كيف تستجيب لهجوم فدية: دليل خطوة بخطوة

1المقدمة

هجوم الفدية هو أكثر لحظات الاختراق وضوحًا، وقد بدأ الاختراق عادةً قبل أيام أو أسابيع. فعند تشفير الملفات، يكون المهاجم غالبًا قد ثبّت موطئ قدم، وسرق بيانات اعتماد، وتحرك عبر الشبكة، وحذف النسخ الاحتياطية أو شفرها، ونسخ البيانات إلى الخارج. وتعني الاستجابة الجيدة إيقاف الضرر الآن دون إتلاف الأدلة اللازمة لمعرفة طريقة دخوله، ثم التعافي بطريقة لا تسمح له بالعودة مباشرة.

يتبع هذا الدليل ترتيب الاستجابة الحقيقية: الساعة الأولى، والاحتواء، والأدلة، وتحديد النطاق، والقرارات التي لا تتخذها إلا الإدارة، والإزالة، والتعافي، والتحصين. وهو يفترض بيئة Windows وActive Directory، حيث تقع معظم هجمات الفدية، مع ملاحظات عن Linux وVMware ESXi. ولمزيد من التفاصيل الجنائية، استخدمه مع دليلي الفرز في Windows وLinux.

2الساعة الأولى

تحدد الساعة الأولى النتيجة. فالقرارات المتخذة في حالة الذعر، مثل إعادة تشغيل الخوادم أو استعادة النسخ الاحتياطية فورًا أو مسح الأجهزة، هي أكثر الأسباب شيوعًا لتفاقم حالة الفدية أو استحالة التحقيق فيها.

1. اعزل ولا تطفئ. افصل كابلات الشبكة، أو عطّل Wi-Fi، أو استخدم عزل الشبكة عبر EDR. فقد تحتوي ذاكرة الجهاز العامل على مفاتيح التشفير وأدوات المهاجم وأوامر تختفي عند إعادة التشغيل.
2. أوقف الانتشار على مستوى الشبكة. احظر SMB (445) وRDP (3389) وWinRM (5985 و5986) وRPC بين الأقسام، واقطع أنفاق VPN بين المواقع إلى المكاتب الأخرى إذا لم تتأثر بعد.
3. احمِ النسخ الاحتياطية. افصل خوادم النسخ الاحتياطي ومستودعاته عن شبكة النطاق، وألغِ حساب خدمة النسخ الاحتياطي، وتأكد من سلامة النسخ غير القابلة للتعديل أو غير المتصلة قبل أن يحاول أحد الاستعادة.
4. انقل الاتصالات خارج النطاق. افترض أن البريد وTeams وSlack والنطاق تحت المراقبة. استخدم الهواتف أو Signal أو بيئة منفصلة لفريق الاستجابة.
5. افتح سجل حادثة بتوقيت UTC: من فعل ماذا، ومتى، وعلى أي جهاز. ستعتمد عليه الجهات التنظيمية وشركات التأمين والمحامون لاحقًا.
6. فعّل خطة الاستجابة للحوادث واتصل بمن يجب أن يعرف: مزود الاستجابة، وشركة التأمين السيبراني (تشترط وثائق كثيرة الإخطار قبل الإنفاق)، والمستشار القانوني، والإدارة العليا.
7. احتفظ بمذكرة الفدية وببعض الملفات المشفرة وأصولها إن وجدت، وبلقطات شاشة لأي شيء غير معتاد.

3تعرّف على ما تواجهه

التشفير هو المرحلة الأخيرة. وتُكتشف هجمات كثيرة قبل ذلك لأن المدافعين لاحظوا التحضير. إذا رأيت العلامات التمهيدية أدناه، فتعامل معها كهجوم فدية جارٍ واحتوه فورًا، حتى قبل تشفير أي ملف.

4احتواء الهجوم

يكسب الاحتواء الوقت. اختر الخيار الأقل تدميرًا الذي يوقف الانتشار بثبات، ووسّعه إذا استمر التشفير. وعزل الشبكة مع إبقاء الجهاز عاملًا هو الخطوة الأولى الصحيحة في الغالب.

netsh advfirewall set allprofiles state on
netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound
netsh advfirewall firewall add rule name="IR allow console" dir=out action=allow remoteip=10.10.5.20
netsh advfirewall firewall add rule name="IR allow console in" dir=in action=allow remoteip=10.10.5.20

sudo nft add table inet ir
sudo nft add chain inet ir in '{ type filter hook input priority -10; policy drop; }'
sudo nft add chain inet ir out '{ type filter hook output priority -10; policy drop; }'
sudo nft add rule inet ir in ip saddr 10.10.5.20 accept
sudo nft add rule inet ir out ip daddr 10.10.5.20 accept
sudo nft add rule inet ir in iif lo accept
sudo nft add rule inet ir out oif lo accept

