كيف تتعافى مؤسسة من انتشار برمجية خبيثة؟

TL;DR

تتطلب مواجهة العدوى الشبكية عزل مصدرها، وتصحيح إعدادات الحماية، ثم تنظيف الأجهزة أو إعادة تهيئتها واستعادة الخوادم من الصفر عند الضرورة. أظهرت تجربة Aspire أن حماية نقاط النهاية وحدها لم تكن كافية، خصوصًا مع غياب تصفية محتوى الويب، وانتشار التهديد عبر الخوادم والمواقع البعيدة، وقدرته على تعطيل أدوات النظام وتنزيل برمجيات خبيثة إضافية.

Transcript

مرحبًا بالجميع وأهلًا بكم في جلستنا. اسمي Gerhard Eschelbeck وأشارك في هذه الجلسة اليوم مع Dave Compton. ونود التحدث عن سيناريو واقعي وعن إصابة حقيقية وكيف تم التعامل معها وكيف حدثت، وبالتحديد ما تعلمناه من هذا السيناريو. دعوني أستعرض معكم جدول الأعمال الذي أعددناه لكم اليوم. نود أن نتحدث أولًا قليلاً عن مشهد التهديدات، وما الذي تغير على مدى السنوا... Read More

Key Insights

• حماية نقاط النهاية وحدها كانت غير كافية في بيئة Aspire، لأن حركة الويب كانت تمر مباشرة عبر جدار الحماية من دون تصفية للمحتوى أو حماية مخصصة من تهديدات الويب، بينما اقتصرت الطبقات الأخرى على حظر البريد المزعج وبرامج الحماية المثبتة على الأجهزة.
• التهديدات الحديثة تجمع بين البريد الإلكتروني والويب، إذ يمكن استخدام الرسالة أو المرفق للوصول إلى المستخدم، ثم يؤدي رابط URL إلى تنفيذ الجزء الرئيسي من الهجوم عبر الويب، وهو ما يجعل اكتشاف العدوى وتعقب مسارها ومعالجتها أكثر صعوبة.
• برمجية Sality قادرة على تعطيل وسائل دفاع مهمة داخل الجهاز، ومنها البرامج الأمنية والتشغيل الآمن، كما تستطيع الانتشار عبر محركات الأقراص المحمولة والبعيدة والشبكات، والاتصال بشبكة نظراء للحصول على تحديثات وقدرات وبرمجيات خبيثة إضافية.
• إصابة Aspire بدأت بعلامات غير معتادة على محطة عمل في القسم المالي، ثم ظهرت العلامات نفسها على خادم تطبيقات مشترك ووحدة تحكم بالمجال، قبل أن تنتشر العدوى في القسم وتعطل الأنظمة المالية المرتبطة بالفوترة وتحصيل الإيرادات.
• الإعداد الخاطئ في خادم التحكم تسبب في تكرار الإصابة، فالأجهزة التي اعتقد الفريق أنه نظفها عادت إليها العلامات التحذيرية. لم يبدأ التعافي الفعلي إلا بعد اكتشاف هذا الإعداد بالغ الأهمية وتصحيحه ثم مواصلة أعمال التنظيف والاستعادة.
• التعافي من الانتشار الواسع تطلب إعادة بناء الأنظمة، إذ أعادت Aspire تهيئة معظم الحواسيب الخمسين المصابة بالكامل، واستعادت الخوادم الخمسة من الصفر، بعد عدة أيام من العمل مع مزود حماية نقاط النهاية وتلقي ملفات توقيع وتعريف جديدة.
• برمجيات مكافحة الفيروسات الوهمية تعتمد على الهندسة الاجتماعية، فهي تخيف المستخدم بادعاء وجود إصابة خطيرة، ثم تدفعه إلى النقر أو تقديم بيانات الدفع مقابل إصلاح مزعوم. بعض مستخدمي Aspire دفعوا بأموالهم الشخصية خوفًا من أنهم ارتكبوا خطأ.
• المواقع البعيدة زادت تكلفة الاستجابة التشغيلية، لأن فريق تقنية المعلومات الصغير كان يقود لمسافات تستغرق ساعتين أو ثلاث ساعات لتنظيف الأجهزة في بعض المواقع، فتأجلت أعمال مكتب المساعدة والمهام اليومية وانخفضت إنتاجية الموظفين أثناء معالجة الإصابات المتكررة.

Questions & Answers

Q: كيف انتشرت برمجية Sality داخل شبكة Aspire؟

بدأت المؤشرات بمكالمة من موظفة في القسم المالي أفادت بأن أحد البرامج لا يعمل بصورة صحيحة. اكتشف فريق تقنية المعلومات أن التشغيل الآمن ومدير المهام واستعادة النظام معطلة على جهازها. ثم وردت اتصالات مشابهة من موظفين آخرين، وظهرت علامات الإصابة على خادم تطبيقات مشترك ووحدة تحكم بالمجال، فانتقلت العدوى عبر الموارد المشتركة حتى عطلت القسم المالي.

Q: ما أثر إصابة Sality في عمليات Aspire؟

أصابت العدوى خمسة خوادم وما لا يقل عن خمسين حاسوبًا، وتركزت في القسم المالي المسؤول عن إصدار فواتير الخدمات وتحصيل الأموال التي تحافظ على الاستقرار المالي للمؤسسة. أدى الانتشار إلى توقف الأنظمة المالية وانخفاض الإنتاجية، وكان الخطر كبيرًا لأن تعطل هذا القسم كان يمكن أن يعيق قدرة Aspire على تحصيل إيراداتها، رغم بقاء الإصابة محصورة في قسم واحد.

