رايوك (برنامج فدية)

ريوك هو نوع من برمجيات الفدية يُعرف باستهدافه أنظمة مايكروسوفت ويندوز الإلكترونية التابعة للكيانات العامة الكبرى. عادةً ما يقوم هذا البرنامج بتشفير البيانات على النظام المصاب، مما يجعلها غير قابلة للوصول حتى يتم دفع فدية غير قابلة للتتبع باستخدام عملة البيتكوين. يُعتقد أن برنامج ريوك يُستخدم من قبل مجموعتين إجراميتين أو أكثر، يُرجح أن تكونا روسيتين أو أوكرانيتين، ويستهدفان المنظمات بدلاً من المستهلكين الأفراد.

 النشأة والخلفية 
ظهر برنامج الفدية ريوك لأول مرة في عام 2018. كان يُشتبه في البداية أن مصدره كوريا الشمالية، ثم اعتُقد لاحقًا أنه صُمم من قبل جهة فاعلة واحدة فقط. أما الآن، فيُرجح أن ريوك قد صُمم من قبل عدة عصابات إجرامية روسية. وتسعى الجماعة الإجرامية المعروفة باسم "ريوك" بشكل أساسي إلى ابتزاز الضحايا لدفع فدية مقابل فك تشفير البيانات التي عطّلها البرنامج الخبيث.

عقب هجوم على نظام المدارس العامة في مقاطعة بالتيمور بولاية ماريلاند في نوفمبر 2020، صرّح محلل تهديدات إلكترونية لصحيفة بالتيمور صن أن جماعة ريوك "تميل إلى التعامل مع الأمور بمهنية. هدفهم هو إنجاز المهمة فقط": أي ابتزاز الضحايا للحصول على مبلغ فدية كبير.

 آلية العمل 
في المملكة المتحدة، يشير المركز الوطني للأمن السيبراني إلى أن ريوك يستخدم برنامج خبيث يُدعى Trickbotلتثبيت نفسه، بمجرد الحصول على الوصول إلى خوادم الشبكة. لديه القدرة على التغلب على العديد من مضادات البرامج الضارة التي قد تكون موجودة، ويمكنه تعطيل شبكة الحاسوب بالكامل. يمكنه أيضًا البحث عن ملفات النسخ الاحتياطي وتعطيلها إذا تم الاحتفاظ بها على خوادم مشتركة. يستخدم قراصنة Ryuk أيضًا Emotet للوصول إلى أجهزة الكمبيوتر كمحمل أولي أو " حصان طروادة ".

يوفر موقع وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) معلومات تفصيلية حول كيفية إصابة ريوك لشبكة الحاسوب والسيطرة عليها، مشيرًا إلى أن الوصول الأولي قد يتم من خلال: "... حملات تصيد تحتوي إما على روابط لمواقع ويب خبيثة تستضيف البرامج الضارة أو مرفقات بها. تبدأ برامج التحميل سلسلة العدوى بتوزيع الحمولة؛ حيث تنشر وتنفذ البرنامج الخلفي من خادم القيادة والتحكم، ثم تثبته على جهاز الضحية". تحتوي محاولات التصيد الاحتيالي عمومًا على مستندات خبيثة (أو روابط لها). عندما يقوم الضحية بتمكينها، يبدأ ماكرو أو محمّل خبيث تسلسل العدوى. مثل العديد من عائلات برامج الفدية الأخرى، يقوم Ryuk بحذف ملفات النسخة الظلية وإيقاف العمليات من القائمة المبرمجة.

بمجرد أن يسيطر ريوك على النظام، يقوم بتشفير البيانات المخزنة، مما يجعل من المستحيل على المستخدمين الوصول إليها ما لم يدفع الضحية فدية بعملة بيتكوين غير قابلة للتتبع. في كثير من الحالات، قد تمر أيام أو أسابيع بين الوقت الذي يحصل فيه المخترقون على الوصول الاولي إلى النظام وبين حدوث التشفير الهائل، حيث يتوغل المجرمون أعمق في الشبكة لإلحاق أكبر قدر من الضرر. يُعتبر ريوك نوعًا ضارًا بشكل خاص من البرامج الضارة لأنه يقوم أيضًا بالعثور على محركات الأقراص وموارد الشبكة وتشفيرها. كما أنه يعطل ميزة استعادة النظام في Microsoft Windows والتي من شأنها بالسماح باستعادة ملفات نظام الكمبيوتر والتطبيقات وسجل Windows إلى حالتها السابقة غير المشفرة.

