وتتمكن برمجية الفدية من إصابة الضحايا عن طريق التسلل من خلال إحدى الثغرات الأمنية الموصوفة والمثبتة في Microsoft Security Bulletin MS17-010. يذكر أن هذا الهجوم الذي استخدم أداة Eternal Blue قد اكتشف من خلال نشاط عصابة Shadowbrokers بتاريخ 14 أبريل (نيسان) 2017.
وبعد أن يتمكن المهاجمون من التغلغل في النظام، سرعان ما يقومون بتثبيت أدوات التمويه Rootkit التي تمكنهم من تحميل البرنامج لتشفير البيانات. وتقوم البرمجية الخبيثة بتشفير الملفات. يتم عرض مبلغ الفدية وقدره 600 دولار أمريكي على هيئة العملة الإلكترونية بيتكوين إلى جانب المحفظة، ثم يرتفع مبلغ الفدية شيئاً فشيئاً مع مرور الوقت.
ويحاول خبراء كاسبرسكي لاب حالياً تحديد ما إذا كان من الممكن فك تشفير البيانات المقفلة نتيجة لهذا الهجوم، وذلك بهدف تطوير أداة لفك التشفير في أقرب وقت ممكن.
وقالت كاسبرسكي لاب إن حلولها الأمنية تقوم باكتشاف البرمجية الخبيثة المستخدمة في هذا الهجوم عن طريق أسماء التتبع والرصد التالية: Trojan-Ransom.Win32.Scatter.uf، وTrojan-Ransom.Win32.Scatter.tr، وTrojan-Ransom.Win32.Fury.fr، وTrojan-Ransom.Win32.Gen.djd، وTrojan-Ransom.Win32.Wanna.b، و.Trojan-Ransom.Win32.Wanna.c
ويوجد أيضًا أسماء التتبع والرصد: Trojan-Ransom.Win32.Wanna.d، وTrojan-Ransom.Win32.Wanna.f، وTrojan-Ransom.Win32.Zapchast.i، وTrojan.Win64.EquationDrug.gen، وTrojan.Win32.Generic (ينبغي تفعيل مكوّن مراقب النظام System Watcher).
توصيات
ويوصي باحثو الشركة باتخاذ عدة إجراءات للحد من تداعيات وانتشار هذا الهجوم، بما في ذلك تثبيت برنامج تصحيح الثغرات الرسمي Patch من مايكروسوفت الذي يقوم بسد الثغرات الأمنية المستخدمة في الهجوم، والتأكد من تفعيل/تشغيل الحلول الأمنية على كافة العقد في الشبكة.
وفي حال استخدام حل كاسبرسكي لاب، يوصي الباحثون بالتأكد من أنه يشتمل على مراقب النظام System Watcher، وهو مكوّن يركز على الكشف السلوكي الاستباقي والتأكد كذلك من تشغيله، وبتشغيل خاصية المسح الضوئي للمناطق الحرجة Critical Area Scan في حل كاسبرسكي لاب للكشف عن الإصابة المحتملة في أقرب وقت ممكن (وإلا سيتم اكتشافها تلقائيا، في حال لم يتم إيقافها في غضون 24 ساعة).
ويوصي باحثو كاسبرسكي لاب أيضاً بإعادة تشغيل النظام بعد الكشف عن MEM: Trojan.Win64.EquationDrug.gen، وباستخدم خدمات الإبلاغ عن مخاطر التهديدات الخاصة
وبعد أن يتمكن المهاجمون من التغلغل في النظام، سرعان ما يقومون بتثبيت أدوات التمويه Rootkit التي تمكنهم من تحميل البرنامج لتشفير البيانات. وتقوم البرمجية الخبيثة بتشفير الملفات. يتم عرض مبلغ الفدية وقدره 600 دولار أمريكي على هيئة العملة الإلكترونية بيتكوين إلى جانب المحفظة، ثم يرتفع مبلغ الفدية شيئاً فشيئاً مع مرور الوقت.
ويحاول خبراء كاسبرسكي لاب حالياً تحديد ما إذا كان من الممكن فك تشفير البيانات المقفلة نتيجة لهذا الهجوم، وذلك بهدف تطوير أداة لفك التشفير في أقرب وقت ممكن.
وقالت كاسبرسكي لاب إن حلولها الأمنية تقوم باكتشاف البرمجية الخبيثة المستخدمة في هذا الهجوم عن طريق أسماء التتبع والرصد التالية: Trojan-Ransom.Win32.Scatter.uf، وTrojan-Ransom.Win32.Scatter.tr، وTrojan-Ransom.Win32.Fury.fr، وTrojan-Ransom.Win32.Gen.djd، وTrojan-Ransom.Win32.Wanna.b، و.Trojan-Ransom.Win32.Wanna.c
ويوجد أيضًا أسماء التتبع والرصد: Trojan-Ransom.Win32.Wanna.d، وTrojan-Ransom.Win32.Wanna.f، وTrojan-Ransom.Win32.Zapchast.i، وTrojan.Win64.EquationDrug.gen، وTrojan.Win32.Generic (ينبغي تفعيل مكوّن مراقب النظام System Watcher).
توصيات
ويوصي باحثو الشركة باتخاذ عدة إجراءات للحد من تداعيات وانتشار هذا الهجوم، بما في ذلك تثبيت برنامج تصحيح الثغرات الرسمي Patch من مايكروسوفت الذي يقوم بسد الثغرات الأمنية المستخدمة في الهجوم، والتأكد من تفعيل/تشغيل الحلول الأمنية على كافة العقد في الشبكة.
وفي حال استخدام حل كاسبرسكي لاب، يوصي الباحثون بالتأكد من أنه يشتمل على مراقب النظام System Watcher، وهو مكوّن يركز على الكشف السلوكي الاستباقي والتأكد كذلك من تشغيله، وبتشغيل خاصية المسح الضوئي للمناطق الحرجة Critical Area Scan في حل كاسبرسكي لاب للكشف عن الإصابة المحتملة في أقرب وقت ممكن (وإلا سيتم اكتشافها تلقائيا، في حال لم يتم إيقافها في غضون 24 ساعة).
ويوصي باحثو كاسبرسكي لاب أيضاً بإعادة تشغيل النظام بعد الكشف عن MEM: Trojan.Win64.EquationDrug.gen، وباستخدم خدمات الإبلاغ عن مخاطر التهديدات الخاصة
