هجوم برامج الفدية: ماذا تفعل خلال الساعة الأولى؟
قد يبدأ هجوم برامج الفدية برسالة بريد إلكتروني مشبوهة، أو حساب مخترق، أو ثغرة في أحد الأنظمة، ثم يتحول خلال وقت قصير إلى ملفات مشفرة وخوادم غير متاحة وتوقف في الأعمال.
عند ظهور رسالة فدية أو ملاحظة أن الملفات لم تعد تُفتح بصورة طبيعية، فإن أول القرارات التي تتخذها قد تؤثر بشكل كبير في حجم الضرر وفرص استعادة البيانات.
برامج الفدية أو Ransomware هي نوع من البرمجيات الخبيثة التي تمنع الوصول إلى الملفات أو الأنظمة، وغالبًا عن طريق تشفير البيانات ثم مطالبة الضحية بدفع مبلغ مالي مقابل استعادة الوصول إليها.
إذا تعرض جهازك أو شركتك لهجوم برامج فدية، فهذه أهم الخطوات التي ينبغي اتخاذها.
1. اعزل الجهاز المصاب عن الشبكة فورًا
أول هدف بعد اكتشاف الإصابة هو منع برنامج الفدية من الانتشار إلى أجهزة وخوادم أخرى.
افصل الجهاز المصاب عن شبكة الإنترنت والشبكة الداخلية، سواء كانت سلكية أو لاسلكية، وتجنب توصيل أقراص خارجية أو وحدات تخزين إضافية به.
إذا كانت الإصابة داخل شركة وتؤثر في عدة أجهزة أو خوادم، فيجب تنفيذ عملية العزل بصورة منظمة حتى لا ينتشر الهجوم إلى باقي الأنظمة.
2. لا تحذف الملفات المشفرة ولا تقم بتهيئة القرص
من أكثر الأخطاء التي قد تحدث بعد هجوم Ransomware محاولة تنظيف الجهاز بسرعة، أو حذف الملفات المشفرة، أو إعادة تثبيت نظام التشغيل.
وجود ملفات مشفرة لا يعني بالضرورة أن البيانات فُقدت نهائيًا.
في بعض الحالات قد توجد نسخة احتياطية سليمة، أو أداة مناسبة لفك التشفير، أو إمكانية لاستعادة جزء من البيانات باستخدام تقنيات متخصصة.
لذلك من الأفضل الحفاظ على الجهاز والملفات بحالتها الحالية قدر الإمكان إلى أن يتم تقييم الحالة بشكل صحيح.
3. احتفظ برسالة الفدية ومعلومات الإصابة
لا تحذف رسالة الفدية مباشرة.
احتفظ بنسخة منها وسجل المعلومات المرتبطة بالهجوم، مثل:
- امتداد الملفات المشفرة.
- اسم رسالة الفدية.
- أي بريد إلكتروني يظهر داخل الرسالة.
- معرف الضحية إن وجد.
- أسماء الملفات الجديدة التي أنشأها برنامج الفدية.
هذه التفاصيل قد تساعد المختصين على تحديد نوع برنامج الفدية ومعرفة خيارات فك التشفير أو الاستعادة المتاحة.
4. احمِ النسخ الاحتياطية
إذا كنت تمتلك نسخًا احتياطية، فلا تتسرع في توصيلها بالجهاز المصاب.
يجب أولًا التأكد من احتواء الهجوم وعدم قدرة برنامج الفدية على الوصول إلى أنظمة النسخ الاحتياطي.
بعض هجمات برامج الفدية تحاول الوصول إلى النسخ الاحتياطية المتصلة بالشبكة وحذفها أو تشفيرها قبل أن تتمكن المؤسسة من استخدامها في عملية الاستعادة.
لهذا السبب، تعد النسخ الاحتياطية المعزولة عن بيئة العمل من أهم وسائل الحماية من فقدان البيانات.
5. حدد الأنظمة والبيانات الأكثر أهمية
في بيئة الشركات، من المهم تحديد الأنظمة التي يجب استعادتها أولًا.
قد تشمل الأولويات:
- قواعد بيانات العملاء.
- خوادم الملفات.
- أنظمة المحاسبة.
- أنظمة الموارد البشرية.