Get-ADGroupMember 'Domain Admins' -Recursive | Select-Object Name, SamAccountName
Get-ADGroupMember 'Enterprise Admins' -Recursive | Select-Object Name, SamAccountName

# Accounts created or changed in the last 14 days
$since = (Get-Date).AddDays(-14)
Get-ADUser -Filter 'whenCreated -gt $since' -Properties whenCreated |
  Select-Object SamAccountName, whenCreated
Get-ADUser -Filter 'whenChanged -gt $since' -Properties whenChanged, MemberOf |
  Select-Object SamAccountName, whenChanged

# Disable an account you have confirmed is compromised
Disable-ADAccount -Identity svc_backup

Get-GPO -All | Sort-Object ModificationTime -Descending |
  Select-Object -First 15 DisplayName, ModificationTime

Get-ChildItem "\\$env:USERDNSDOMAIN\SYSVOL" -Recurse -File |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

esxcli system account list
esxcli network ip connection list
esxcli vm process list
ls -la /tmp /var/tmp /vmfs/volumes/*/ | head -50
find /vmfs/volumes/ -mtime -2 -type f | head -50
vim-cmd hostsvc/disable_ssh

5حفظ الأدلة

تجيب الأدلة عن الأسئلة التي سيطرحها الجميع: كيف دخلوا، وماذا أخذوا، وهل ما زالوا هنا، وهل يجب أن نبلغ أحدًا. اجمعها قبل تنظيف أي شيء أو إعادة بنائه، واحسب بصمة كل ما تجمعه.

.\kape.exe --tsource C: --tdest E:\IR\%m\tout --target KapeTriage --vhdx %m
.\winpmem_mini_x64.exe "E:\IR\$env:COMPUTERNAME\mem.raw"
Get-FileHash E:\IR\$env:COMPUTERNAME\* -Algorithm SHA256 | Export-Csv E:\IR\$env:COMPUTERNAME\hashes.csv -NoTypeInformation

Get-ChildItem C:\ -Recurse -File -Include '*README*.txt','*DECRYPT*','*RESTORE*' -ErrorAction SilentlyContinue |
  Select-Object FullName, CreationTimeUtc | Sort-Object CreationTimeUtc |
  Export-Csv E:\IR\notes.csv -NoTypeInformation

Get-ChildItem D:\Shares -Recurse -File -Filter '*.locked' -ErrorAction SilentlyContinue |
  Sort-Object LastWriteTimeUtc | Select-Object -First 20 FullName, LastWriteTimeUtc

لجمع البيانات على مستوى البيئة، يعد Velociraptor أسرع من زيارة الأجهزة واحدًا تلو الآخر: تغطي Windows.KapeFiles.Targets وWindows.EventLogs.Evtx وWindows.System.Pslist معظم الاحتياجات. وعلى Linux وESXi، تجمع أداة UAC (Unix-like Artifacts Collector) السجلات وسجل الأوامر وبيانات العمليات في تشغيل واحد.

6تحديد عائلة برنامج الفدية

تخبرك معرفة العائلة بطريقة دخولها المعتادة، وهل تسرق البيانات أولًا، وهل توجد أداة فك تشفير مجانية، وماذا تفعل الجماعة إذا لم تدفع. ابدأ من مذكرة الفدية وامتداد الملفات وأي بيانات اتصال أو عنوان موقع تسريب فيها.

• تحدد ID Ransomware العائلة من المذكرة وعينة ملف مشفر.
• يسرد مشروع No More Ransom أدوات فك التشفير المجانية التي نشرتها جهات إنفاذ القانون ومورّدو الأمن.
• ستعرف تقارير الاستخبارات ومزود الاستجابة نقاط دخول الجماعة وأدواتها وسلوكها في التفاوض.
• افحص موقع تسريب الجماعة عبر مزود الاستجابة أو خدمة استخبارات لمعرفة هل أُدرجت مؤسستك فيه.

7تحديد نطاق الاختراق

يجيب تحديد النطاق عن أربعة أسئلة: كيف دخل المهاجم، وما الحسابات التي يسيطر عليها، وما الأنظمة التي لمسها، وما البيانات التي خرجت من الشبكة. لا تبدأ إعادة البناء قبل أن تجيب عن أول سؤالين، وإلا فسيعود المهاجم من الباب نفسه.

