سجال مع فيروسات التشفير: الحماية، الاستجابة، والاستعادة

سجال مع فيروسات التشفير يبدأ قبل فترة طويلة من ظهور نافذة المطالبة بالفدية. يقوم التشفير أو ransomware بحظر الوصول إلى الملفات والخوادم ومحطات العمل، ثم يطلبون دفع ثمن مفتاح فك التشفير. في هذه المقالة سوف نستعرض كيف تحدث مثل هذه الهجمات، وما هي الإجراءات التي تقلل من خطر الإصابة، وما يجب فعله في الدقائق الأولى من الحادث، وكيفية استعادة البيانات دون الذعر وبدون خسائر غير ضرورية.

تشفير البيانات خطير ليس فقط على الشركات الكبيرة. يمكن أن يصبح الكمبيوتر المنزلي، أو محاسبة الأعمال الصغيرة، أو عيادة طبية، أو متجر إلكتروني، أو موظف عن بعد هدفاً. ليس من الضروري دائماً أن يكون لدى المهاجم اختراق معقد. غالباً ما يكفي بريد إلكتروني للتصيد، أو كلمة مرور ضعيفة للوصول عن بُعد، أو نظام لم يتم تحديثه منذ فترة طويلة.

الخبر الجيد هو أن التحضير الجيد يزيد من المرونة بشكل كبير. ويشمل النسخ الاحتياطية، التحديثات، المصادقة متعددة العوامل، تدريب الموظفين، وخطة استجابة واضحة. حتى إذا حدثت الهجمة، فإن الإجراءات الصحيحة تساعد على الحفاظ على الأدلة، وإيقاف انتشارها، والعودة للعمل بسرعة أكبر.

ما هو فيروس التشفير وكيف يعمل

فيروس التشفير هو برنامج ضار يقوم بتشفير الملفات أو الأقراص الكاملة بحيث لا يمكن للمالك استخدامها. بعد ذلك، تظهر ملاحظة على الشاشة مع التعليمات. عادةً ما يطلبون تحويل الأموال في العملات المشفرة ووعد بإصدار مفتاح فك التشفير.

ومع ذلك، فإن وعد المجرمين ليس ضماناً. قد لا يصل المفتاح. قد يعمل فك التشفير بشكل سيء. بالإضافة إلى ذلك، فإن الدفع يدعم النموذج الإجرامي ولا يقضي على سبب الاختراق. إذا احتفظ المهاجمون بالوصول إلى الشبكة، يمكن أن تتكرر الهجمة.

تعمل برامج التشفير الحديثة غالبًا على عدة مراحل:

1. التسلل إلى النظام. قد تكون هذه رسالة مع مرفق، موقع مصاب، كلمة مرور مسروقة، VPN ضعيف، RDP مفتوح، أو برنامج ضار للتحميل.
2. التثبيت. يحاول الكود الضار الحصول على حقوق المسؤول، وتعطيل الحماية، وإنشاء آليات تشغيل مخفية.
3. الاستخبارات. يبحث المهاجمون عن مجلدات مهمة، ومحركات الشبكة، وقواعد البيانات، والنسخ الاحتياطية، وحسابات بصلاحيات مرتفعة.
4. سرقة البيانات. في العديد من الهجمات، يتم نسخ البيانات إلى خارج النظام أولاً. ثم تهدد الضحية بالنشر.
5. تشفير البيانات. تحصل الملفات على توسيع جديد، ويختفي الوصول إليها.
6. الابتزاز. يظهر مطلب الفدية ومؤقت الضغط.

لهذا السبب، فإن مكافحة ransomware ليست مجرد تثبيت مضاد فيروسات. إنها حماية شاملة للأشخاص، والعمليات، والأجهزة، والنسخ الاحتياطية.

لماذا تبقى برامج التشفير تهديدًا خطيرًا

تستمر برامج التشفير في الانتشار لأنها مفيدة للمجرمين وغالباً ما تستخدم الأخطاء الشائعة. ليس على القراصنة اختراع طريقة جديدة في كل مرة. يبحثون عن نقاط الضعف التي تظهر مرة تلو الأخرى.

