باج افزار چیست؟ نحوه حمله، نمونه های معروف و راه های پیشگیری

صبح که سیستم ها را روشن می کنید، پسوند فایل های اکسل و ورد عوض شده، هیچ کدام باز نمی شود و در هر پوشه یک فایل متنی با عنوانی مثل README یا HOW_TO_DECRYPT نشسته است؛ حمله باج افزاری معمولا همین طور خودش را نشان می دهد. پایین تر می خوانید باج افزار چیست، چطور وارد شبکه یک شرکت می شود، در ساعت های اول حمله چه کارهایی را نباید کرد و برای پیشگیری از همین حالا چه باید کرد.

باج افزار چیست؟

باج افزار (Ransomware) نوعی نرم افزار مخرب است که دسترسی شما به داده یا سیستم را می گیرد و برای برگرداندن آن باج می خواهد. در بیشتر حمله های این سال ها، باج افزار فایل ها را با الگوریتم های رمزنگاری قوی رمز می کند و کلید رمزگشایی فقط در اختیار مهاجم است.

در باج افزارهای جدی، رمزنگاری درست پیاده سازی شده است. برای همین ابزارهای معمول بازیابی اطلاعات فایل رمز شده را برنمی گردانند و راه برگشت یا نسخه بکاپ سالم است، یا ابزار رمزگشایی عمومی که برای همان خانواده خاص منتشر شده باشد.

باج افزار ransomware چیست و چه فرقی با ویروس معمولی دارد؟

ویروس ها و تروجان های کلاسیک معمولا مخفیانه کار می کنند: اطلاعات می دزدند، سیستم را کند می کنند یا آن را به بخشی از یک بات نت تبدیل می کنند. باج افزار برعکس، در پایان کار خودش را نشان می دهد، چون می خواهد از قربانی پول بگیرد. پس وقتی پیام باج روی صفحه می آید، مهاجم معمولا روزها یا هفته ها قبل وارد شبکه شده و کار اصلی اش را تمام کرده است.

هدف اصلی باج افزار چیست؟

هدف اصلی باج افزار کسب درآمد است. خیلی از گروه ها با مدل «باج افزار به عنوان سرویس» (RaaS) کار می کنند: یک گروه نرم افزار را می سازد و گروه های دیگر نفوذ را انجام می دهند. به همین دلیل هر سازمانی که داده مهم دارد و ممکن است برای برگرداندنش پول بدهد هدف است، از شرکت بزرگ تا دفتر کوچک.

انواع باج افزار

• باج افزار رمزگذار (Crypto) رایج ترین نوع است و فایل ها، دیتابیس ها و گاهی دیسک ماشین های مجازی را رمز می کند.
• در اخاذی دوگانه (Double Extortion) مهاجم قبل از رمزگذاری، بخشی از داده ها را از شبکه خارج می کند و تهدید می کند اگر باج پرداخت نشود آن ها را منتشر می کند. اینجا بکاپ فقط نیمی از مشکل را حل می کند.
• برخی خانواده ها به هایپروایزر حمله می کنند؛ نسخه لینوکسی آن ها مستقیما روی VMware ESXi اجرا می شود و فایل های ماشین های مجازی را یکجا رمز می کند.

نمونه معروف باج افزار چیست؟

چند خانواده شناخته شده و ضعفی که از آن استفاده کردند:

حمله باج افزار WannaCry چه بود؟

باج افزار WannaCry در ماه مه 2017 در مدت کوتاهی سیستم های زیادی را در کشورهای مختلف آلوده کرد. از اکسپلویتی به نام EternalBlue استفاده می کرد که آسیب پذیری SMBv1 ویندوز را هدف می گرفت؛ آسیب پذیری ای که مایکروسافت پیش از آن با وصله MS17-010 بسته بود. بیشترین آسیب را سازمان هایی دیدند که وصله را نصب نکرده بودند و پورت SMB را در شبکه باز گذاشته بودند. توصیه ای که از آن حمله ماند هنوز معتبر است: SMBv1 را غیرفعال کنید و وصله های امنیتی را طبق برنامه مشخص نصب کنید.

