حقائق سريعة

• Qilin هو عملية فدية كخدمة (RaaS)، تتيح للشركاء تنفيذ هجمات حول العالم.
• قامت Huntress Labs بالتحقيق في حادثة ببيانات جنائية محدودة للغاية - جهاز واحد فقط بعد الإصابة.
• استغل المهاجمون أدوات الإدارة عن بُعد مثل ScreenConnect لنشر البرمجيات الخبيثة وحزم الفدية.
• ساعدت طبقات متعددة من سجلات ويندوز وتنبيهات مضادات الفيروسات في إعادة بناء تحركات المهاجمين.
• كان تعطيل الدفاعات الأمنية خطوة أساسية قبل تنفيذ هجوم الفدية النهائي.

إعادة بناء مسرح الجريمة من الظلال فقط

تخيل محققًا يفحص غرفة مظلمة تمامًا بمصباح يدوي صغير. هكذا شعر محللو Huntress Labs عندما طُلب منهم التحقيق في هجوم فدية Qilin: تم تثبيت وكيل Huntress، أداة التحقيق الرئيسية لديهم، فقط بعد وقوع الضرر، وعلى جهاز كمبيوتر واحد فقط. لا سجلات أمنية شاملة، ولا إنذارات قبل الحادث - فقط بعض فتات الأدلة الرقمية متناثرة على جهاز واحد مخترق.

أسلوب Qilin: الفدية كامتياز عالمي

Qilin ليس مجرد سلالة أخرى من برامج الفدية - بل هو نموذج عمل إجرامي. الفدية كخدمة (RaaS) تتيح للشركاء استئجار برمجيات خبيثة قوية، تنفيذ الهجمات، وتقاسم الأرباح مع المطورين. منذ عام 2022، استهدف Qilin منظمات حول العالم، تاركًا وراءه ملاحظات فدية وملفات مشفرة. غالبًا ما يستخدم الشركاء أدوات مألوفة - مثل تسجيلات الدخول عن بُعد أو برامج إدارة تكنولوجيا المعلومات المخترقة - للتسلل، مما يصعب اكتشافهم.

في هذه الحالة، تسلل المهاجمون عبر الوصول عن بُعد، ثم ثبتوا نسخة خبيثة من ScreenConnect، وهي أداة شرعية أعيد توظيفها لأغراض خبيثة. تم إسقاط ملفات بأسماء غامضة - r.ps1، s.exe، ss.exe - على النظام. حاول المهاجمون تشغيل سكريبتات لجمع المعلومات، وحاولوا تنفيذ برمجيات سرقة معلومات، لكن إعدادات أمان ويندوز وفحوصات التوافق أفسدت بعض خططهم.

كشف الطبقات: كيف تقاوم الأدلة الجنائية

مع قلة البيانات، اضطر المحللون للإبداع. دققوا في تنبيهات مضادات الفيروسات، وسجلات أحداث النظام، وملفات ويندوز الغامضة مثل AmCache وسجلات PCA - ما يعادل رقميًا رفع البصمات. كشفت هذه السجلات خطوات المهاجمين: تعطيل Windows Defender (مضاد الفيروسات الافتراضي)، محاولة وفشل في تشغيل مثبتات البرمجيات الخبيثة، وأخيرًا إطلاق الفدية، مما أدى إلى اكتشاف ملاحظات الفدية.

رغم جهود المهاجمين لمحو آثارهم، أعاد التحقيق بناء الجدول الزمني: وصول عن بُعد في 8 أكتوبر، محاولات نشر البرمجيات الخبيثة في 11 أكتوبر، وضربة الفدية النهائية بعد ذلك بوقت قصير. كل دليل - سواء كان تشغيل برنامج فاشل أو عنوان IP مشبوه - ساعد في تأكيد النمط الأوسع لعمليات Qilin، في صدى لهجمات مماثلة أبلغت عنها شركات أمنية مثل Group-IB وPalo Alto Networks.

لماذا Qilin - وحوادث كهذه - مهمة

قضية Qilin تذكير صارخ: حتى مع رؤية محدودة للغاية، يمكن للمحللين المهرة تجميع قصة الهجوم من خلال تقاطع مصادر بيانات متعددة. تظل الفدية تهديدًا عالميًا، مع ظهور أساليب جديدة مع تكيف المجرمين مع أدوات الدفاع. ومع انتشار "امتيازات" الجريمة الإلكترونية مثل Qilin، يجب على المؤسسات ألا تستثمر فقط في دفاعات متعددة الطبقات، بل أن تكون مستعدة أيضًا للتحقيق بما تبقى من شظايا الأدلة.

ويكي كروك

• برنامج الفدية: برنامج الفدية هو برمجية خبيثة تقوم بتشفير أو قفل البيانات، وتطالب الضحايا بدفع فدية لاستعادة الوصول إلى ملفاتهم أو أنظمتهم.
• نقطة النهاية: نقطة النهاية هي أي جهاز، مثل الكمبيوتر أو الهاتف الذكي، يتصل بالشبكة ويجب تأمينه وتحديثه لمنع التهديدات الإلكترونية.
• ScreenConnect: ScreenConnect هي أداة سطح مكتب عن بُعد لدعم تكنولوجيا المعلومات، تتيح الوصول الآمن عن بُعد ولكن أحيانًا يستغلها القراصنة للدخول غير المصرح به.
• Windows Defender: Windows Defender هو برنامج مضاد الفيروسات المدمج من مايكروسوفت الذي يحمي أجهزة ويندوز من البرمجيات الخبيثة والفيروسات وغيرها من التهديدات الأمنية.
• Infostealer: Infostealer هو برنامج خبيث مصمم لسرقة البيانات الحساسة - مثل كلمات المرور أو بطاقات الائتمان أو المستندات - من أجهزة الكمبيوتر المصابة دون علم المستخدم.