تتضمن الأسباب الشائعة للهجمات الناجحة:

• عدم وجود نسخ احتياطية منتظمة;
• تخزين النسخ الاحتياطية في نفس الشبكة التي توجد بها الملفات العاملة;
• كلمات مرور ضعيفة أو معاد استخدامها;
• تحديثات Windows وLinux والبرامج ومعدات الشبكة المعطلة;
• الوصول إلى RDP أو لوحات الإدارة من الإنترنت;
• عدم وجود مصادقة متعددة العوامل;
• صلاحيات مفرطة للمستخدمين;
• تصفية بريد إلكتروني ضعيفة;
• وعي منخفض للموظفين حول التصيد.

علاوة على ذلك، أصبحت الهجمات أكثر تنظيماً. تستخدم الجماعات الإجرامية مخططات شراكة، وتشتري الوصولات في الأسواق السوداء، وتستخدم أدوات إدارة قانونية، وتسعى للظهور كعمليات نظامية عادية. لذلك، يجب أن تكون الحماية متعددة الطبقات.

العلامات الرئيسية للتسمم ببرنامج التشفير

كلما تم ملاحظة الهجوم مبكراً، زادت الفرص لإيقافه قبل التشفير الكامل. في أحيانٍ، يمكن رؤية الإصابة على الفور. في أحيان أخرى، قد تبدو العلامات الأولى كفشل عادي.

انظر إلى الأعراض التالية:

• توقفت الملفات فجأة عن الفتح;
• ظهرت للمستندات، والصور، أو الأرشيفات توسيع غريب;
• ظهرت في المجلدات ملفات تحتوي على تعليمات عن الفدية;
• تباطأ الكمبيوتر بشكل كبير بدون سبب واضح;
• يكشف مضاد الفيروسات أو EDR عن عملية مشبوهة;
• يشكو المستخدمون من عدم إمكانية الوصول إلى مجلدات الشبكة;
• اختفت النسخ الظلية أو نقاط الاستعادة;
• بدأت الخوادم في إنشاء، وتغيير، أو حذف الملفات بشكل جماعي;
• تظهر السجلات محاولات دخول فاشلة، أو مدراء جدد، أو بدء برامج غير معروفة.

إذا رأيت عددًا من هذه العلامات، لا تعيد تشغيل كل شيء على وجه السرعة ولا تبدأ في حذف الملفات بشكل عشوائي. ينبغي أولاً عزل الأجهزة المصابة والحفاظ على المعلومات للتحليل.

كيف تستعد قبل الهجوم

أفضل انتصار في سجال مع فيروسات التشفير هو عندما لا تؤدي الهجمة إلى كارثة. يتطلب ذلك الوقاية. وفيما يلي الإجراءات المفيدة لكل من الأعمال التجارية والمستخدمين المنزليين المتقدمين.

إعداد النسخ الاحتياطية وفقاً لقاعدة 3-2-1

تُعد النسخ الاحتياطية الأداة الرئيسية للاستعادة بعد الإصابة بالتشفير. ولكن ليست كل النسخ الاحتياطية مفيدة. إذا كانت النسخة متاحة باستمرار من الكمبيوتر المصاب، يمكن أن يقوم الفيروس بتشفيرها أيضًا.

قاعدة 3-2-1 العملية تتلخص في الآتي:

• 3 نسخ من البيانات: النسخة الرئيسية ونسختين احتياطيتين على الأقل;
• نوعين مختلفين من وسائط التخزين: مثل NAS والسحابة، أو قرص خارجي ومخزن كائنات;
• 1 نسخة خارج البنية التحتية الرئيسية: غير متصلة، غير قابلة للتغيير أو في حساب سحابي منفصل.

بالنسبة للشركات، من المهم اختبار الاستعادة بشكل منتظم. النسخة الاحتياطية التي لم يتم اختبارها يمكن أن تكون عديمة الفائدة. تحقق من وجود الملفات، وكذلك من فعالية قواعد البيانات، والآلات الافتراضية، وتطبيقات الأعمال.

تحديث الأنظمة وسد الثغرات

تستخدم العديد من الهجمات ثغرات معروفة تم إصدار تصحيحات لها بالفعل. لذلك، فإن التحديثات ليست من الناحية الشكلية، بل هي أساس الحماية.

