كل ما تود معرفته عن فيروس “واناكاري” الخبيث

وصف خبراء البرمجيات، وأمن المعلومات هجوم “واناكاري” الإلكتروني الأخير، بالوباء الإلكتروني الخبيث، نتيجة انتشاره السريع والهائل اسفر عنه اصابة أكثر من 75 ألف اختراق، ومن المؤكد أن الرقم الفعلي أكبر من هذا بكثير، حيث تعرض عدد كبير من المؤسسات الكبيرة مثل المستشفيات البريطانية لهجوم متزامن، أدى إلى تعليق أعمالها. باخترق الفيروس أكثر من 100 ألف جهاز كمبيوتر.

وجاءت روسيا في المرتبة الأولى من حيث تعرضها لهجمات الفيروس. كما عانت عدة دول مثل أوكرانيا والهند وتايوان من هذا الفيروس. وفي المجمل، بلغ عدد الدول المصابة بالفيروس 99 دولة، وكل ذلك في اليوم الأول فقط من الهجوم.

ما المقصود بفيروس “واناكاري” الخبيث؟

بوجه عام، يهاجم فيروس “واناكاري” الخبيث على مرحلتين: المرحلة الأولى يطلق عليها استغلال الثغرات ويهدف فيها إلى التسلل والانتشار، والمرحلة الثانية يطلق عليها التشفير ويحدث ذلك عن طريق برنامج تشفير يتم تنزيله إلى الكمبيوتر بعد إصابته بالفيروس.

وهذا هو الفرق الرئيسي بين فيروس “واناكاري” ومعظم برامج التشفير الأخرى. وليتمكن الفيروس من التسلل إلى جهاز كمبيوتر عبر برنامج تشفير مشترك، يجب أن يرتكب المستخدم خطاً مثل النقر على رابط مريب يسمح لبرنامج “الوورد” بتشغيل وحدة ماكرو خبيثة، أو تنزيل مرفق مريب من رسالة بريد إلكتروني. ويمكن أن تصاب النظم بفيروس “واناكاري” بدون القيام بأي خطأ.

فيروس “واناكاري”: استغلال الثغرات والانتشار

فقد استفاد مبتكرو فيروس “واناكاري” من ثغرة نظام” Windows” المعروفة باسم “EternalBlue”، واستغلوا نقطة ضعف عالجتها شركة مايكروسوفت في التحديثات الأمني “MS17-010″، بتاريخ 14 مارس من العام الحالي. ومن خلال استخدام هذه الثغرة، استطاع المخربون الوصول عن بُعد إلى أجهزة الكمبيوتر وتثبيت برنامج التشفير.

إذا قمت بتثبيت التحديث، ولم تعد نقطة الضعف موجودة في جهاز الكمبيوتر الخاص بك، فلن تجدي أي هجمات لاختراق الكمبيوتر عن بُعد نفعاً. ويود فريق الأبحاث والتحليل العالمي الخاص بشركة “Kaspersky Lab” فريق “GreAT” الإشارة على وجه خاص إلى أن معالجة نقطة الضعف وتصحيحها لن يردع بأي شكل من الأشكال برنامج التشفير عن العمل. من ثم إذا ساعدت بطريقة ما على تشغيل برنامج التشفير  فلن تجدي المعالجة والتصحيح نفعا.

وبعد اختراق فيروس “واناكاري” جهاز الكمبيوتر بنجاح، سيحاول الانتشار عبر الشبكة المحلية للوصول إلى أجهزة الكمبيوتر الأخرى، مثلما تفعل دودة الكمبيوتر. ثم يمسح برنامج التشفير أجهزة الكمبيوتر الأخرى بحثاً عن نقطة الضعف نفسها التي يمكن استغلالها بمساعدة ثغرة “EternalBlue”، وعندما يعثر فيروس  واناكاري على آلية ضعيفة، فإنه يهاجمها ويقوم بتشفير ملفات داخلها.

وقد تبيَّن أن فيروس”واناكاري” يستطيع الانتشار إلى الشبكة المحلية بكاملها وتشفير كل أجهزة الكمبيوتر الأخرى المتصلة بهذه الشبكة عند اختراقه كمبيوتر واحد؛ مما جعل الشركات الكبيرة أكثر من عانى من هجمات فيروس  واناكاري – فكلما زاد عدد أجهزة الكمبيوتر الأخرى في الشبكة المحلية زاد الضرر.

