسها من هجمات مثل Prinz Eugen والاستعداد لأي تهديد مستقبلي.