قم بتفعيل التحديث التلقائي حيثما أمكن. بالنسبة للخوادم، استخدم عملية مدارة: اختبار، نافذة صيانة، تثبيت، تحقق. لا تنسَ المتصفحات، حزم المكتب، برامج الأرشفة، عملاء البريد الإلكتروني، بوابات VPN، مرافق التخزين الشبكي، والمشغلات الافتراضية.

تحقق من الأنظمة القديمة بشكل منفصل. إذا لم يكن من الممكن تحديث سيرفر قديم، يجب عزلها، وتقييد الوصول إليها، وتخطيط استبدالها.

تقليل صلاحيات المستخدمين

لا ينبغي أن يكون لدى المستخدم صلاحيات المسؤول للعمليات اليومية. مبدأ الحد الأدنى من الصلاحيات يقلل من نطاق الضرر. إذا بدأت الإصابة من حساب عادي، سيكون من الصعب على البرنامج الضار تعطيل الحماية، أو تغيير إعدادات النظام، أو تشفير الموارد العامة.

يُوصى بـ:

• فصل حسابات العادية والإدارية;
• حظر العمل بمسؤول نطاق على أجهزة الكمبيوتر الشخصية للمستخدمين;
• تقييد الوصول إلى مجلدات الشبكة حسب الحاجة الفعلية;
• مراجعة مجموعات الوصول بشكل منتظم;
• حذف حسابات الموظفين المفصولين;
• تفعيل التحكم في الإجراءات المميزة.

حماية الوصول عن بُعد

غالباً ما يحدث أن يكون RDP مفتوحًا، أو كلمة المرور ضعيفة لـ VPN، أو لوحة الإدارة غير محمية تُصبح بمثابة مدخل للهجوم. لذا، يجب اعتبار الوصول عن بُعد منطقة حرجة للخطر.

الإجراءات الأساسية:

• لا تنشر RDP مباشرة على الإنترنت;
• استخدم VPN مع إعدادات حديثة;
• قم بتفعيل المصادقة متعددة العوامل;
• قلل من الوصول حسب IP إذا كان ذلك ممكنًا;
• استخدم كلمات مرور فريدة ومعقدة;
• تابع محاولات الدخول الفاشلة;
• قم بإيقاف الوصول الذي لم يعد مطلوبًا.

تدريب الموظفين على التعرف على التصيد

الحماية التقنية مهمة، لكن الناس ما زالوا هدفًا شائعًا. يمكن أن يبدو البريد الإلكتروني للتصيد كفاتورة، أو إشعار من بنك، أو رسالة من خدمة التوصيل، أو مستند من شريك، أو طلب من المدير.

يجب أن يكون التدريب عمليًا. أعطِ الموظفين علامات على رسالة خطيرة: مرفق غير متوقع، إحساس بالعجلة، ضغط، عنوان مرسل غريب، أرشيف بكلمة مرور، طلب لتفعيل الماكروز، موضوع رابط لصفحة تسجيل دخول مزيفة. من المهم أيضًا توفير قناة بسيطة للإبلاغ عن الرسائل المشبوهة.

خطة عمل خطوة بخطوة في حالة الإصابة بالتشفير

إذا بدأت الهجمة بالفعل، فإن الشيء الرئيسي هو أن تتصرف بسرعة وهدوء. فيما يلي خطة خطوة بخطوة تساعد على تقليل الأضرار وتوفير فرص للاسترداد.

