بيتيا (عائلة برمجيات خبيثة)

بيتيا  هي عائلة من البرامج الضارة المشفرة التي تم اكتشافها لأول مرة في عام 2016. يستهدف البرنامج الخبيث أنظمة التشغيل التي تعمل بنظام التشغيل مايكروسوفت ويندوز، حيث يصيب سجل التمهيد الرئيسي لتنفيذ حمولة تقوم بتشفير جدول نظام الملفات على القرص الصلب وتمنع ويندوز من التمهيد. ويطلب بعد ذلك من المستخدمين إجراء الدفع بالروبية من أجل استعادة الوصول إلى النظام.

تم رصد متغيرات من فيروس بيتيا لأول مرة في مارس 2016، والتي انتشرت عبر مرفقات البريد الإلكتروني المصابة. في يونيو 2017، تم استخدام نسخة جديدة من بيتيا لشن هجوم إلكتروني عالمي، استهدف أوكرانيا في المقام الأول. ينتشر النوع الجديد من الفيروسات عبر ثغرة ، والتي يُعتقد عمومًا أنها طورتها وكالة الأمن القومي الأمريكية (NSA)، واستخدمتها في وقت سابق من هذا العام فيروس الفدية واناكراي. وأطلقت شركة كاسبرسكي لاب على هذا الإصدار الجديد اسم نوتبيتيا لتمييزه عن إصدارات عام 2016، وذلك بسبب هذه الاختلافات في التشغيل. لقد بدا الأمر وكأنه برنامج فدية، ولكن بدون ميزة الاسترداد العاملة كان الأمر يعادل مسح البيانات. تم إلقاء اللوم في هجمات نوتبيتيا على الحكومة الروسية، وتحديدًا مجموعة القرصنة  داخل منظمة الاستخبارات العسكرية الروسية جي آر يو، من قبل باحثي الأمن وجوجل والعديد من الحكومات.

 التاريخ 
تم اكتشاف بيتيا في مارس 2016؛ لاحظت تشك بوينت أنه على الرغم من أنه حقق عددًا أقل من الإصابات مقارنةً ببرامج الفدية الأخرى النشطة في أوائل عام 2016، مثل كريبتووال، إلا أنه احتوى على اختلافات ملحوظة في التشغيل مما تسبب في «وضعه على الفور كخطوة تالية في تطور برامج الفدية». تم اكتشاف متغير آخر من بيتيا في مايو 2016 يحتوي على حمولة ثانوية تُستخدم إذا لم يتمكن البرنامج الخبيث من الوصول إلى مستوى المسؤول.

يشير اسم «بيتيا» إلى فيلم جيمس بوند لعام 1995 العين الذهبية، حيث يعتبر بيتيا أحد القمرين الصناعيين السوفييتيين اللذين يحملان «العين الذهبية»—وهي قنبلة ذرية يتم تفجيرها في مدار أرضي منخفض لإنتاج نبضة كهرومغناطيسية. اقترح هايس أن حساب تويتر ربما كان ينتمي إلى مؤلف البرنامج الخبيث المسمى «حلول هيو جانوس للجرائم الإلكترونية» نسبة لمجموعة الجريمة التي أنشأها  في فيلم العين الذهبية، وكان لديه صورة رمزية لشخصية العين الذهبية بوريس جريشينكو، وهو قرصان روسي وخصم في الفيلم الذي لعبه الممثل الاسكتلندي آلان كومينج.

في 30 أغسطس 2018، أدانت محكمة إقليمية في نيكوبول في منطقة دنيبروبيتروفسك في أوكرانيا مواطنًا أوكرانيًا لم يتم الكشف عن اسمه بالسجن لمدة عام بعد إقراره بالذنب في نشر نسخة من بيتيا عبر الإنترنت.

 الهجوم السيبراني 2017 

تصغير|ملاحظة فدية نوتبيتيا معروضة على نظام مخترق
في 27 يونيو 2017، بدأ هجوم إلكتروني عالمي كبير (كانت الشركات الأوكرانية من بين أوائل الشركات التي أعلنت عن تعرضها للهجوم)، باستخدام نسخة جديدة من بيتيا. في ذلك اليوم، أبلغت شركة كاسبرسكي لاب عن إصابات في فرنسا وألمانيا وإيطاليا وبولندا والمملكة المتحدة والولايات المتحدة، ولكن أغلب الإصابات استهدفت روسيا وأوكرانيا، حيث تعرضت أكثر من 80 شركة للهجوم في البداية، بما في ذلك البنك الوطني الأوكراني. قدرت شركة إسيت في 28 يونيو 2017 أن 80.0% من جميع الإصابات كانت في أوكرانيا، وكانت ألمانيا ثاني أكثر الدول تضررًا بنحو 9%. صرح السكرتير الصحفي للرئيس الروسي فلاديمير بوتن، دميتري بيسكوف، بأن الهجوم لم يسبب أي أضرار جسيمة في روسيا. يعتقد الخبراء أن هذا الهجوم كان بدوافع سياسية ضد أوكرانيا، لأنه وقع عشية عطلة يوم الدستور الأوكراني.

