ما هو فيروس دفع الفِدية Ransomware؟ كيفية إزالته؟ أنواع برمجيات رانسوم وير؟!
هل تسائلت من قبل عن ماهية فيروس الفدية المنتشر حديثًا؟ هل سمعت من قبل عبارة Ransomware من أصدقائك في المكتب أو في الأخبار، أو حتى ربما تكون لاحظت نافذة منبثقة أثناء تصفحك للإنترنت تحذرك أنك الكمبيوتر الخاص بك ربما يكون أصيب بفيروس الفدية؟ حسنًا، إذا كنت فضولي وتريد أن تعرف كل ما يُمكنك حول فيروسات الفدية رانسوم وير أو تشفير ملفاتك، ثم فك هذا التشفير مقابل دفع مبلغ من المال غير قابل للتتبع، أنت إذًا في المكان الصحيح. سنتحدّث بالأسفل عن الأشكال المختلفة لفيروس الفدية، كيف تمت إصابتك به، من أين يأتي، من يستهدف، بالإضافة إلى كيفية حماية نفسك منه في المستقبل.
ما هو فيروس الفدية (Ransomware)
برمجيات دفع الفدية الخبيثة أو Ransom malware هي نوع مختلف من البرمجيات الخبيثة التي تحدثنا عنها من قبل والتي وظيفتها هي منع المستخدم من الولوج إلى النظام أو حتى الملفات الشخصية بمختلف أنواعها، وتطلب منك دفع مبلغ من المال وذلك حتى تستطيع استخدام ملفاتك مرة أخرى. فيروسات الفدية ليست جديدة كما يعتقد البعض، ولكنها في الواقع قد تم تصميمها منذ عام 1980، وكانت عملية الدفع آن ذاك تتم من خلال منصة Snail Mail. أما اليوم، ومع تطور الأشياء، الفيروسات أيضًا تتطور بالطبع وأصبح مبرمجي فيروسات الفدية يطالبون بدفع المبالغ بواسطة كروت الائتمان أو العملات الافتراضية الغير قابلة للتتبع مثل البيتكوين.
كيف تمت إصابتي بفيروس دفع الفدية (رانسوم-وير)
هناك عِدة طرق يتمكن من خلالها فيروس الفدية إصابة جهازك المكتبي أو حتى هاتفك الذكي. وواحدة من أكثر الطرق الشائعة اليوم هو طرق السبام (Spam) أو ما تُعرف أيضًا باسم Malspam، والتي تقوم بإرسال بعض البرمجيات الخبيثة إليك عبر البريد الإلكتروني. البريد ربما يحتوي على بعض المرفقات المصابة مثل ملفات PDF على سبيل المثال، أو حتى ملفات Word الكتابية. وربما تحتوي الرسالة كذلك على روابط خبيثة تحتوي على هذه البرمجيات المصابة بفيروس الفدية.
أما Malspam من الجهة الأخرى فيقوم باستخدام الهندسة الاجتماعية حتى يستطيع تتبع الشخص المستهدف لفتح الملفات المرفقة أو حتى النقر على الروابط بداخل الرسالة وذلك بواسطة أن تبدو الرسالة أنها من مصدر موثوق مثل صديق لك أو حتى مؤسسة تتعامل أنت معها باستمرار مثل البنك أو مكان عملك. لصوص الإنترنت أو مبرمجي هذه الفيروسات يستخدمون الهندسة الاجتماعية في أنواع أخرى أيضًا من هجمات رانسوم وير مثل إظهار رسالة كأنها من البوليس المحلي في بلدك أو FPI في الولايات المتحدة وذلك حتى يستطيعوا إخافة المستخدم وإجباره على دفع مبلغ من المال لإعادة فتح الملفات الخاصة به.