1. عزل الأجهزة المصابة. قطع كابل الشبكة، Wi-Fi، أو منفذ على المبدل. لا تطفئ الجهاز دون الحاجة إذا كانت الأدلة مهمة في الذاكرة.
2. وقف الانتشار. قيد الوصول إلى مجلدات الشبكة مؤقتًا، قم بإيقاف الحسابات المشبوهة، حظر الاتصالات الخارجية، تحقق من جلسات VPN وRDP.
3. إبلاغ المسؤولين. اشرك المتخصصين في تكنولوجيا المعلومات، أو خدمة الأمان، أو الإدارة، أو أصحاب الأنظمة الحرجة. يجب أن تكون هناك قائمة بالاتصالات في الشركة مسبقًا.
4. احفظ الأدلة. سجل مذكرة المهاجمين، وتوسعات الملفات، ووقت الكشف، وأسماء الأجهزة المتضررة، وسجلات الأحداث، والنشاط الشبكي.
5. لا تدفع الفدية دون تحليلي. الدفع لا يضمن الاستعادة. أولاً، قم بتقييم النسخ الاحتياطية، ومدى الإصابة، والمخاطر القانونية.
6. تحديد نقطة الدخول. تحقق من البريد، والوصول عن بُعد، سجلات الدخول، حسابات جديدة، بدء البرامج، وعمليات المسؤولين.
7. تنظيف أو إعادة تثبيت الأنظمة. قد يكون حذف الملف الضار بسيطًا غير كافٍ. بالنسبة للأجهزة الحرجة، غالباً ما يكون من الأكثر أمانًا إعادة تثبيت كاملة من صورة موثوقة.
8. استعادة البيانات من النسخ النقية. قبل الاستعادة، تأكد من أن النسخ الاحتياطية غير مصابة وأن المهاجم لم يعد لديه وصول.
9. تحقق من عمل الخدمات. اختبر التطبيقات، وقواعد البيانات، وصلاحيات الوصول، والمسارات الشبكية، وسجلات الأخطاء.
10. حلل الحادث. بعد الاستعادة، قم بتصحيح أسباب الهجمة: كلمات المرور، المصادقة متعددة العوامل، التحديثات، التجزئة، النسخ الاحتياطي، التدريب.

يمكن تكييف هذا الترتيب حسب حجم المؤسسة. ولكن المنطق الأساسي يبقى ثابتًا: العزل، التحليل، التنظيف، الاستعادة، وتعزيز الحماية.

ما لا يجب فعله أثناء هجوم الرانسوموير

قد تزيد الأخطاء في الساعات الأولى الأضرار. لذا من الضروري معرفة ليس فقط ما يجب فعله، ولكن أيضًا ما هو خطير.

لا تفعل:

• احذف مذكرة المهاجمين قبل توثيق المعلومات;
• ابدأ بتشغيل أدوات فك التشفير العشوائية من مصادر غير موثوقة;
• اتصل بأقراص خارجية تحتوي على نسخ احتياطية إلى الجهاز المصاب;
• غير أسماء الملفات المشفرة بدون نسخة;
• قم بتنسيق الخوادم قبل جمع السجلات المهمة;
• ادفع الفدية بسبب الذعر;
• استعد البيانات في بيئة مصابة;
• أخفِ الحادث عن الإدارة، خدمة تكنولوجيا المعلومات، أو المسؤولين.

إذا لم يكن لديك خبرة في التحقيق، من الأفضل استدعاء متخصصين في الاستجابة للحوادث. هذا مهم بشكل خاص إذا كانت البيانات الشخصية، أو المعلومات الطبية، أو الأنظمة المالية، أو البنية التحتية الحرجة قد تأثرت.

مقارنة طرق الحماية ضد برامج التشفير

لا يوفر أي إجراء ضمانًا كاملاً. ولكن مزيجها يعطي طبقات من الحماية. ستساعدك الجدول على تحديد الأولويات.

طريقة الحماية	ما تمنعه	القوة	القيود
النسخ الاحتياطي 3-2-1	فقدان البيانات	يتيح الاستعادة دون دفع فدية	يتطلب اختبارًا وتخزينًا معزولًا
التحديثات والتصحيحات	الاختراق من خلال الثغرات المعروفة	يغلق قنوات الهجوم الضخمة	يحتاج إلى عملية منتظمة
المصادقة متعددة العوامل	الاستيلاء على الحسابات من خلال كلمة المرور	يصعب على المهاجم الدخول بشكل كبير	لا يحل محل السيطرة على الأجهزة
EDR أو مضاد الفيروسات الحديث	تشغيل العمليات الضارة	يوفر اكتشافًا وعزلًا	يتطلب إعدادًا ورصدًا
تقسيم الشبكة	الانتشار السريع	يحد من نطاق الحادث	يحتاج إلى بنية تحتية حكيمة
تصفية البريد	التصيد والمرفقات الضارة	يقلل من عدد الرسائل الخطيرة	لا يلتقط كل شيء
تدريب الموظفين	الهندسة الاجتماعية	يقلل من خطر النقر	يحتاج إلى تكرار
التحكم في الحقوق	التشفير الضخم للموارد	يقلل من الأضرار من حساب واحد	يحتاج إلى انضباط في الإدارة