$start = (Get-Date).AddDays(-30)

# Services installed (PsExec, remote admin tools, encryptor deployment)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045; StartTime=$start} |
  Select-Object TimeCreated, @{n='Service';e={$_.Properties[0].Value}}, @{n='Path';e={$_.Properties[1].Value}}

# RDP logons (type 10) and new accounts
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$start} |
  Where-Object { $_.Properties[8].Value -eq 10 } |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Source';e={$_.Properties[18].Value}}
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720; StartTime=$start}

# Security log cleared
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -ErrorAction SilentlyContinue

hayabusa csv-timeline -d E:\IR\evtx -o E:\IR\hayabusa.csv -p verbose -U -w
hayabusa logon-summary -d E:\IR\evtx -o E:\IR\logons.csv

Get-ChildItem C:\Windows\Prefetch -Filter '*.pf' |
  Where-Object { $_.Name -match '^(RCLONE|MEGASYNC|WINSCP|RESTIC|FILEZILLA)' } |
  Select-Object Name, LastWriteTime

Get-ChildItem C:\Users -Recurse -Force -Filter 'rclone.conf' -ErrorAction SilentlyContinue |
  Select-Object FullName, LastWriteTime

# Large archives staged in the last 30 days
Get-ChildItem C:\, D:\ -Recurse -File -Include '*.zip','*.7z','*.rar' -ErrorAction SilentlyContinue |
  Where-Object { $_.Length -gt 500MB -and $_.LastWriteTime -gt (Get-Date).AddDays(-30) } |
  Select-Object FullName, Length, LastWriteTime

8القرارات التي يجب أن تتخذها الإدارة

بعض الخيارات ليست تقنية: هل ندفع، ومتى نبلغ، وما مقدار التوقف الذي يتحمله العمل. يجب أن تتخذها الإدارة بناءً على الأدلة بحضور المستشار القانوني وشركة التأمين، وأن يسجل قائد الحادثة كل قرار وأسبابه.

9تواصل بوضوح

يولد الصمت الشائعات، ويتواصل المهاجمون بشكل متزايد مع الموظفين والعملاء والصحفيين مباشرة لزيادة الضغط. والتحديث القصير الواقعي المنتظم أفضل من بيان مثالي يصل متأخرًا.

• الموظفون: ما حدث، وما يجب تجنبه (لا حلول عبر البريد الشخصي ولا حديث مع الصحافة)، وكيفية الحصول على التحديثات، وبمن يتصلون.
• العملاء والشركاء: ما تأثر، وما تفعله، وهل بياناتهم معنية بحسب علمك، وموعد التحديث التالي.
• الصحافة والجمهور: متحدث واحد وبيان مؤقت واحد يوافق عليه المستشار القانوني.
• لا تؤكد أبدًا تفاصيل لم تتحقق منها، ولا تخمن بشأن المهاجم.

“نستجيب لحادثة أمن سيبراني أثرت في بعض أنظمتنا. وقد عزلنا الأنظمة المتأثرة، واستعنا بمتخصصين في الاستجابة للحوادث، وأبلغنا الجهات المعنية. ما زال تحقيقنا جاريًا، وسنشارك المزيد في أقرب وقت ممكن.”

نموذج بيان مؤقت

10إزالة المهاجم

يجب أن تتم الإزالة في خطوة واحدة منسقة، بعد تحديد النطاق وقبل استعادة الإنتاج. أزل كل موطئ قدم وجدته، وأعد تعيين كل بيانات اعتماد ربما رآها المهاجم، وأغلق الباب الذي دخل منه.

1. أغلق مسار الوصول الأولي: حدّث أو استبدل VPN أو جدار الحماية الضعيف، وافرض MFA، وأزل RDP المكشوف.
2. أزل وسائل الاستمرار من كل جهاز حددته: المهام المجدولة والخدمات ومفاتيح Run واشتراكات WMI والحسابات المحلية وحسابات النطاق الجديدة وأدوات الإدارة عن بُعد وGPO الخبيثة.
3. افحص البيئة كلها بالمؤشرات التي وجدتها، لا الأجهزة التي فرزتها فقط. فـ EDR أو Velociraptor أو فحص YARA يكشف الأجهزة التي لم ينظر إليها أحد.
4. أعد تعيين بيانات الاعتماد بالترتيب: مسؤولو النطاق والمؤسسة، ثم حسابات الخدمة والنسخ الاحتياطي، ثم جميع المستخدمين. وبدّل كلمة مرور krbtgt مرتين مع انتظار النسخ المتماثل الكامل بينهما (تنشر Microsoft نصًا لذلك).
5. بدّل كل ما قد يكون تسرب: كلمات مرور المسؤول المحلي (انشر Windows LAPS إذا لم تفعل)، ومفاتيح API، ومفاتيح الوصول السحابية، وشهادات VPN، ومفاتيح Wi-Fi، والأسرار في النصوص وملفات الإعداد.
6. ألغِ الجلسات والرموز في Entra ID أو Google Workspace، وراجع موافقات تطبيقات OAuth المضافة أثناء الحادثة.