لمكافحة هجمات برامج الفدية هذه، بدأت القيادة السيبرانية الأمريكية هجومًا مضادًا في سبتمبر 2020، لقطع اتصال Trickbot بخوادم الإنترنت. وبعد فترة وجيزة، استخدمت مايكروسوفت قانون العلامات التجارية لتعطيل شبكة بوت نت ريوك.

 الضحايا 
يستهدف ريوك المؤسسات الكبيرة التي تملك القدرة على دفع مبالغ مالية كبيرة لاستعادة الوصول إلى بياناتها القيّمة. فإن إجمالي الفدية المدفوعة نتيجة لهجمات برمجيات ريوك في الفترة 2018-2019 تجاوز 61 دولارًا، وفي ديسمبر 2018 وفقًا لمكتب التحقيقات الفيدرالي .، أثّر هجوم يستند إلى ريوك على نشر صحيفة Los Angeles Times وعدد من الصحف في جميع أنحاء البلاد التي تستخدم برنامج Tribune Publishing . توقفت طباعة صحيفة فورت لودرديل صن سنتينل في فلوريدا، وحتى هواتف الصحيفة لم تكن تعمل. في 20 أكتوبر 2020، تعرضت شركة Sopra Steria ، وهي شركة استشارات تكنولوجيا المعلومات ومقرها باريس ، لهجوم ريوك ransomware. قام المهاجمون بتشفير بيانات الشركة باستخدام نسخة من ريوك، مما يجعلها غير قابلة للوصول إلا في حالة دفع فدية. سيكلف الهجوم الشركة ما بين 47 إلى 59 دولارًا مليونًا، حسب التقديرات. في أعقاب الهجوم، تم وصف Ryuk بأنها "واحدة من أخطر مجموعات برامج الفدية التي تعمل من خلال حملات التصيد الاحتيالي".

بين عامي 2019 و2020، تأثرت مستشفيات أمريكية في كاليفورنيا ونيويورك وأوريغون، بالإضافة إلى مستشفيات في المملكة المتحدة وألمانيا، ببرمجيات ريوك الخبيثة، مما أدى إلى صعوبات في الوصول إلى سجلات المرضى وحتى التأثير على الرعاية الحرجة. اضطر الأطباء في المستشفيات المتأثرة إلى كتابة التعليمات يدويًا على الورق بدلاً من استخدام الحواسيب المُعطلة. في الولايات المتحدة، صدر بيان مشترك في 29 أكتوبر 2020، من ثلاث وكالات فيدرالية، هي مكتب التحقيقات الفيدرالي، ووكالة الأمن السيبراني والأمن السيبراني، ووزارة الصحة والخدمات الإنسانية، محذرين من أن المستشفيات يجب أن تتوقع "موجة متزايدة وشيكة من هجمات برامج الفدية الإلكترونية التي قد تضر برعاية المرضى وتعرض المعلومات الشخصية"، على الأرجح من هجمات ريوك. تعرض أكثر من اثني عشر مستشفى في الولايات المتحدة لهجمات ريوك في أواخر عام 2020، مما أدى إلى إغلاق الوصول إلى سجلات المرضى وحتى تعطيل علاجات العلاج الكيميائي لمرضى السرطان.

كما تُستهدف الكيانات العامة الضعيفة التي غالبًا ما تستخدم برامج قديمة ولا تتبع أفضل البروتوكولات الخاصة بأمن الكمبيوتر. على سبيل المثال، دفعت مدينة ليك سيتي بولاية فلوريدا فدية قدرها 460 ألف دولار بعد أن فتح أحد موظفيها بريدًا إلكترونيًا يحتوي على نسخة مختلفة من برنامج Ryuk الخبيث في يونيو 2019.