طريقة إصابة أخرى بفيروس الفدية أصبحت شائعة في الفترة الأخيرة والتي ظهرت للمرة الأولى بعام 2016 وهي إظهار بعض الإعلانات التي تحذرك من وجود Ransomware على الجهاز التي تتصفح الإنترنت من خلاله الآن وتعرف بإسم Malvertising. أثناء تصفحك للإنترنت بالشكل المعتاد حتى إذا كانت بعض المواقع الموثوقة، تفاجئ أن الصفحة قد تم إعادة توجيهها إلى صفحة أخرى خاصة بخوادم فيروس الفدية بدون حتى أن تنقر على أي روابط أو إعلانات. هذه الخوادم من شأنها بعد ذلك أن تقوم بتحميل بعض الملفات الخبيثة رغمًا عنك، كما أنها بدون حتى تحميل أي ملفات تستطيع جميع الكثير من المعلومات عنك مثل مكانك الحالي ومحتويات الكمبيوتر الخاص بك.
فيروسات Malvertising غالبًا ما تستخدم إعلان من نوع iFrame مصاب (نافذة إضافية يكون بداخلها موقع مختلف عن الذي تتصفحه)، أو حتى صفحة إنترنت مخفية (مثل الصفحات المنبثقة عند تصفحك لمواقع تحميل الأفلام)، ويقوم بإعادة توجيهك بعد ذلك لتلك الصفحة التي تحتوي على فيروسات رانسوم وير، ثم يقوم بعد ذلك كود خبيث عبر هذه الصفحة بمهاجمة ملفات النظام الخاص بك. كل هذه الأشياء تحدث في عِدة ثواني بدون علم المستخدم.
أنواع فيروسات رانسوم وير (فيروس الفدية)
فيروسات Scareware – احذر! تم اكتشاف فيروسات
فيروسات الفدية من نوع Scareware ليست في الواقع مخيفة كما يبدو الاسم، وإنما تتضمن بعض تطبيقات الحماية الزائفة وكذلك دعم الخصوصية الذي يستطيع سرقة بياناتك. في وقتٍ ما، ربما تتذكر أنك رأيت رسالة منبثقة “تدّعي” بأن هناك بعض البرمجيات الخبيثة أو الفيروسات التي تم اكتشافها على الكمبيوتر أو الهاتف وأن الطريقة الوحيدة للتخلص من هذه الفيروسات هي شراء الأداة الخاصة بهم وتشغيلها لإزالة هذه البرمجيات. إذا لم تفعل أي شيء، غالبًا ما تستمر هذه الإعلانات المنبثقة في الظهور، ولكن ملفاتك الخاصة مع ذلك آمنة تمامًا.
برامج مكافحة الفيروسات الموثوقة والرسمية لن تظهر للمستخدمين بهذا الشكل المخزي والغير احترافي على الإطلاق، وإذا قمت بالرضوخ أخيرًا وقمت بتحميل هذه الأدوات للتخلص من الإعلانات مثلا، في هذه المرحلة أنت عرضة لإصابتك ببرمجيات رانسوم وير كون أنك منحت لهم ما يريدوه وهو وجودهم بداخل النظام في المقام الأول. أما من جهة أخرى، في حالة أنك قمت بشراء مكافح للفيروسات بالفعل، لن تضطر إذا إلى فعل ذلك مرة أخرى لأنه على الأرجح يؤدي وظيفته بامتياز بجانب أنك غالبًا لن ترى مثل هذه الإشعارات أبدًا.
فيروسات Screen Lock (شاشة القفل)
حسنًا، هذه المرة الوضع أصبح جادًا ومرعب بخلاف فيروسات Screware السابقة. عندما تتم إصابتك بفيروس Screen-lock على الكمبيوتر، مما يعني أن كل شيء قد تجمّد أثناء محاولة دخولك الأولى على الكمبيوتر وتم منعك من الولوج لسطح المكتب. بمجرد أن تقوم بتشغيل الكمبيوتر، وقبل الدخول إلى سطح المكتب، ستفاجئ بظهور نافذة بالحجم الكامل، وغالبًا ما ستكون شبيهة بالمؤسسات الرسمية الأمنية في بلدك مثل شرطة الإنترنت أو وزارة العدل على سبيل المثال مع رسالة تقول أن هناك بعض النشاطات الغير قانونية التي تم تنفيذها على هذا الكمبيوتر ولابد من دفع بعض الأموال حتى تستطيع الدخول لسطح المكتب مرة أخرى.
