كريبتو لوكر

كان هجوم برنامج الفدية CryptoLocker هجومًا إلكترونيًا باستخدام برنامج الفدية CryptoLocker ، ووقع في الفترة من 5 سبتمبر 2013 إلى أواخر مايو 2014. استخدم الهجوم حصان طروادة استهدف أجهزة الكمبيوتر التي تعمل بنظام التشغيل مايكروسوفت ويندوز ، ^{[ 1 ]} ويُعتقد أنه نُشر لأول مرة على الإنترنت في 5 سبتمبر 2013. ^{[ 2 ]} انتشر الهجوم عبر مرفقات البريد الإلكتروني المصابة، وعبر شبكة بوتات Gameover ZeuS الموجودة . ^{[ 3 ]} عند تفعيله، قام البرنامج الخبيث بتشفير أنواع معينة من الملفات المخزنة على محركات الأقراص المحلية والشبكية باستخدام تشفير المفتاح العام RSA ، مع تخزين المفتاح الخاص فقط على خوادم التحكم الخاصة بالبرنامج الخبيث. ثم عرض البرنامج الخبيث رسالة تعرض فك تشفير البيانات مقابل دفع مبلغ مالي (إما عن طريق البيتكوين أو قسيمة نقدية مسبقة الدفع) قبل موعد نهائي محدد، وهدد بحذف المفتاح الخاص إذا انقضى الموعد النهائي. في حال عدم الالتزام بالموعد النهائي، عرض البرنامج الخبيث فك تشفير البيانات عبر خدمة إلكترونية يقدمها مشغلوه، مقابل مبلغ أعلى بكثير من عملة البيتكوين. ولم يكن هناك أي ضمان بأن الدفع سيؤدي إلى فك تشفير المحتوى.

على الرغم من سهولة إزالة برنامج CryptoLocker نفسه، إلا أن الملفات المتضررة ظلت مشفرة بطريقة اعتبرها الباحثون مستحيلة الاختراق. وقد رأى كثيرون أنه لا ينبغي دفع الفدية ، لكنهم لم يقدموا أي طريقة لاستعادة الملفات؛ بينما قال آخرون إن دفع الفدية هو السبيل الوحيد لاستعادة الملفات التي لم يتم نسخها احتياطيًا . وادعى بعض الضحايا أن دفع الفدية لم يؤدِ دائمًا إلى فك تشفير الملفات.

تم عزل برنامج CryptoLocker الخبيث في أواخر مايو 2014 عبر عملية توفار ، التي قضت على شبكة بوتات Gameover ZeuS التي كانت تُستخدم لتوزيع البرنامج. ^{[ 4 ]} خلال العملية، حصلت شركة أمنية مشاركة على قاعدة بيانات المفاتيح الخاصة التي استخدمها CryptoLocker، والتي استُخدمت بدورها لإنشاء أداة عبر الإنترنت لاستعادة المفاتيح والملفات دون دفع فدية. يُعتقد أن مُشغّلي CryptoLocker نجحوا في ابتزاز ما مجموعه حوالي 3 ملايين دولار من ضحايا هذا البرنامج الخبيث. وقد استخدمت برامج فدية أخرى تعتمد على التشفير اسم "CryptoLocker" (أو مشتقاته)، ولكنها لا ترتبط به بأي شكل من الأشكال.

ينتشر برنامج CryptoLocker عادةً كمرفق في رسالة بريد إلكتروني تبدو بريئة ، وكأنها مرسلة من شركة شرعية. ^{[ 5 ]} يحتوي ملف ZIP المرفق برسالة البريد الإلكتروني على ملف تنفيذي يحمل اسمًا وأيقونة مموهين كملف PDF ، مستغلًا سلوك نظام ويندوز الافتراضي في إخفاء امتداد الملف من اسمه لإخفاء امتداد .EXE الحقيقي. كما انتشر CryptoLocker باستخدام حصان طروادة Gameover ZeuS وشبكة الروبوتات الخبيثة. ^{[ 6 ] [ 7 ] [ 8 ]}

