«مقامرة الجنتلمان»: نوع جديد من برامج الفدية يرفع مستوى التهديد أمام المدافعين عن الشركات

في ساحة معركة الجريمة الإلكترونية المتغيرة باستمرار، ظهر خصم جديد يمزج بين المهارة التقنية والكفاءة القاسية. مجموعة برامج الفدية "الجنتلمان"، التي ظهرت لأول مرة في أغسطس 2025، تكتسب شهرة بسرعة بسبب هجماتها الدقيقة على شبكات الشركات في أربع قارات. لكن على عكس اسمهم، لا يظهر هؤلاء المهاجمون أي رحمة، ويتركون وراءهم بيانات مشفرة ومديرين قلقين.

تشريح هجوم "الجنتلمان"

على عكس حملات برامج الفدية العشوائية، فإن عمليات الجنتلمان مستهدفة للغاية. صنف الباحثون الأمنيون المجموعة كواحدة من أكثر التهديدات نشاطًا وتقدمًا تقنيًا في أواخر 2025. أسلوب عملهم يشبه تهديدات APT المتقدمة: بعد اختراق الشبكة، يقومون بسرعة بتعطيل أدوات الأمان - بإيقاف Windows Defender وخدمات النسخ الاحتياطي مثل Veeam وقواعد البيانات الحيوية - لزيادة التأثير وإعاقة جهود الاستعادة. كما يتم مسح سجلات النظام، مما يجعل التحقيقات الجنائية شبه مستحيلة.

ما يميز الجنتلمان هو استخدامهم للغة البرمجة Go وطبقة حماية فريدة أثناء التنفيذ: يتطلب برنامج الفدية كلمة مرور سرية عند التشغيل. بدونها، يدمر البرنامج نفسه ذاتيًا، مما يمنع الباحثين الأمنيين والدفاعات الآلية من تحليل آلية عمله بسهولة. يمكن للمهاجمين أيضًا تخصيص هجومهم بتحديد الأقراص المراد تشفيرها، وسرعة التنفيذ، وحتى نسبة كل ملف يتم تشفيرها - لتحقيق توازن بين السرعة والتدمير.

تشفير مصمم للبقاء

ترسانة التشفير لدى الجنتلمان قوية للغاية. يجمع البرنامج الخبيث بين خوارزميات X25519 وXChaCha20، وينتج مفاتيح وأرقامًا عشوائية فريدة لكل ملف. بالنسبة للملفات التي تقل عن 1 ميغابايت، يتم تشفيرها بالكامل. أما الملفات الأكبر، فيتم تشفير أجزاء منها فقط - بما يكفي لجعلها عديمة الفائدة، وبسرعة كافية لتجنب الاكتشاف. بعد تنفيذ الضرر، تترك مذكرة فدية تطالب بالدفع، مع تهديد بنشر البيانات المسروقة على "موقع تسريب البيانات" الخاص بالمجموعة إذا توقفت المفاوضات.

قدرات الجنتلمان التقنية وانضباطهم التشغيلي جعلت فرق الأمن السيبراني في حالة تأهب قصوى. لا يزال من غير المؤكد ما إذا كانت المجموعة إعادة تسمية لعصابة سابقة أم جهة جديدة كليًا، لكن صعودهم السريع يشير إلى تصعيد مقلق في سباق التسلح ببرامج الفدية.