أكد ، مؤسس شركة أوكتافا للحماية الإلكترونية، أن فيروس بيتيا أوقف ثلث اقتصاد أوكرانيا لمدة ثلاثة أيام، مما أدى إلى خسائر تجاوزت 400 مليون دولار.

أطلقت شركة كاسبرسكي على هذا الإصدار اسم «نوتبيتيا»، نظرًا لوجود اختلافات كبيرة في عملياته مقارنة بالإصدارات السابقة. صرح مهندس شركة ماكافي، كريستيان بيك، أن هذا الفيروس مصمم للانتشار بسرعة، وأنه كان يستهدف «شركات الطاقة بالكامل، وشبكة الكهرباء، ومحطات الحافلات، ومحطات الوقود، والمطار، والبنوك».

كان يُعتقد أن آلية تحديث البرنامج الخاصة ب—برنامج إعداد الضرائب الأوكراني، والذي وفقًا لمحلل شركة إف سيكيور ، «يبدو أنه موجود بحكم الأمر الواقع» بين الشركات التي تمارس أعمالها في البلاد—قد تم اختراقه لنشر البرامج الضارة. توصل تحليل أجرته شركة إسيت إلى أن هناك بابًا خلفيًا كان موجودًا في نظام التحديث لمدة ستة أسابيع على الأقل قبل الهجوم، ووصفته بأنه «عملية مخططة جيدًا ومنفذة بشكل جيد». أنكر مطورو إم. إي. دوك مسؤوليتهم الكاملة عن الهجوم الإلكتروني، وأكدوا أنهم أيضًا كانوا ضحايا.

في 4 يوليو/تموز 2017، استولت وحدة مكافحة الجرائم الإلكترونية في أوكرانيا على خوادم الشركة بعد اكتشاف «نشاط جديد» اعتقدت أنه سيؤدي إلى «انتشار غير منضبط» للبرامج الضارة. نصحت الشرطة الأوكرانية مستخدمي إم. إي. دوك بالتوقف عن استخدام البرنامج، حيث افترضت أن الباب الخلفي لا يزال موجودًا. أظهر تحليل الخوادم المضبوطة أنه لم يتم تطبيق تحديثات البرامج منذ عام 2013، وكان هناك دليل على وجود روسي، وتم اختراق حساب أحد الموظفين على الخوادم؛ وحذر رئيس الوحدات من أنه يمكن اعتبار إم. إي. دوك مسؤولة جنائياً عن تمكين الهجوم بسبب إهمالها في الحفاظ على أمن خوادمها. اقترح رجل الأعمال في مجال تكنولوجيا المعلومات ورئيس مجلس الإشراف في شركة أوكتافا كابيتال، أوليكساندر كارداكوف، إنشاء دفاع إلكتروني مدني في أوكرانيا.

 العملية 
يصيب حمولة بيتيا سجل التمهيد الرئيسي (MBR) للكمبيوتر، ويكتب فوق أداة تحميل تشغيل ويندوز، ويؤدي إلى إعادة التشغيل. عند بدء التشغيل، يقوم الحمولة بتشفير جدول الملفات الرئيسي لنظام الملفات إن تي إف إس، ثم يعرض رسالة الفدية التي تطالب بالدفع بعملة البيتكوين. في هذه الأثناء، تعرض شاشة الكمبيوتر إخراجًا مزعومًا بواسطة شك دسك، وهو ماسح نظام الملفات الخاص بنظام ويندوز، مما يشير إلى أن قطاعات القرص الصلب يتم إصلاحها.

تطلبت الحمولة الأصلية من المستخدم منحها امتيازات إدارية؛ تم تجميع أحد إصدارات بيتيا مع حمولة ثانية، ميشا، والتي يتم تنشيطها إذا فشل تثبيت بيتيا. ميشا هو برنامج فدية تقليدي أكثر يقوم بتشفير مستندات المستخدم، بالإضافة إلى الملفات القابلة للتنفيذ، ولا يتطلب امتيازات إدارية للتنفيذ. كانت الإصدارات السابقة من بيتيا تخفي حمولتها على شكل ملف PDF مرفق برسالة بريد إلكتروني. أصدر فريق الاستجابة لحالات الطوارئ الحاسوبية في الولايات المتحدة (US-CERT) والمركز الوطني للأمن السيبراني والتكامل للاتصالات (NCCIC) تقرير النتائج الأولية للبرامج الضارة (MIFR) حول بيتيا في 30 يونيو 2017.