فيروسات تشفير الملفات
هنا بدأت مرحلة الخطر الفعلي، وذلك بخلاف جميع الأنواع السابقة. هؤلاء هم الأشخاص الذين يقومون فعليًا بتشفير ملفاتك وهنا ليست مجرد تهديدات جوفاء، وبمجرد وصولهم لجهازك المكتبي او هاتفك الذكي يقومون فورًا بتشفير كافة ملفاتك الشخصية ثم يطلبون منك دفع بعض الأموال حتى يقوموا بإعادتها مرة أخرى.
والسبب في أن هذا النوع من فيروسات رانسوم وير هو الأخطر لأنه بمجرد وصول مبرمجيه إلى ملفاتك، لا يوجد أي طريقة معروفة أو برامج لمكافحة الفيروسات أو حتى أدوات لإزالة البرمجيات الخبيثة قادرة على فك تشفير هذه الملفات مرة أخرى. وتستطيع استرجاع ملفاتك هنا فقط في حالة أنك قمت بالدفع لقاء فك التشفير من جهتهم. ولكن الشيء السيء أنك حتى إذا قررت أن تدفع لهم ما يريدوه، لا يوجد أي ضمانات على الإطلاق أنك ستستطيع استرجاع ملفاتك مرة أخرى. نعم، أعتقد أنه لا يوجد أخلاق بين اللصوص!
تاريخ فيروسات دفع الفِدية مقابل فك التشفير
أول فيروس رانسوم وير على الإطلاق كان يُعرف باسم PC Cyborg أو AIDS، وكان من نوع تروجان والذي تم إنشائه في ثمانينيات القرن الماضي. فيروس PC Cyborg كان يقوم بتشفير كافة الملفات في قسم النظام :C وذلك تحديدًا بعد عمل 90 إعادة تشغيل، ثم بعد ذلك يطلب من الضحية دفع مبلغ 189 دولار بواسطة البريد لمطوري البرمجية الخبيثة. طريقة تشفير هذا الفيروس كانت بدائية بشكل كافي ليستطيع المستخدم عكسها، لذلك كانت غير خطيرة آن ذاك خصوصًا إذا كانت لديك أقل معرفة عن اللغات البرمجية.
وبعد ذلك، هناك عِدة إصدارات ظهرت من فيروسات دفع الفدية على مدى 10 سنوات، ولكن مع ذلك لم تظهر خطورته فعليًا حتى بدايات عام 2004 عندما ظهر فيروس GpCode والذي كان يقوم بتشفير الملفات بطريقة RSA encryption.
ثم بعام 2007، ظهر فيروس WinLock والذي كان يعتبر نوعًا جديدًا من هذا النوع من الفيروسات والذي كان بدلًا من تشفير كافة ملفاتك، كان يمنعك من الوصول أساسًا إلى سطح المكتب. فيروس وين-لوك كان يستولي تمامًا على شاشة القفل الخاصة بالضحية ثم يظهر له بعض الصور أو المشاهد الإباحية رغمًا عنك، ثم يطلب منك دفع بعض المبالغ من خلال الرسائل النصية القصيرة لإزالتها.