عند تشغيل البرنامج الخبيث لأول مرة، يقوم بتثبيت نفسه في مجلد ملف تعريف المستخدم ، ويضيف مفتاحًا إلى سجل النظام يجعله يعمل تلقائيًا عند بدء التشغيل. ثم يحاول الاتصال بأحد خوادم التحكم والسيطرة المخصصة؛ وبمجرد الاتصال، يُنشئ الخادم زوجًا من مفاتيح RSA بطول 2048 بت ، ويرسل المفتاح العام إلى الجهاز المصاب. ^{[ 1 ] [ 7 ]} قد يكون الخادم وكيلًا محليًا ، ويمر عبر خوادم أخرى، وغالبًا ما يتم نقلها إلى بلدان مختلفة لتصعيب عملية التتبع. ^{[ 9 ] [ 10 ]}

يقوم البرنامج الخبيث بتشفير الملفات على محركات الأقراص الصلبة المحلية ومحركات الشبكة باستخدام المفتاح العام، ويسجل كل ملف مشفر في مفتاح التسجيل. يقتصر التشفير على ملفات البيانات ذات امتدادات محددة ، بما في ذلك ملفات Microsoft Office و OpenDocument وغيرها من المستندات والصور وملفات AutoCAD . ^{[ 8 ]} يعرض البرنامج رسالة تُعلم المستخدم بتشفير الملفات، ويطلب فدية قدرها 400 دولار أمريكي أو يورو عبر قسيمة دفع مسبق مجهولة المصدر (مثل MoneyPak أو Ukash )، أو مبلغًا مكافئًا بالبيتكوين خلال 72 أو 100 ساعة (مع العلم أن سعر الفدية يبدأ من 2 بيتكوين، وقد تم تخفيضه إلى 0.3 بيتكوين من قبل المشغلين لمراعاة تقلبات قيمة البيتكوين)، ^{[ 11 ]} وإلا سيتم تدمير المفتاح الخاص على الخادم، ولن يتمكن أحد من استعادة الملفات . ^{[ 1 ] [ 7 ]} يُمكّن دفع الفدية المستخدم من تحميل برنامج فك التشفير، المُحمّل مسبقًا بمفتاحه الخاص. ^{[ 7 ]} ويدّعي بعض ضحايا البرامج الضارة أنهم دفعوا للمهاجمين، لكن ملفاتهم لم تُفك تشفيرها. ^{[ 5 ]}

في نوفمبر 2013، أطلق مُشغّلو برنامج CryptoLocker خدمةً إلكترونيةً تدّعي تمكين المستخدمين من فك تشفير ملفاتهم دون الحاجة إلى برنامج CryptoLocker، وشراء مفتاح فك التشفير بعد انقضاء المهلة المحددة. تتضمن العملية تحميل ملف مُشفّر إلى الموقع كعينة وانتظار أن تجد الخدمة تطابقًا. زعم الموقع أنه سيتم العثور على التطابق خلال 24 ساعة. بمجرد العثور عليه، يُمكن للمستخدم دفع ثمن المفتاح عبر الإنترنت؛ وإذا انقضت مهلة الـ 72 ساعة، يرتفع السعر إلى 10 بيتكوين. ^{[ 12 ] [ 13 ]}

على الرغم من أن برامج الحماية مصممة لكشف مثل هذه التهديدات، إلا أنها قد لا تكتشف برنامج CryptoLocker على الإطلاق، أو قد تكتشفه فقط بعد بدء عملية التشفير أو اكتمالها، خاصةً إذا تم توزيع نسخة جديدة غير معروفة لبرنامج الحماية. ^{[ 19 ]} إذا تم الاشتباه في هجوم أو اكتشافه في مراحله المبكرة، فإن التشفير يستغرق بعض الوقت؛ لذا فإن الإزالة الفورية للبرمجية الخبيثة (وهي عملية بسيطة نسبيًا) قبل اكتمالها من شأنها أن تحد من أضرارها على البيانات. ^{[ 20 ] [ 21 ]} اقترح الخبراء تدابير وقائية، مثل استخدام برامج أو سياسات أمنية أخرى لمنع تشغيل حمولة CryptoLocker. ^{[ 1 ] [ 7 ] [ 8 ] [ 10 ] [ 21 ]}