يستخدم متغير «نوتبيتيا» المستخدم في هجوم عام 2017 ثغرة ، وهي ثغرة أمنية تستغل ثغرة أمنية في بروتوكول  (SMB) الخاص بنظام التشغيل ويندوز. يُعتقد عمومًا أن الأزرق الأبدي تم تطويره بواسطة وكالة الأمن القومي الأمريكية (NSA)؛ وتم تسريبه في أبريل 2017 وتم استخدامه أيضًا بواسطة واناكراي. يقوم البرنامج الخبيث بجمع كلمات المرور (باستخدام نسخة معدلة من برنامج ميميكاتز مفتوح المصدر) ويستخدم تقنيات أخرى للانتشار إلى أجهزة كمبيوتر أخرى على نفس الشبكة، ويستخدم كلمات المرور هذه بالاشتراك مع PSExec لتشغيل التعليمات البرمجية على أجهزة كمبيوتر محلية أخرى. بالإضافة إلى ذلك، على الرغم من أنه لا يزال يدعي أنه برنامج فدية، فقد تم تعديل روتين التشفير بحيث لا يتمكن البرنامج الخبيث من عكس تغييراته من الناحية الفنية. هذه الخاصية، إلى جانب علامات غير عادية أخرى مقارنة بفيروس واناكراي (بما في ذلك رسوم الفتح المنخفضة نسبيًا والتي تبلغ 300 دولار أمريكي، واستخدام محفظة بيتكوين واحدة ثابتة لجمع مدفوعات الفدية بدلاً من إنشاء معرف فريد لكل إصابة محددة لأغراض التتبع)، دفعت الباحثين إلى التكهن بأن هذا الهجوم لم يكن يهدف إلى أن يكون مشروعًا مربحًا، ولكن لإتلاف الأجهزة بسرعة، والاستفادة من الاهتمام الإعلامي الذي تلقاه واناكراي من خلال الادعاء بأنه برنامج فدية.

 التخفيف 

لقد وجد أنه من الممكن إيقاف عملية التشفير إذا تم إيقاف تشغيل جهاز كمبيوتر مصاب على الفور عند ظهور شاشة شك دسك الوهمية، واقترح أحد محللي الأمن أن إنشاء ملفات للقراءة فقط باسم perfc و/أو perfc.dat في دليل تثبيت ويندوز يمكن أن يمنع حمولة السلالة الحالية من التنفيذ. تم تعليق عنوان البريد الإلكتروني المدرج في شاشة الفدية من قبل مزوده، بوستيو، بسبب انتهاكه لشروط الاستخدام الخاصة به. ونتيجة لذلك، لم يتمكن المستخدمون المصابون فعليًا من إرسال تأكيد الدفع المطلوب إلى الجاني. بالإضافة إلى ذلك، إذا كان نظام ملفات الكمبيوتر يعتمد على FAT، يتم تخطي تسلسل تشفير MFT، ويتم عرض رسالة برنامج الفدية فقط، مما يسمح باستعادة البيانات بسهولة.

وكانت مايكروسوفت قد أصدرت بالفعل تصحيحات للإصدارات المدعومة من نظام التشغيل ويندوز في مارس 2017 لمعالجة ثغرة الأزرق الأبدي. تبع ذلك تصحيحات للإصدارات غير المدعومة من ويندوز (مثل ويندوز إكس بي ) في مايو 2017، في أعقاب واناكراي مباشرة. يعتقد موقع وايرد أنه «بناءً على حجم الضرر الذي تسبب به بيتيا حتى الآن، يبدو أن العديد من الشركات قد أجّلت عملية التصحيح، رغم التهديد الواضح والمدمر المحتمل لانتشار برامج فدية مماثلة». قد ترى بعض الشركات أن تثبيت التحديثات على أنظمة معينة أمرٌ مُزعج للغاية، إما بسبب احتمال توقف النظام عن العمل أو مشاكل التوافق، والتي قد تُسبب مشاكل في بعض البيئات.

 التأثير 
وفي تقرير نشرته مجلة وايرد، قدرت تقديرات البيت الأبيض الأضرار الإجمالية التي سببتها نوتبيتيا بأكثر من 10 مليارات دولار. وقد كرر هذا التقييم مستشار الأمن الداخلي السابق توم بوسيرت، الذي كان في وقت الهجوم المسؤول الأقدم المتخصص في الأمن السيبراني في الحكومة الأمريكية.

أثناء الهجوم الذي بدأ في 27 يونيو 2017، توقف نظام مراقبة الإشعاع في محطة تشيرنوبيل للطاقة النووية في أوكرانيا عن العمل. كما تأثرت أيضًا العديد من الوزارات والبنوك وأنظمة المترو الأوكرانية. ويقال إنها كانت الهجوم الإلكتروني الأكثر تدميراً على الإطلاق.