وبعد تطور هذا النوع من برمجيات دفع الفدية الخبيثة، في عام 2012 ظهر نوع جديد منه، وهو فيروسات law enforcement ransomware أو تطبيق القانون مقابل دفع الأموال. الضحايا مع هذا النوع من البرمجيات لا يستطيعون الدخول إلى سطح المكتب أيضًا مع ظهور تصميم شبيه بالتصميمات الرسمية على شاشة القفل لمؤسسات حكومية معروفة مثل وزارة الداخلية على سبيل المثال أو حتى البوليس الدولي. الفيروس هنا يدّعي أن الضحية قد قام بارتكاب جريمةٍ ما مثل قرصنة الكمبيوتر، أو تحميل بعض الملفات بشكل غير شرعي، أو حتى أنه قد تورّط في بعض الجرائم الجنسية للأطفال أو ما يُعرف باسم child pornography. معظم أنواع فيروسات تطبيق القانون تتطلب أن تقوم بدفع مبالغ تبدأ من 100 دولار وقد تصل إلى 3,000 دولار وذلك باستخدام كروت الائتمان مُسبقة الدفع.
وأخيرًا، في عام 2013، ظهر مرة أخرى إصدار مطور من فيروس CryptoLocker والخاص بتشفير ملفاتك الشخصية مقابل دفع مبلغ من المال لفك هذا التشفير مرة أخرى، ولكن هذا الإصدار كان الأكثر خطورة، على الإطلاق! فيروس كريبتو-لوكر في الواقع كان يستخدم نظام تشفير منيع، والمفتاح اللازم لفك هذا التشفير يتم تخزينه على خوادم أخرى يتحكمون بها عن بعد، مما يعني أنه من المستحيل أن يستطيع الضحية استرجاع هذه الملفات بدون دفع المبلغ الذي يريدونه، أيًا كان الرقم! هذا النوع من برمجية رانسوم وير الخبيثة هو الذي ما زال يتم استخدامه حتى الآن وذلك لأنه أثبت كفاءة وفعّالية منقطعة النظير لجمع الأموال من الضحايا، بالنسبةِ إلى اللصوص بالطبع.
فيروسات دفع الفِدية بأنظمة macOS
حسنًا، أعتقد أنك ربما تعترض على هذه الفقرة من مقالنا اليوم. ولكني هنا قارئنا العزيز لأخبرك أنه لا يوجد نظام منيع، ولا يوجد أحدهم بمأمن من فيروسات Ransomware الخبيثة! فيروسات دفع الفدية الخاصة بأنظمة آبل ماكنتوش قد ظهرت للمرة الأولى في عام 2016، وجاء وقتها باسم فيروس KeRanger.
برمجية رانسوم وير في ذلك الوقت قامت بمهاجمة تطبيق Transmission والذي كان يحتوي على العديد من البرمجيات الخبيثة المختلفة والتي كانت تعمل بهدوء في الخلفية بدون عِلم المستخدم وذلك لثلاثة أيام قبل أن يقوموا بتشفير كافة ملفات جهازك الذكي من آبل سواء كان هاتف أو كمبيوتر، ثم طلب دفع 1 بتكوين (التي كانت تساوي أكثر من 400 دولار في ذلك الوقت).
فيروسات رانسوم وير على الهواتف الذكية
كانت فيروسات دفع الفدية الخاصة الهواتف الذكية، خصوصًا هواتف اندرويد ليست لها وجود حتى ظهر فيروس CryptoLocker الشهير ببنتيه الجديدة والأنواع الشبيهة التي كانت تتبع نفس النهج بدءًا من عام 2014. في الواقع أن فيروسات Ransomware للهاتف كانت تقوم بإظهار رسالة أن الهاتف قد تم قفله بسبب نوع من أنواع التصرفات المخالفة للقانون من قِبلك، وكانت هذه الرسالة تفيد أيضًا أن الهاتف سيتم فتحه مرة أخرى بعد دفع مبلغ معين من المال.
برمجيات رانسوم وير كانت تصيب الهواتف غالبًا بواسطة التطبيقات التي تحتوي عليها من خارج المتجر، أو من مصادر غير موثوقة. وفي حالة إصابة هاتفك بها، ستحتاج إذًا إلى إعادة تشغيل الهاتف بداخل الوضع الآمن حتى تستطيع إزالتها ثم تقوم باسترجاع هاتفك مرة أخرى.