بالنسبة للأعمال الصغيرة، فإن الحد الأدنى الأساسي هو النسخ الاحتياطية، التحديثات، المصادقة متعددة العوامل، مضاد الفيروسات، حماية البريد، وتحديد الحقوق. بالنسبة للمنظمات المتوسطة والكبيرة، تُضاف EDR، SIEM، التقسيم، التدريبات المنتظمة، وخطة استجابة رسمية.

كيفية استعادة الملفات بعد التشفير

تتوقف الاستعادة على نوع الهجوم، وجودة النسخ الاحتياطية، وحالة البنية التحتية. لا توجد زر استعادة شاملة. ولكن هناك ترتيب موثوق به.

تحقق من وجود نسخ احتياطية نظيفة

أولاً، حدد التاريخ والوقت الذي بدأت فيه الإصابة. ثم اختر النسخ التي تم إنشاؤها قبل تلك اللحظة. لا تقم بتوصيلها بشبكة مصابة. من الأفضل استخدام بيئة معزولة منفصلة للتحقق.

تحقق من:

• هل تفتح المستندات;
• هل تعمل قواعد البيانات;
• هل تحتوي النسخ على ملفات تنفيذية مشبوهة; -هل الأرشيفات ليست تالفة; -هل هناك مساحة وموارد كافية للاستعادة;
• وما هي البيانات التي ستُفقد بين النسخة الاحتياطية الأخيرة ووقت الهجوم.

ابحث عن أدوات فك التشفير الرسمية

لبعض أسر الشيفرة، توجد أداة فك تشفير مجانية. يتم نشرها من قبل شركات مكافحة الفيروسات، ومشاريع بحثية، ومبادرات قانونية. استخدم فقط مصادر موثوقة. لا تقم بتنزيل البرامج من المنتديات أو التعليقات العشوائية.

قبل تشغيل أداة فك التشفير، قم بعمل نسخة من الملفات المشفرة. إذا لم تتناسب الأداة مع نوع التشفير الخاص بك، فقد لا تساعد أو قد تزيد الوضع سوءًا.

استعد النظام فقط بعد التنظيف

لا يمكنك فقط إعادة الملفات إلى الخادم المصاب. يجب أولاً إزالة الكود الضار، وغلق نقطة الدخول، وتغيير كلمات المرور المساهمة. وإلا قد يبدأ التشفير مرة أخرى.

النهج الآمن:

1. إعداد أنظمة نظيفة أو آلات افتراضية جديدة.
2. تثبيت التحديثات ووسائل الحماية.
3. تغيير كلمات المرور ومفاتيح الوصول.
4. استعادة البيانات من النسخ الموثوقة.
5. فحص السجلات والنشاط الشبكي.
6. إرجاع المستخدمين بشكل تدريجي.

هل يجب دفع الفدية؟

في معظم الحالات، لا يُوصى بدفع الفدية. الأسباب بسيطة: لا توجد ضمانات بأن المجرمين سيقدمون مفتاح عمل؛ كان من الممكن سرقة البيانات؛ قد يبقى وصول المهاجمين؛ ويدعم الدفع هجمات جديدة.

ومع ذلك، في الواقع، تفكر المؤسسات أحيانًا في هذا الخيار عندما لا توجد نسخ احتياطية، أو توقفت العمليات الحرجة، وعندما تكون سلامة الأشخاص أو بقاء الأعمال في خطر. يجب اتخاذ هذا القرار بشكل غير عاطفي، وبمشاركة الإدارة، والمحامين، والمتخصصين في الأمن، وإذا لزم الأمر، السُلطات القانونية.

