بسیاری از کسب‌وکارها همچنان از حملات باج‌افزاری هراس دارند. اما آیا این تهدید هنوز هم به همان اندازه مرتبط و جدی است؟ چند سال پیش، در اوج محبوبیت باج‌افزارها، واژه «باج‌افزار» عملاً مترادف با رمزگذاری مخرب داده‌ها بود. اما در واقع، مسدود کردن دسترسی به اطلاعات مدت‌هاست که بیشتر جنبه‌ای نمادین پیدا کرده است.

در مطلبی که در ماه مه در Securelist درباره تغییرات چشم‌انداز تهدید باج‌افزاری منتشر شد، کارشناسان ما اشاره کردند که در سال ۲۰۲۶، مهاجمان برای دریافت باج، کمتر و کمتر به سراغ رمزگذاری داده‌های شرکت‌ها می‌روند.

یک نمونه قابل‌توجه، کمپین اخاذی PAYLOAD است که تیم Global Emergency Response Team (GERT) کسپرسکی هنگام بررسی یک حادثه آن را شناسایی کرد. گردانندگان این کمپین حتی زحمت استفاده از باج‌افزار را هم به خود نداده بودند و مسیر متفاوتی را انتخاب کرده بودند.

در این کمپین، مهاجمان به‌جای استفاده از باج‌افزار، کنترل محیط Active Directory را به دست گرفتند و یک Group Policy Object (GPO) مخرب ایجاد کردند.

آن‌ها از این GPO برای نمایش پیام باج‌خواهی، تغییر تصویر پس‌زمینه و قفل کردن صفحه سیستم‌های کاری و همچنین نمایش یک بنر هنگام ورود به سیستم استفاده کردند. طبیعتاً حساب‌های کاربری مدیر محلی را نیز غیرفعال کردند.

این اقدام به مهاجمان اجازه داد حضور خود را در زیرساخت به خطر افتاده به نمایش بگذارند و ثابت کنند که به اطلاعات محرمانه دسترسی پیدا کرده‌اند؛ تقریباً به همان اندازه مؤثر که رمزگذاری داده‌ها می‌توانست باشد.

اطلاعات کامل درباره این حادثه، به همراه شاخص‌های نفوذ (IoC)، در همان مطلب Securelist ارائه شده است. اما چیزی که برای ما اهمیت بیشتری دارد، روند کنار گذاشتن رمزگذاری است.

چرا رمزگذاری داده‌ها اهمیت خود را از دست داده است؟

ابتدا باید به این نکته توجه کرد که در یک شرکت بزرگ با هزاران کامپیوتر آلوده، رمزگشایی داده‌ها فرایندی بسیار زمان‌بر و پرهزینه است.

بازیابی اطلاعات از نسخه‌های پشتیبان، که تا حد زیادی به لطف حملات گسترده باج‌افزاری به یک رویه معمول تبدیل شده، بسیار ساده‌تر از آن است که شرکت منتظر بماند تا مجرمان یک کلید رمزگشایی تحویل دهند؛ آن هم با این امید که کلید واقعاً کار کند و با این اعتماد که خود باج‌افزار دارای باگ‌هایی نبوده که داده‌ها را غیرقابل‌بازیابی کرده باشد.

در نتیجه، مجرمان سایبری به‌مرور با دشواری بیشتری می‌توانستند واقعاً باج مربوط به کلید رمزگشایی را دریافت کنند.

مهاجمان تلاش کردند خود را با این تغییر شرایط وفق دهند. در کنار رمزگذاری، آن‌ها به‌طور فزاینده‌ای شروع به سرقت داده‌های محرمانه و تهدید به انتشار آن‌ها کردند.

انتشار اطلاعات محرمانه می‌تواند اعتبار شرکت، امنیت آن و امنیت شرکای تجاری‌اش را به خطر بیندازد. این موضوع به‌ویژه زمانی جدی است که داده‌ها شامل اطلاعات شخصی افراد باشند.

در حال حاضر بیش از ۱۴۰ کشور در سراسر جهان قوانین حفاظت از داده دارند؛ بنابراین افشای اطلاعات می‌تواند سازمان را با خطر قابل‌توجهی برای پرداخت جریمه‌های سنگین مواجه کند.

گاهی اوقات این موضوع بسیار ترسناک‌تر از صرفاً از دست دادن داده‌هاست و هیچ نسخه پشتیبانی نمی‌تواند در برابر چنین پیامدی کمکی کند.

سرقت داده‌ها از دیدگاه مهاجمان یک مزیت دیگر نیز دارد: معمولاً تشخیص آن بسیار دشوارتر از فعالیت بدافزار است.