فيروس “واناكاري”: برنامج التشفير

ولما كان فيروس  واناكاري برنامج تشفير (يُطلق عليه بعضهم اسم تشفير “WCrypt”، أو برنامج فك التشفير “واناكاري” حتى ولو كان من الناحية المنطقية برنامج تشفير وليس برنامج فك تشفير ) فهو يعمل مثل برامج التشفير الأخرى؛ أي أنه يضع شفرة على الملفات الموجودة في أجهزة الكمبيوتر ثم يطلب فدية مقابل فك تشفيرها. وهو يعد إلى حد كبير صورة أخرى من برنامج التشفير الشهير “CryptXXX Trojan” السيئ السمعة.

يقوم فيروس”واناكاري” بتشفير ملفات مختلفة الأنواع (والقائمة الكاملة هنا) تشمل -بالطبع- المستندات المكتبية، والصور، ومقاطع الصوت، والملفات الأرشيفية، وتنسيقات الملفات الأخرى التي ربما تحتوي على بيانات شديدة الأهمية للمستخدم. ويتم إعادة تسمية امتدادات الملفات المشفرة إلى “WCRY” (أي اسم برنامج التشفير) ثم تصبح الملفات غير قابلة للوصول على الإطلاق.

بعد ذلك، يُغيِّر برنامج التشفير “Trojan” خلفية سطح المكتب إلى صورة تحتوي على معلومات عن العدوى والإجراءات التي يجب على المستخدم فعلها لاستعادة الملفات. وينشر فيروس”واناكاري” إشعارات في شكل ملفات نصية تحتوي على المعلومات نفسها في كل المجلدات في الكمبيوتر حتى يضمن تسلُّم المستخدم للرسالة.

وكالعادة، تنتهي كل هذه الأمور إلى تحويل مبلغ معين بعملة البيتكوين إلى محفظة الأشرار. وبعد ذلك ربما يفكون التشفير من كل الملفات. في البداية، طلب المجرمون السيبرانيون 300 دولار أمريكي ثم قرروا زيادة السعر؛ حيث طلب آخر إصدارات من فيروس “واناكاري” فدية تبلغ 600 دولار أمريكي.

كما يهدد المخربون المستخدم بأن الفدية ستزداد بعد 3 أيام، وسيكون من المستحيل فك شفرة الملفات بعد 7 أيام. 

لماذا لم ينتهِ هذا الوباء بعد؟

ومن المثير للاهتمام أن هناك باحثا يحمل اسم” Malwaretech” استطاع إيقاف انتشار العدوى مؤقتا عن طريق تسجيل مجال اسمه طويل وبلا معنى على الإطلاق عبر الإنترنت.

فقد تبيَّن أن بعض إصدارات فيروس “واناكاري” راسلت هذا المجال نفسه، وعند عدم تسلُّمها ردا إيجابيا تقوم بتثبيت برنامج التشفير وتبدأ أعمالها القذرة. أما إذا كان هناك رد (أي تم تسجيل المجال) فيوقف البرنامج الخبيث كل أنشطته.

وبعد العثور على مرجع هذا المجال في رمز برنامج التشفير “Trojan”، سجَّل الباحث المجال مما أدى إلى توقف الهجوم مؤقتا. وعلى مدار الفترة المتبقية من اليوم، تمت مراسلة هذا المجال عشرات الآلاف من المرات مما يعني إنقاذ عشرات الآلاف من أجهزة الكمبيوتر من التعرض للعدوى.

هناك نظرية ترى أن هذه الوظيفة المبنية في فيروس “واناكاري” تعمل وكأنها “قاطع دائرة” في حال حدوث خطأ ما، وترى نظرية أخرى يساندها الباحث نفسه أن هذه إحدى الطرق المستخدمة لتعقيد تحليل سلوك البرنامج الخبيث. في بيئات الاختبار المستخدمة في البحث، غالباً ما كان يُرسل الرد الإيجابي عن عمد من أي مجال، وكان برنامج التشفير Trojann -في هذه الحالة- لا يفعل أي شيء في بيئة الاختبار.

ولكن للأسف، يكفي للأشرار تغيير اسم المجال المشار إليه سابقاً بوصفه “قاطع دائرة” في الإصدارات الجديدة من برنامج التشفير “Trojan” حتى يستأنف الفيروس هجومه. لذا من المرجح جداً ألا يكون اليوم الأول لهجوم فيروس “واناكاري” هو اليوم الأخير.

كيف أواجه فيروس “واناكاري”؟

لسوء الحظ، لا يوجد شيء يمكن فعله الآن لفك شفرة الملفات التي اخترقها فيروس “واناكاري”، ولكن يعمل الباحثون حاليا من أجل إيجاد حل للفيروس، وهذا يعني أن الطريقة الوحيدة لمواجهة الاختراق هي عدم التعرض للاختراق في المقام الأول.