ومن بين الشركات المتأثرة في أماكن أخرى شركة الإعلان البريطانية دبليو بي بي، وخط ميرسك، وشركة الأدوية الأمريكية ميرك وشركاه (التي تعمل دوليًا باسم إم إس دي)، وشركة النفط الروسية روسنفت (لم يتأثر إنتاجها النفطي)، وشركة المحاماة المتعددة الجنسيات ، وشركة البناء الفرنسية سان جوبان ومنافذ البيع بالتجزئة والشركات التابعة لها في إستونيا، وشركة السلع الاستهلاكية البريطانية ريكيت بينكيزر، وشركة العناية الشخصية الألمانية بايرسدورف، وشركة الخدمات اللوجستية الألمانية دي إتش إل، وشركة الأغذية الأمريكية موندليز الدولية، وشركة تشغيل المستشفيات الأمريكية نظام هيريتيج فالي الصحي.  في هوبارت، تسمانيا، هو أول شركة في أستراليا تتأثر بإعصار بيتيا. في 28 يونيو 2017، أفادت التقارير أن ميناء جواهر لال نهرو، أكبر ميناء للحاويات في الهند، قد تأثر، حيث توقفت جميع العمليات. سيقوم مستشفى برينستون المجتمعي في منطقة ريفية في ولاية فرجينيا الغربية بإلغاء واستبدال شبكة الكمبيوتر بالكامل في طريقه إلى التعافي.

وقدرت خسائر شركة ميرسك، أكبر شركة لتشغيل سفن الحاويات والإمداد في العالم، جراء انقطاع الأعمال، بما يتراوح بين 200 مليون و300 مليون دولار من الإيرادات المفقودة.

ومن المتوقع أن يبلغ التأثير التجاري على شركة فيديكس 400 مليون دولار في عام 2018، وفقًا لتقرير الشركة السنوي لعام 2019.

وحث ينس ستولتنبرج، الأمين العام لحلف شمال الأطلسي، التحالف على تعزيز دفاعاته السيبرانية، قائلاً إن الهجوم السيبراني قد يؤدي إلى تفعيل مبدأ المادة الخامسة للدفاع الجماعي.

رفضت شركة التأمين التابعة لشركة مونديليز إنترناشيونال، وهي شركة زيورخ أميركان للتأمين، دفع مطالبة لإصلاح الأضرار الناجمة عن عدوى نوتبيتيا، على أساس أن نوتبيتيا هو «عمل حرب» لا تغطيه السياسة. رفعت شركة مونديليز دعوى قضائية ضد شركة زيورخ أميركان بمبلغ 100 مليون دولار في عام 2018؛ وتم تسوية الدعوى في عام 2022 مع بقاء شروط التسوية سرية.

 رد فعل 
وقالت منظمة الشرطة الأوروبية إنها على علم بتقارير عن هجوم إلكتروني في الدول الأعضاء في الاتحاد الأوروبي وتستجيب لها على وجه السرعة. شاركت وزارة الأمن الداخلي الأمريكية في هذا الأمر وقامت بالتنسيق مع شركائها الدوليين والمحليين. في رسالة إلى وكالة الأمن القومي، طلب عضو الكونجرس الديمقراطي تيد ليو من الوكالة التعاون بشكل أكثر نشاطًا مع شركات التكنولوجيا لإخطارها بثغرات البرامج ومساعدتها في منع الهجمات المستقبلية القائمة على البرامج الضارة التي أنشأتها وكالة الأمن القومي. في 15 فبراير 2018، ألقت إدارة ترامب اللوم على روسيا في الهجوم وحذرت من أنه ستكون هناك «عواقب دولية». وأصدرت المملكة المتحدة والحكومة الأسترالية أيضًا بيانات مماثلة.

في أكتوبر 2020، حددت وزارة العدل المزيد من ضباط المخابرات العسكرية الروسية في لائحة الاتهام. وفي الوقت نفسه، ألقت الحكومة البريطانية باللوم على شركة دودة الرمل التابعة للمخابرات العسكرية الروسية في الهجمات على دورة الألعاب الأولمبية الصيفية لعام 2020.

 برامج ضارة أخرى منخفضة المستوى ملحوظة 
 تشيرنوبيل (فيروس) (1998)
 ستوكسنت (2010)
 هجوم واناكراي الإلكتروني (2017)

 المراجع 

 للقراءة الإضافية 




تصنيف:علم الحاسوب في 2017
تصنيف:أوكرانيا في 2017
تصنيف:هجمات سيبرانية
تصنيف:جريمة سيبرانية
تصنيف:الجريمة الإلكترونية في الهند
تصنيف:الاختراق في عقد 2010
تصنيف:جرائم يونيو 2017
تصنيف:برمجيات فدية
تصنيف:العلاقات الروسية الهندية