.\autorunsc64.exe -accepteula -a * -c -h -s -m -vt > E:\IR\$env:COMPUTERNAME-autoruns.csv

Get-ScheduledTask | Where-Object { $_.Date -gt (Get-Date).AddDays(-30) } |
  Select-Object TaskPath, TaskName, Date, @{n='Action';e={$_.Actions.Execute}}

Get-CimInstance Win32_Service |
  Where-Object { $_.PathName -match '\\Users\\|\\ProgramData\\|\\Temp\\' } |
  Select-Object Name, PathName, StartMode

Get-LocalGroupMember Administrators

11التعافي بالترتيب الصحيح

استعد أولًا في شبكة معزولة وسليمة، وتحقق، ثم أعد الاتصال بعد ذلك فقط. أعد الأنظمة حسب ترتيب الاعتماديات لتثق كل طبقة بالطبقة التي قبلها.

• اختر نقاط استعادة أقدم من تاريخ الوصول الأولي، لا أقدم من التشفير فقط. فقد تكون أدوات المهاجم داخل النسخ الاحتياطية لفترة بقائه.
• افحص الأنظمة المستعادة بمضاد فيروسات محدّث وقواعد YARA الخاصة بك قبل إعادة توصيلها.
• أعد تثبيت أجهزة المستخدمين من نسخة سليمة، فالتنظيف يفوته ما لم تجده.
• حافظ على مراقبة مشددة لمدة 30 يومًا على الأقل، مع متابعة المؤشرات والحسابات والتقنيات نفسها.

restic -r s3:https://s3.example.com/backups/fileserver snapshots
restic -r s3:https://s3.example.com/backups/fileserver check --read-data-subset=10%
restic -r s3:https://s3.example.com/backups/fileserver restore 4f1a2b3c --target /restore/fileserver --verify

12حصّن كي لا يتكرر ذلك

يجب أن تنتهي المراجعة بعد الحادثة بإجراءات ممولة، لا بنتائج فقط. توقف هذه الضوابط معظم هجمات الفدية الحالية أو تحد منها.

13قائمة التحقق للاستجابة للفدية

1. اعزل الأجهزة المتأثرة وأبقها تعمل.
2. احظر SMB وRDP وWinRM بين الأقسام، واقطع الروابط مع المواقع غير المتأثرة.
3. افصل النسخ الاحتياطية واحمها، وتأكد من سلامة النسخ غير المتصلة.
4. انقل فريق الاستجابة إلى اتصال خارج النطاق وافتح سجل حادثة بتوقيت UTC.
5. اتصل بمزود الاستجابة وشركة التأمين والمستشار القانوني.
6. صدّر سجلات جدار الحماية وVPN والسحابة وEDR قبل استبدالها.
7. التقط الذاكرة وصور الفرز من الأجهزة الرئيسية، واحسب بصمة كل شيء.
8. حدد عائلة برنامج الفدية وابحث عن أداة فك تشفير مجانية.
9. حدد مسار الوصول الأولي والحسابات المخترقة وأي سرقة بيانات.
10. حدد واجبات الإبلاغ وبلّغ الجهات المختصة.
11. أزل في خطوة واحدة: أغلق نقطة الدخول، وأزل وسائل الاستمرار، وأعد تعيين بيانات الاعتماد، وبدّل krbtgt مرتين.
12. استعد حسب ترتيب الاعتماديات في شبكة سليمة، من نسخ أقدم من الاختراق.
13. راقب عن كثب لمدة 30 يومًا، ثم أجرِ المراجعة ومول الإصلاحات.

14الخاتمة

تعتمد نتيجة هجوم الفدية كثيرًا على ترتيب إجراءاتك. احتوِ الهجوم مع إبقاء الأجهزة تعمل، واحفظ الأدلة، واكتشف كيف دخل المهاجم وماذا أخذ، وأزل وصوله قبل استعادة أي شيء. فالاستعادة المبكرة قد تعني التشفير مرة أخرى. وبعد ذلك، أصلح نقاط الضعف التي كشفها الهجوم وتدرب على هذا الدليل قبل أن تحتاج إليه مجددًا.