تم استخدام برمجيات الفدية لمهاجمة العشرات من أنظمة المدارس في الولايات المتحدة، والتي غالبًا ما تعاني من نقص في الأمن السيبراني. منذ عام 2019، تعرضت أكثر من ألف مدرسة للهجوم. وفي بعض الأحيان يستغرق إصلاح الأضرار الناتجة أسابيع. في عام 2020، تعرضت مدارس من هافر، مونتانا ، إلى مقاطعة بالتيمور، ماريلاند ، لهجمات برمجيات الفدية ريوك. وتراوحت الفدية التي طالب بها المهاجمون بين 100 ألف دولار إلى 377 ألف دولار أو أكثر. تعرض مزود التعليم عبر الإنترنت Stride, Inc. لهجوم من مجرمي ransomware في نوفمبر 2020، مما أدى إلى جعل بعض سجلات K12 غير قابلة للوصول، وهدد بنشر المعلومات الشخصية للطلاب. وقد دفعت الشركة ، التي تتخذ من ولاية فرجينيا مقرًا لها، مبلغ فدية لم يُكشف عنه، وقالت: "استنادًا إلى الخصائص المحددة للقضية، والتوجيهات التي تلقيناها بشأن الهجوم والفاعل المهدد، نعتقد أن الدفع كان إجراءً معقولاً يجب اتخاذه لمنع إساءة استخدام أي معلومات حصل عليها المهاجم".

اضطر نظام مدارس مقاطعة بالتيمور العامة الكبير في ماريلاند، الذي يخدم 115,000طلاب ويملك ميزانية قدرها 1.5 دولار اضطرت جامعة كامبريدج، التي تبلغ قيمتها مليار دولار، إلى تعليق جميع الدروس بعد أن واجه مشاكل في شبكة الحاسوب الخاصة بها ابتداءً من 24 نوفمبر 2020، ويُقال إن السبب هو ريوك. ظهر انهيار النظام أولًا عندما حاول المعلمون إدخال درجات الطلاب فوجدوا أنفسهم ممنوعين من الدخول ولاحظوا امتدادات ملفات ريوك. وصف مسؤولو المدارس في المقاطعة الأمر بأنه "هجوم كارثي على نظام التكنولوجيا لدينا" وقالوا إنه قد يستغرق الأمر أسابيع قبل اكتمال عملية الاستعادة. قال مدير تكنولوجيا المعلومات في نظام المدارس، "هذا هجوم ببرمجيات الفدية يقوم بتشفير البيانات أثناء وجودها في النظام ولا يصل إليها أو يزيلها من نظامنا". قبل الهجوم المعيق ببرمجيات الفدية، أجرى مدققو الدولة من مكتب التدقيق التشريعي في ماريلاند تدقيقًا دوريًا لشبكة حواسيب نظام مدارس مقاطعة بالتيمور في عام 2019. وجدوا عدة ثغرات في النظام، مثل عدم كفاية مراقبة أنشطة الأمان، والخوادم التي يمكن الوصول إليها بشكل عام غير معزولة عن الشبكة الداخلية لنظام المدرسة، ونقص "كشف التطفل ... قال آفي روبين ، المدير الفني لمعهد أمن المعلومات بجامعة جونز هوبكنز ، إن اكتشاف المراجعين "لأجهزة كمبيوتر تعمل على الشبكة الداخلية دون أي قدرات على اكتشاف التطفل" كان مثيرًا للقلق بشكل خاص. على الرغم من صدور التقرير النهائي لمكتب التدقيق التشريعي في ماريلاند في 19 نوفمبر 2020، إلا أن المراجعين حذروا في البداية النظام المدرسي من نتائجه في أكتوبر 2019.

امتد تأثير ريوك على مستوى العالم، حيث ضرب المجالس والوكالات الحكومية في جميع أنحاء العالم. إحدى هذه الهجمات استهدفت مدينة أونكابارينجا ، في جنوب أستراليا. في ديسمبر 2019، سيطر فيروس ريوك على البنية التحتية لتكنولوجيا المعلومات في المدينة. ترك الهجوم مئات الموظفين في حالة من الترقب بينما كان قسم تكنولوجيا المعلومات في المدينة يعمل على استعادة العمليات. وفي كل مرة يتم فيها استعادة النسخ الاحتياطية، يعاود فيروس ريوك مهاجمة النظام من جديد. استمر الهجوم لمدة أربعة أيام قبل أن يتمكن فريق تكنولوجيا المعلومات من احتواء الفيروس وإعادة تثبيت النسخ الاحتياطية اللازمة.

في أوائل عام 2021، تم اكتشاف سلالة جديدة من برنامج الفدية ريوك تتميز بقدرات شبيهة بالديدان، مما يمكنها من الانتشار الذاتي والتوزيع إلى أجهزة أخرى على قاعدة البيانات المحلية التي تتسلل إليها.
 المراجع 

تصنيف:برمجيات فدية
تصنيف:جريمة سيبرانية
تصنيف:هجمات سيبرانية
تصنيف:علم الحاسوب في 2020