برای مثال، رمزگذاری فایل‌ها باعث افزایش ناگهانی فعالیت دیسک می‌شود که ابزارهای حفاظت از نقاط پایانی می‌توانند نسبتاً سریع آن را شناسایی کنند. در مقابل، خارج کردن داده‌ها از شبکه (Data Exfiltration) به‌راحتی می‌تواند شبیه ترافیک عادی جلوه داده شود.

این دقیقاً همان چیزی است که گروه ShinyHunters از آن بهره می‌برد و حملات خود را بر پایه سازوکار استاندارد OAuth طراحی می‌کند.

علاوه بر این، مهاجمان در صورتی که مرحله رمزگذاری را کنار بگذارند، می‌توانند داده‌ها را بسیار سریع‌تر سرقت کنند؛ موضوعی که شناسایی به‌موقع تهدید را نیز دشوارتر می‌کند.

در نتیجه، رمزگذاری به نوعی به کارت شناسایی مهاجم تبدیل شده بود؛ مدرکی که نشان می‌داد مهاجمان به داده‌ها دسترسی پیدا کرده‌اند.

بنابراین مجرمان سایبری سرانجام تصمیم گرفتند این مرحله اختیاری را نیز به‌طور کامل کنار بگذارند.

کسب‌وکارها چه کاری باید انجام دهند؟

اقدامات استاندارد بهداشت سایبری می‌توانند در برابر طیف گسترده‌ای از روش‌های اخاذی از سازمان محافظت کنند؛ چه این حملات شامل رمزگذاری باشند و چه نباشند:

• به‌صورت منظم و خودکار نسخه پشتیبان تهیه کنید. با ذخیره نسخه‌های پشتیبان روی دو نوع رسانه، یعنی فیزیکی و ابری، یک کسب‌وکار دیگر لازم نیست نگران اختلال جدی در فعالیت‌های خود باشد. در نهایت، زمان موردنیاز برای بازیابی اطلاعات از نسخه‌های پشتیبان در مقایسه با پیامدهای از دست دادن تمام داده‌ها بسیار ناچیز است.

• وصله‌ها و به‌روزرسانی‌ها را سریع نصب کنید. برای مهاجمان، آسیب‌پذیری‌ها همچنان یکی از اصلی‌ترین مسیرهای ورود به زیرساخت هستند. برای کاهش این خطر، توصیه می‌شود مدیریت خودکار به‌روزرسانی سیستم‌عامل‌ها، نرم‌افزارها و درایورها را راه‌اندازی کنید. همچنین لازم است سیستم‌ها به‌طور منظم برای شناسایی نقاط ضعف امنیتی اسکن شوند و آسیب‌پذیری‌های شناسایی‌شده، با تمرکز بر نقص‌های حیاتی، اولویت‌بندی شوند. راهکارهای تخصصی مدیریت آسیب‌پذیری می‌توانند در این زمینه کمک کنند.

• حفاظت از نقاط پایانی را تقویت کنید. برای تمام سیستم‌های موجود در زیرساخت، احراز هویت چندعاملی (MFA) را فعال کنید و یک راهکار قابل‌اعتماد برای حفاظت از ایستگاه‌های کاری و سرورها مستقر کنید. یک SIEM یا راهکار EDR می‌تواند به متخصصان امنیت کمک کند دید کاملی نسبت به رویدادها داشته باشند و به‌سرعت به حوادث پاسخ دهند.

• محیط پیرامونی خارجی را پایش کنید. زیرساخت شرکت، شامل سرورها، پایگاه‌های داده، سرویس‌های ابری و زیردامنه‌های قدیمی را به‌طور منظم برای شناسایی پورت‌های باز و سرویس‌هایی که در معرض اینترنت قرار دارند بررسی کنید.

• اصل حداقل دسترسی (Least Privilege) را رعایت کنید. این اصل به معنای آن است که کاربران، سیستم‌ها و فرایندها فقط مجوزهای دسترسی موردنیاز برای انجام وظایف خود را داشته باشند. مجوزهای بلااستفاده را لغو کنید و دسترسی کارکنان سابق را به‌طور کامل غیرفعال کنید.

• برای آموزش کارکنان سرمایه‌گذاری کنید. مهاجمان همچنان از عامل انسانی برای نفوذ به زیرساخت شرکت‌ها سوءاستفاده می‌کنند. افزایش آگاهی کارکنان نسبت به تهدیدات می‌تواند از قربانی شدن آن‌ها در حملات فیشینگ جلوگیری کند.