باج افزار چطور وارد شبکه شرکت می شود؟

در بررسی حادثه های باج افزاری، مسیر ورود معمولا یکی از این موارد است:

• RDP باز روی اینترنت، روی پورت 3389 یا پورت دیگری که فقط شماره اش عوض شده، با رمز ساده یا تکراری. ربات ها مدام این پورت ها را اسکن می کنند و رمز امتحان می کنند.
• فایروال یا VPN به روزرسانی نشده در لبه شبکه، که مهاجم با یک آسیب پذیری منتشر شده و بدون داشتن رمز از آن وارد می شود.
• ایمیل فیشینگ با پیوست ماکرودار، فایل فشرده رمزدار یا لینک دانلودی که یک بدافزار اولیه نصب می کند و بعد مهاجم کنترل را به دست می گیرد.
• نرم افزار کرک شده، که در دفاتر و شرکت های کوچک مسیر رایجی است چون کاربر خودش فایل آلوده را با دسترسی ادمین اجرا می کند.
• رمز لو رفته و تکراری، یعنی رمزی که در یک سرویس دیگر نشت کرده و همان را برای VPN یا ایمیل سازمانی هم استفاده کرده اید.

مهاجم بعد از ورود معمولا عجله ای ندارد. دسترسی اش را بالا می برد، ادمین دامین را پیدا می کند، بکاپ ها را شناسایی و پاک می کند و شدو کپی های ویندوز را حذف می کند. آخر کار، در ساعتی که کسی سر کار نیست، رمزگذاری را روی همه سرورها اجرا می کند.

نشانه های حمله باج افزاری در جریان

• ورود موفق با حساب ادمین در ساعت های غیرعادی یا از آدرس IP ناآشنا
• غیرفعال شدن ناگهانی آنتی ویروس یا EDR روی چند سیستم
• اجرای دستورهایی مثل vssadmin delete shadows یا wbadmin delete catalog در لاگ ها
• ترافیک خروجی زیاد و غیرعادی از فایل سرور به سمت اینترنت
• تغییر ناگهانی پسوند فایل ها روی یک پوشه اشتراکی

در حمله باج افزاری چه کاری هرگز نباید انجام داد؟

بیشتر اشتباه هایی که می بینیم مال ساعت های اول بعد از کشف حمله است. این کارها را نکنید:

1. سیستم ها را بی برنامه خاموش نکنید. اول سیستم آلوده را از شبکه جدا کنید (کابل را بکشید، وای فای را قطع کنید یا پورت را روی سوئیچ ببندید). خاموش کردن، اطلاعات داخل حافظه را که برای بررسی لازم است از بین می برد؛ فقط وقتی سراغش بروید که جدا کردن از شبکه ممکن نباشد.
2. فایل های رمز شده و یادداشت باج را پاک نکنید. برای شناسایی خانواده باج افزار و امکان رمزگشایی در آینده به آن ها نیاز دارید.
3. بکاپ را فورا به شبکه آلوده وصل نکنید. تا وقتی مسیر نفوذ بسته نشده، هارد بکاپ یا NAS سالم را دور از شبکه نگه دارید، وگرنه ممکن است آن هم رمز شود.
4. سیستم ها را قبل از جمع آوری شواهد فرمت نکنید. بدون لاگ و ایمیج، نمی دانید مهاجم از کجا آمده و بعد از بازسازی دوباره از همان راه برمی گردد.
5. رمزگشای ناشناس دانلود نکنید. ابزارهایی که در سایت ها و کانال های نامعتبر با عنوان «رمزگشای رایگان» پخش می شوند، گاهی خودشان بدافزارند یا فایل ها را برای همیشه خراب می کنند.
6. با ایمیل و حساب های سازمانی درباره حادثه صحبت نکنید. مهاجم ممکن است هنوز به آن ها دسترسی داشته باشد؛ برای هماهنگی از تلفن یا یک کانال جدا استفاده کنید.
7. بدون مشورت با مهاجم تماس نگیرید و باج پرداخت نکنید. با پرداخت هم معلوم نیست کلید سالم بگیرید. ممکن است داده ها با وجود پرداخت منتشر شوند، و سازمانی که یک بار پرداخته هدف حمله دوباره می شود.

