برمجيات الفدية وهجمات سلسلة التوريد

لماذا ندرس Ransomware و Supply Chain؟

تشريح هجوم Ransomware حديث

vssadmin delete shadows /all /quiet
wbadmin delete catalog -quiet
bcdedit /set {default} recoveryenabled No
esxcli vm process kill -t force -w <wid>

عائلات Ransomware الكبرى

هجمات سلسلة التوريد — Supply Chain

بدلاً من اختراق الهدف، يخترق المهاجم من يثق به الهدف:

1) اختراق المورّد البرمجي

• SolarWinds (2020) — تحديث موقّع شرعياً يحوي SUNBURST.
• 3CX (2023) — تطبيق سطح مكتب موقّع يحوي SmoothOperator.
• XZ Utils (2024) — backdoor زُرع تدريجياً عبر مساهم مزوّر في الـ open source.

2) اختراق مزود الخدمة المُدارة (MSP)

Kaseya (2021) — ثغرة VSA أوصلت REvil إلى آلاف العملاء النهائيين.

3) Dependency Attacks

• Typosquatting — حزمة باسم قريب (colorrs بدل colors).
• Dependency Confusion — رفع حزمة عامة بنفس اسم حزمة داخلية.
• Account takeover لمشرف حزمة ثم نشر إصدار خبيث.

4) Build System Compromise

• اختراق CI/CD (Jenkins, GitHub Actions, GitLab Runners).
• سرقة code signing keys.
• زرع باب خلفي في build artifact فقط (لا في الكود المصدر).

Wipers — الأخطر من Ransomware

الـ wiper يبدو ransomware لكنه يدمّر البيانات بلا رجعة. أمثلة: NotPetya, HermeticWiper, AcidRain, CaddyWiper. هدفها سياسي لا مالي.

الدفاع — خطة شاملة ضد Ransomware

1. 3-2-1-1-0 Backup: 3 نسخ، 2 وسائط، 1 خارج الموقع، 1 offline/air-gapped/immutable، 0 أخطاء في الاختبار.
2. Immutable backups: S3 Object Lock, Veeam Hardened Repository, Wasabi immutability.
3. تجارب استرجاع دورية موثقة.
4. تقسيم الشبكة — DC / backups / hypervisors في VLANs منفصلة.
5. MFA على كل شيء، خاصة VPN, RDP, hypervisors, backup admin.
6. تعطيل SMBv1، LLMNR، NTLMv1.
7. تصلب ESXi (تعطيل SSH، execInstalledOnly=TRUE، lockdown mode).
8. كشف مبكر: قواعد Sigma على vssadmin delete, wbadmin delete, bcdedit, esxcli vm process kill.
9. Canary files في كل share: ملفات وهمية ترصد أول محاولة تشفير.
10. خطة استجابة معتمدة + اتصال خارج النطاق (Signal).

الدفاع — ضد Supply Chain

• SBOM لكل أصل برمجي.
• SLSA كهدف نضج.
• Sigstore / cosign لتوقيع artifacts.
• Pin dependencies بالـ hash، لا بالاسم فقط.
• عزل CI/CD — ephemeral runners، OIDC بدل long-lived secrets.
• Vendor risk management — استبيان أمني سنوي.
• مراقبة behavioral baselines للمنتجات المثبّتة، حتى الموقّعة.
• Network egress allow-list صارم.

عند الإصابة — هل تدفع الفدية؟

القرار يجب أن يُتخذ مع: legal, executive, insurance, law enforcement, DFIR retainer.