تمت إصابتي بفيروس Ransomware، ماذا أفعل؟!
حسنًا، أستطيع الإحساس بمدى توتّرك وخوفك في هذه اللحظة تحديدًا. ولكن القاعدة الأولى التي يجب إتباعها هنا هي عدم الدفع أبدًا لهؤلاء اللصوص! وذلك لأنك إذا دفعت هذه المبالغ وغيرك من الضحايا فعلوا ذلك أيضًا، سيكون هذا أكبر تشجيع لهم على تطوير هذه البرمجيات وحتى إصابتك أنت بها مرة أخرى. ورغم ذلك، ربما يُمكنك استرجاع بعض ملفاتك المشفرة مرة أخرى بواسطة استخدام بعض أدوات فك التشفير المجانية.
لنكن واضحين، ليس هناك أدوات لفك تشفير لجميع فيروسات رانسوم وير المتواجدة في الوقت الحالي، وذلك في العديد من الأحيان بسبب أنظمة التشفير المتقدمة للغاية والتي غالبًا ما تكون مختلفة كليًا عن الفيروسات الأخرى. بالإضافة إلى، حتى إذا نجحت في إيجاد أداة فك التشفير المناسبة للفيروس الحالي، لن يكون من الواضح أبدًا أن إصدار الأداة متوافق مع إصدار البرمجية التي تتعامل معها أم لا. وبالتالي، أعتقد أنك لا تريد زيادة الطين بلّة من خلال استخدام الأداة الخاطئة. لذلك، أنت غالبًا ما ستحتاج لقراءة رسالة الفيروس بعناية، أو ربما تبحث عن مساعدة من متخصص أمني في هذه الأمور.
طرق أخرى للتعامل مع برمجيات دفع الفدية وهي تحميل مكافح فيروسات موثوق وقوي معروف بتصدّيه لمثل هذه الأنواع من الفيروسات لعمل Scan ثم التخلص من أي تهديدات. مع هذا الحل ربما لن تستطيع استرجاع ملفاتك المشفرة مرة أخرى، ولكنك مع ذلك ستكون متأكد من عدم وجود أي برمجيات خبيثة مرة أخرى. أما بالنسبةِ لفيروس Screen-locker أو فيروس شاشة القفل، أعتقد أن عملية استرجاع النظام مرة أخرى ستكون كافية.
وفي حالة أنك ما زالت لم تستطيع التخلص من الفيروس، الحل هنا سيكون في استخدام أسطوانة مكافحات للفيروسات تعمل قبل الإقلاع أو ما تعرف باسم Rescue CD.
وفي حالة أنك تريد أن تحاول التصدّي لفيروس الفدية الذي تواجهه بواسطة أداةٍ ما لفك تشفير ملفاتك، ستحتاج إلى أن تكون يقِظ. ومن جهة أخرى، إذا لاحظت أن حاسوبك أو هاتفك أصبح بطيئًا أكثر من المعتاد من دون سبب. قم بإغلاقه على الفور ثم قم بفصل اتصال الإنترنت بسرعة قدر الإمكان. وعندما تقوم بتشغيل الكمبيوتر مرة أخرى، وفي حالة أن البرمجية الخبيثة ما زالت نشِطة، في هذه الحالة لن تستطيع إرسال أو استقبال أي بيانات من الخوادم الخاصة بمبرمجيها. مما يعني أنه بدون اتصال الفيروس المعتاد بهذه الخوادم لتشفير الملفات ثم إظهار رسالة دفع الأموال، الفيروس ربما يبقى خاملًا. لذلك في هذه الحالة، قم بتحميل وتثبيت أي من برامج مكافحة الفيروسات (انتي فيروس) وقم بعمل Scan كامل.