Q: لماذا عادت العدوى بعد تنظيف الأجهزة المصابة؟

عادت العدوى لأن إعدادًا في خادم التحكم لم يكن مضبوطًا بصورة صحيحة. كان الفريق ينظف جهازًا وينتقل إلى غيره، ثم يبلغ المستخدم عن رجوع علامات الإصابة إلى الجهاز السابق. سمح الإعداد غير المصحح بوصول برمجيات خبيثة إضافية إلى الشبكة، ولذلك استمرت الحلقة يومين أو ثلاثة. بعد تحديد الإعداد بالغ الأهمية وتصحيحه، أمكن بدء عملية تنظيف واستعادة أكثر فاعلية.

Q: كيف تعافت Aspire من إصابة Sality الواسعة؟

تواصل فريق تقنية المعلومات مع مزود حماية نقاط النهاية، وعمل معه أربعة أو خمسة أيام مستخدمًا ملفات توقيع وتعريف جديدة. وبعد اكتشاف الإعداد الخاطئ في خادم التحكم وتصحيحه، أعادت المؤسسة تهيئة معظم الحواسيب الخمسين المصابة بالكامل، كما نفذت استعادة كاملة من الصفر للخوادم الخمسة. استغرق أسبوع العمل نحو مئة ساعة قبل أن تبدو البيئة مستقرة مجددًا.

Q: لماذا لم تكن حماية نقاط النهاية كافية لدى Aspire؟

كانت Aspire تستخدم برنامج مكافحة فيروسات على الحواسيب والخوادم، وجهازًا لحظر البريد المزعج خلف جدار الحماية، لكنها لم تكن تملك تصفية لمحتوى الويب أو حماية مستقلة من تهديداته. كانت حركة الويب تصل مباشرة إلى جدار الحماية، كما كانت بعض المواقع البعيدة تعمل بصورة مستقلة عند انقطاع الاتصال. لذلك استطاعت تهديدات لا يكتشفها الحل الحالي الوصول إلى المستخدمين والأجهزة.

Q: ما الذي يجعل Sality برمجية خبيثة صعبة المعالجة؟

تطورت Sality من فيروس بسيط يصيب الملفات القابلة للتنفيذ إلى برمجية خبيثة متكاملة ذات قدرات متعددة. يمكنها تعطيل البرامج الأمنية والتشغيل الآمن، والانتشار عبر محركات الأقراص المحمولة والبعيدة والشبكات. كما تستطيع الاتصال بشبكة نظراء للحصول باستمرار على تحديثات وميزات وأجزاء إضافية من البرمجيات الخبيثة، مما يساعدها على إبقاء الإصابة نشطة وإعادة تلويث البيئة.

Q: كيف خدعت برمجية FakeAV2010 مستخدمي Aspire؟

استخدمت FakeAV2010 أسلوب الهندسة الاجتماعية عبر عرض تحذيرات تخيف المستخدم وتوهمه بأن جهازه مصاب ويحتاج إلى إصلاح مدفوع. دفع الخوف بعض المستخدمين إلى النقر على الروابط، بل أخرج عدد منهم بطاقاته الائتمانية الشخصية ودفع ثمن الإصلاح الذي عرضه المهاجمون. كانت هذه الاستجابة بمنزلة دعوة للبرمجية للدخول، بينما لم يكن حل الحماية الحالي يكتشفها.

Q: كيف أثرت المواقع البعيدة في استجابة فريق تقنية المعلومات؟

كانت Aspire تشغل أربعة وأربعين منزلًا جماعيًا، وبعض المواقع اتصل بالشبكة بصورة متقطعة من خلال عميل شبكة خاصة افتراضية، ثم عمل مستقلًا عند انقطاع الاتصال. ومع وجود فريق يتكون من موظفين بدوام كامل وموظف بدوام جزئي، اضطر الأفراد إلى القيادة ساعتين أو ثلاث ساعات لتنظيف بعض الأجهزة. أدى ذلك إلى تأجيل أعمال مكتب المساعدة والمهام اليومية وفقدان إنتاجية إضافية.

Summary & Key Takeaways

• كانت Aspire تدير شبكة تخدم أكثر من ألف وخمسمئة فرد، وتشمل مدرسة وعيادة طبية وأربعة وأربعين منزلًا جماعيًا وستة مكاتب رئيسية ونحو خمسمئة مستخدم نهائي. تولى الشبكة فريق صغير يتألف من موظفين بدوام كامل وموظف بدوام جزئي، مع اعتماد أساسي على حماية نقاط النهاية وجدار الحماية وحظر البريد المزعج.

• في ربيع عام 2009، بدأت إصابة Sality داخل القسم المالي، ثم انتشرت إلى خمسة خوادم وما لا يقل عن خمسين حاسوبًا. تعطلت أدوات مثل التشغيل الآمن ومدير المهام واستعادة النظام، وانتقلت العدوى عبر موارد مشتركة، فتوقفت الأنظمة المالية وواجهت المؤسسة خطر تعطل الفوترة وتحصيل الإيرادات.

• استمرت محاولات التنظيف أيامًا لأن إعدادًا غير صحيح في خادم التحكم سمح باستمرار وصول عدوى إضافية. بعد تصحيح الإعداد، أعادت المؤسسة تهيئة معظم الحواسيب المصابة واستعادت الخوادم من الصفر. وبعد نحو تسعة أشهر، كشفت إصابات FakeAV2010 أن غياب حماية الويب ما زال يعرّض المستخدمين والمؤسسة للخطر.