- خوادم التطبيقات.
- أجهزة التخزين NAS.
- أنظمة RAID.
- أنظمة SAN.
- البيئات الافتراضية.
- النسخ الاحتياطية.
تحديد الأولويات يساعد على إعادة الأنظمة الأكثر أهمية إلى العمل وتقليل مدة توقف الأعمال.
6. لا تجعل دفع الفدية خيارك الأول
قد يبدو دفع الفدية أسرع طريقة لاستعادة البيانات، لكنه لا يقدم أي ضمان حقيقي.
قد يتم دفع المبلغ ولا يحصل الضحية على مفتاح فك التشفير، أو قد يعمل المفتاح على جزء من الملفات فقط، أو تكون بعض البيانات قد تضررت مسبقًا.
قبل التفكير في دفع الفدية، يجب تقييم الحالة ومعرفة:
- هل توجد نسخة احتياطية سليمة؟
- هل توجد أداة لفك تشفير هذا النوع من Ransomware؟
- هل يمكن استعادة البيانات بطرق أخرى؟
- هل يمكن استعادة جزء من البيانات من وسائط التخزين؟
التقييم الفني هو الخطوة التي تحدد الخيارات الفعلية المتاحة.
7. هل يمكن استعادة الملفات بعد هجوم Ransomware؟
الإجابة تختلف من حالة إلى أخرى.
تعتمد إمكانية استعادة البيانات على عدة عوامل، من بينها نوع برنامج الفدية، وطريقة التشفير المستخدمة، وحالة القرص أو نظام التخزين، ومدى توفر نسخ احتياطية سليمة.
في بعض الحالات قد تتوفر أدوات أو مفاتيح لفك التشفير.
وفي حالات أخرى قد تكون هناك إمكانية لاستعادة جزء من البيانات باستخدام تقنيات متخصصة حتى في حال عدم توفر مفتاح مباشر لفك التشفير.
لذلك لا يمكن تحديد نسبة الاستعادة بدقة قبل فحص الحالة.
8. تجنب استخدام برامج استعادة عشوائية
بعد الإصابة ببرنامج فدية، قد يبحث المستخدم عن برامج مجانية لاستعادة الملفات ويبدأ بتجربة عدة أدوات على نفس القرص.
هذه الخطوة قد تجعل عملية الاستعادة أكثر صعوبة.
أي عملية كتابة جديدة على القرص يمكن أن تؤثر في البيانات الموجودة عليه، لذلك عندما تكون الملفات مهمة يفضل عدم إجراء تجارب غير مدروسة.
9. ماذا تفعل بعد استعادة البيانات؟
استعادة الملفات ليست نهاية المشكلة.
بعد الانتهاء من عملية الاستعادة يجب معرفة كيفية حدوث الاختراق ومعالجة السبب حتى لا يتكرر الهجوم.
ومن أهم الإجراءات:
- تحديث أنظمة التشغيل والبرامج.
- معالجة الثغرات الأمنية.
- استخدام كلمات مرور قوية.
- تفعيل المصادقة متعددة العوامل.
- مراجعة صلاحيات المستخدمين.
- الاحتفاظ بنسخ احتياطية منتظمة.
- إبقاء نسخة احتياطية منفصلة عن الشبكة.
- تدريب الموظفين على رسائل التصيد الإلكتروني.
- إعداد خطة واضحة للاستجابة للحوادث.
تعرضت بياناتك للتشفير؟ لا تقم بتجارب عشوائية
إذا كانت البيانات مهمة بالنسبة لك أو لشركتك، فمن الأفضل الحفاظ على الأجهزة ووسائط التخزين بحالتها الحالية قبل إجراء محاولات متعددة للاستعادة.
يقدم فريق أصول لاستعادة البيانات خدمات متخصصة لتقييم حالات برامج الفدية، والتحقق من خيارات فك التشفير، ومحاولة استعادة البيانات من الأقراص والخوادم وأنظمة التخزين المختلفة وفقًا لطبيعة كل حالة.
إذا تعرضت ملفاتك أو أنظمة شركتك لهجوم برامج فدية، يمكنك التواصل مع فريق أصول لإجراء تقييم للحالة وتحديد أفضل خيار ممكن لاستعادة البيانات.