بعد از حمله باج افزار: قدم های اول

1. سیستم های آلوده را از شبکه جدا کنید و ارتباط اینترنت سرورها را در فایروال محدود کنید.
2. دامنه آلودگی را مشخص کنید: کدام سرورها، کدام پوشه ها، آیا بکاپ ها سالم اند؟
3. از سیستم های اصلی ایمیج و از لاگ ها (Event Log، لاگ فایروال، VPN) کپی بگیرید.
4. یک نمونه فایل رمز شده و یادداشت باج را برای شناسایی خانواده باج افزار نگه دارید.
5. مسیر نفوذ را پیدا و مسدود کنید و حساب های ادمین را از سیستم سالم بازنشانی کنید.
6. بکاپ ها را قبل از ریستور بررسی کنید که آلوده یا رمز شده نباشند، بعد بازیابی را از سرویس هایی شروع کنید که کار شرکت بیش از همه به آن ها بند است.

جزئیات این مراحل و ترتیب کار در صفحه بازیابی از باج افزار آمده است.

آیا فایل های رمز شده با باج افزار قابل بازگشت هستند؟

بستگی دارد به اینکه با کدام خانواده باج افزار طرف هستید و بکاپ در چه وضعی است. برای بعضی خانواده های قدیمی یا باج افزارهایی که در رمزنگاری اشتباه داشته اند، ابزار رمزگشایی رسمی منتشر شده است. پروژه No More Ransom که با همکاری پلیس اروپا و شرکت های امنیتی راه اندازی شده، فهرستی از این ابزارها دارد. سرویس ID Ransomware هم با گرفتن یادداشت باج یا یک فایل نمونه، خانواده باج افزار را تشخیص می دهد.

برای باج افزارهای جدید و فعال، معمولا رمزگشای عمومی وجود ندارد. آن وقت راه اصلی بازگشت، بکاپ سالمی است که از دسترس مهاجم بیرون بوده باشد. کسی که بدون دیدن نمونه فایل قول بازگشت صددرصد بدهد، درست قضاوت نکرده است.

سریع ترین راه برگشت بعد از حمله، بکاپی است که مهاجم نتواند به آن دست بزند. ساخت repository غیرقابل تغییر در بکاپ گیری با Veeam و نوشتن طرح بازیابی در Disaster Recovery چیست آمده است.

پیشگیری از باج افزار: چک لیست عملی

چند بررسی سریع روی ویندوز سرور که همین حالا می توانید انجام دهید:

# آیا SMBv1 هنوز فعال است؟
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol

# غیرفعال کردن SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# آیا سرویسی روی پورت RDP گوش می دهد؟
Get-NetTCPConnection -LocalPort 3389 -State Listen

# وضعیت محافظت Microsoft Defender
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled

بکاپ درست مهم ترین لایه دفاع است

اگر از این فهرست فقط به یک کار می رسید، آن کار بکاپ باشد. بکاپی که روی همان سرور، روی یک پوشه اشتراکی یا روی NAS عضو دامین نگهداری می شود، در حمله باج افزاری معمولا همراه بقیه داده ها رمز می شود. نسخه آفلاین یا immutable و تست منظم ریستور تعیین می کند که حمله به چند روز توقف ختم شود یا به از دست رفتن کامل داده. برای طراحی چنین ساختاری صفحه بکاپ و بازیابی از فاجعه را ببینید.

نقش آنتی ویروس و محدودیت های آن در آنتی ویروس سرور توضیح داده شده است.

یکی از مسیرهای ورود باج افزار را در RDP چیست ببینید.

منابع و مستندات رسمی

• گزارش NIST درباره شناسایی و محافظت در برابر باج افزار (IR 8374)
• راهنمای NIST برای بازیابی از باج افزار و رخدادهای تخریب داده (SP 1800-26)
• مستندات Microsoft درباره باج افزار انسان محور

پیشگیری از نفوذ اولیه، مثل RDP باز و رمز ضعیف، با هاردنینگ سرور انجام می شود.

اگر همین حالا با فایل های رمز شده روبرو هستید، قبل از هر اقدامی سیستم ها را از شبکه جدا کنید و با تیم ما در بخش بازیابی باج افزار تماس بگیرید. اول وضعیت را با هم بررسی می کنیم و بعد درباره قدم بعدی تصمیم می گیریم. اگر هنوز اتفاقی نیفتاده، از همان صفحه می توانید درخواست بررسی آمادگی شبکه در برابر حمله باج افزار را ثبت کنید.

نحوه تهیه مقاله ها