كيف يُمكنني حماية نفسي من برمجيات دفع الفِدية الخبيثة؟
بينما هناك بعض الطرق التي تستطيع من خلالها التعامل مع إصابة جهازك بالبرمجيات الخبيثة عمومًا، إلا أنها غالبًا ما تتطلب بعض الخبرات التقنية والمهارات الإضافية للتعامل معها أكثر من المستخدم العادي. لذلك، إليك ما ننصحك به لعدم الوقوع ضحية لفيروسات دفع الفدية في المستقبل.
الخطوة الأولى في الوقاية من برمجيات رانسوم وير الخبيثة أو برمجيات مالوير عمومًا هي من خلال استثمار بعض الأموال في برنامج موثوق وشهير مع حماية من البرمجيات الخبيثة في الوقت الحقيقي وذلك لحمايتك من البرمجيات الخبيثة المتطورة مثل فيروسات دفع الفدية التي نتحدث عنها اليوم. يجب عليك أيضًا أن تبحث عن الأدوات التي تهتم بإيجاد ثغرات البرامج التي تستخدمها بشكل اليومي والقابلة للاختراق من فيروسات خارجية أو تلك الأدوات التي تُسمى (anti-exploit) بالإضافة إلى إمكانية منع احتجاز الملفات بواسطة فيروسات رانسوم وير.
وبعد ذلك، وبقدر أن تكون هذه العملية مزعجة بالنسبةِ إليك، ستحتاج إلى إنشاء نسخ احتياطية من جميع ملفاتك الشخصية وذلك بشكل دوري. نصيحتي إليك في هذا الأمر أن تقوم باستخدام الخدمات السحابية المفضلة إليك والتي غالبًا ما تحتوي على نظام تشفير متقدم للغاية وكذلك خطوتين او أو ثلاثة خطوات في بعض الأحيان لتأمين تسجيل دخولك لهذه الملفات. ورغم ذلك، أنت غير مضطر لرفع جميع ملفاتك لخدمات Cloud باختلاف أشكالها ويُمكنك بدلًا من ذلك شراء بعض أنواع الذواكر الخارجية مثل الفلاشات أو حتى هارد خارجي ذو سعة كبيرة والذي يُمكنك حفظ جميع محتويات الكمبيوتر عليه أولًا بأول. ولكنك بالطبع ستحتاج للتأكد أن تقوم بفصل هذه الذواكر الخارجية من الكمبيوتر بمجرد نسخ ملفاتك إليها احتياطيًا لأنها قابلة للإصابة بالبرمجيات الخبيثة أيضًا.
وتاليًا، يجب أن تتأكد أيضًا أن يكون نظام التشغيل الحالي وكذلك كافة البرامج التي تستخدمها مُحدثة إلى إصدارها الأخير، مثل ويندوز 10 الذي تم تحديثه لنسخة 22H2 منذ عِدة أيام على سبيل المثال. فيروس WannaCry على سبيل المثال قد قام باستغلال تلك الثغرات الموجودة بإصدارات نظام مايكروسوفت ويندوز الغير محدثة. بينما قامت مايكروسوفت قبل ظهور برمجية WannaCry بشهرين كاملين في مارس 2017 بإطلاق ترقيع أمني لمعظم هذه الثغرات، ولكن للأسف لم ينتبه له أو لم يقوم بتثبيته معظم مستخدمين النظام مما قد سبب إصابتهم بالفيروس الفدية لاحقًا في مايو 2017.
نعم، أتفهم أنه ربما يكون من الصعب أن تحافظ على جميع أدواتك المستخدمة بشكل يومي مُحدثة للإصدار الأخير أولًا بأول، لذلك دائمًا ما ننصح بشِدة أن تقوم بتفعيل خيار تحديث النظام والأدوات الضرورية الداخلية بشكل تلقائي بدون تدخل منك. الوقاية من الاختراق الآن، خير من البكاء لاحقًا.