نظراً لطبيعة عمل برنامج CryptoLocker الخبيث، اقترح بعض الخبراء على مضض أن دفع الفدية هو السبيل الوحيد لاستعادة الملفات في حال عدم وجود نسخ احتياطية حديثة (إذ لا يمكن لبرنامج CryptoLocker اختراق النسخ الاحتياطية غير المتصلة بالإنترنت التي أُنشئت قبل الإصابة والتي لا يمكن الوصول إليها من أجهزة الكمبيوتر المصابة). ^{[ 5 ]} ونظراً لطول المفتاح الذي يستخدمه CryptoLocker، اعتبر الخبراء أنه من المستحيل عملياً استخدام هجوم القوة الغاشمة للحصول على المفتاح اللازم لفك تشفير الملفات دون دفع الفدية؛ فقد استخدم حصان طروادة Gpcode.AK المماثل عام 2008 مفتاحاً بطول 1024 بت، وهو ما يُعتقد أنه كبير بما يكفي ليكون من المستحيل حسابياً كسره دون جهد جماعي منسق ، أو اكتشاف ثغرة يمكن استغلالها لكسر التشفير. ^{[ 7 ] [ 13 ] [ 22 ] [ 23 ]} تكهن بول داكلين، محلل الأمن في شركة سوفوس، بأن خدمة فك التشفير عبر الإنترنت الخاصة بـ CryptoLocker تتضمن هجومًا باستخدام قاموس على تشفيرها الخاص باستخدام قاعدة بيانات المفاتيح، مما يفسر ضرورة الانتظار لمدة تصل إلى 24 ساعة لتلقي النتيجة. ^{[ 13 ]}

في ديسمبر 2013، تتبعت ZDNet أربعة عناوين بيتكوين نشرها مستخدمون أصيبوا ببرنامج CryptoLocker الخبيث، في محاولة لتقدير أرباح المشغلين. أظهرت العناوين الأربعة حركة 41,928 بيتكوين بين 15 أكتوبر و18 ديسمبر، أي ما يعادل حوالي 27 مليون دولار أمريكي في ذلك الوقت. ^{[ 11 ]}

في استطلاعٍ أجراه باحثون في جامعة كنت ، أفاد 41% ممن زعموا أنهم ضحايا أنهم قرروا دفع الفدية، وهي نسبةٌ أكبر بكثير من المتوقع؛ إذ قدّرت شركة سيمانتك أن 3% من الضحايا قد دفعوا، بينما قدّرت شركة ديل سكيور وركس أن 0.4% منهم قد دفعوا. ^{[ 24 ]} بعد إغلاق شبكة الروبوتات التي استُخدمت لتوزيع برنامج كريبتو لوكر الخبيث، حُسب أن حوالي 1.3% من المصابين قد دفعوا الفدية؛ وتمكّن الكثيرون من استعادة ملفاتهم الاحتياطية، بينما يُعتقد أن آخرين فقدوا كمياتٍ هائلة من البيانات. ومع ذلك، يُعتقد أن القائمين على العملية قد ابتزوا ما مجموعه حوالي 3 ملايين دولار. ^{[ 18 ]}

أدى نجاح برنامج CryptoLocker إلى ظهور عدد من برامج الفدية الخبيثة الأخرى التي تحمل أسماءً مشابهة وتعمل بنفس الطريقة تقريبًا، ^{[ 25 ] [ 26 ] [ 27 ] [ 28 ]} بما في ذلك بعض البرامج التي تُطلق على نفسها اسم "CryptoLocker"، ولكنها، وفقًا لباحثي الأمن، لا علاقة لها ببرنامج CryptoLocker الأصلي. ^{[ 28 ] [ 29 ] [ 30 ]}

في سبتمبر 2014، بدأت نسخٌ أخرى من البرنامج الخبيث، مثل CryptoWall و TorrentLocker (الذي يُعرّف نفسه باسم "CryptoLocker"، ولكنه سُمّي بهذا الاسم نسبةً إلى مفتاح التسجيل " Bit Torrent Application")، ^{[ 31 ]} بالانتشار في أستراليا؛ إذ يستخدم هذا البرنامج رسائل بريد إلكتروني مصابة، يُزعم أنها مُرسلة من جهات حكومية (مثل البريد الأسترالي للإشارة إلى فشل تسليم طرد) كحمولة. ولتجنب اكتشافه بواسطة برامج فحص البريد الإلكتروني الآلية التي تستطيع تتبع الروابط، صُمّم هذا النوع بحيث يُلزم المستخدمين بزيارة صفحة ويب وإدخال رمز CAPTCHA قبل تنزيل الحمولة. وقد خلصت شركة Symantec إلى أن هذه الأنواع الجديدة، التي عرّفتها باسم "CryptoLocker.F"، لا ترتبط بالنوع الأصلي. ^{[ 25 ] [ 29 ] [ 32 ] [ 33 ] [ 34 ] [ 35 ]}

• لوكي
• PGPCoder
• ووناكراي
• بيتيا