قبل اتخاذ أي قرار، يجب تقييم:

• هل توجد نسخ احتياطية نقية;
• هل تم المس بأية بيانات شخصية أو تجارية;
• هل هناك قيود على العقوبات;
• هل يمكن استعادة جزء من الأنظمة يدويًا;
• هل الأدلة محفوظة;
• هل تم إغلاق نقطة الدخول;
• وما هي الالتزامات تجاه العملاء والمنظمين.

حتى إذا تم دفع الفدية ونجح فك التشفير، لا تنتهي الحادثة هنا. يجب التحقيق في السبب، مراجعة بيانات الاختراق، وإعادة بناء الحماية.

حماية الكمبيوتر المنزلي من فيروسات التشفير

لا يحتاج المستخدم المنزلي إلى البنية التحتية المؤسسية، ولكن القواعد الأساسية إلزامية. إنها تحمي الصور العائلية، والمستندات، والمواد الدراسية، وملفات العمل.

يوصى بـ:

• تفعيل التحديثات التلقائية لنظام التشغيل;
• استخدام مضاد فيروسات مدمج أو موثوق من جهات خارجية;
• عدم تعطيل الحماية لتشغيل برامج مشبوهة;
• تخزين الملفات المهمة في السحابة مع سجل النسخ;
• إنشاء نسخ على قرص خارجي وفصلها بعد النسخ الاحتياطي;
• عدم فتح المرفقات من مرسلين غير معروفين;
• تحميل البرامج فقط من المواقع الرسمية;
• استخدام مدير كلمات المرور وكلمات مرور فريدة;
• تفعيل المصادقة متعددة العوامل للبريد الإلكتروني والسحابة وخدمات البنوك.

إذا كان الكمبيوتر المنزلي قد أصيب بالفعل، فافصله عن الإنترنت، ولا توصل أقراصًا تحتوي على نسخ، وتوجه إلى متخصص أو استخدم إرشادات موثوقة من مزودي الأمن المعروفين.

حماية الشركة من ransomware

بالنسبة للمؤسسات، فإن العائدات ليست مجرد مشكلة تكنولوجيا المعلومات. إنها خطر فترة توقف، وتسريب بيانات، وفقدان سمعة، وعقوبات، وانهيار التزامات تجاه العملاء. لذلك، يجب تضمين الحماية في إدارة المخاطر.

إعداد خطة استجابة

يجب أن تجيب الخطة على أسئلة عملية:

• من يتخذ القرارات عند وقوع حادثة;
• من يتم إبلاغه في أول 15 دقيقة;
• كيفية قطع بعض قطاعات الشبكة;
• أين تُخزن بيانات الاتصال للمدراء والمقاولين;
• من يتواصل مع العملاء والشركاء ووسائل الإعلام;
• كيف يتم توثيق الأدلة;
• أي الأنظمة يتم استعادتها أولاً;
• كيف يتم التحقق من سلامة النسخ الاحتياطية.

الخطة تكون مفيدة فقط عند التدريب عليها. قم بإجراء تدريبات مكتبية. استعرض السيناريو: تم إصابة الخادم الملفات، وعجز قسم الحسابات، واستلم عدد من الموظفين رسالة بمرفق ضار. تكشف هذه التدريبات عن نقاط الضعف قبل الهجوم الحقيقي.

تنفيذ تجزئة الشبكة

إذا كانت جميع الأجهزة يمكن أن ترى بعضها البعض دون قيود، يمكن لفيروس التشفير الانتقال بسرعة من جهاز إلى الخوادم ومرافق التخزين الشبكي. تحد من خط السير داخل الشبكة.

قم بفصل محطات العمل الخاصة بالمستخدمين، والخوادم، والنسخ الاحتياطية، وأنظمة الإدارة، و Wi-Fi الضيف، والخدمات الحرجة. قم بضبط قواعد الوصول حسب الحاجة. في المثالي، لا ينبغي أن يؤدي اختراق قسم واحد إلى الوصول إلى البنية التحتية بأكملها.

مراقبة النسخ الاحتياطية كأصل حرج

غالبًا ما تصبح النسخ الاحتياطية هدفًا للهجمات. يحاولون حذف النسخ قبل التشفير لزيادة الضغط. لذا، يجب أن يكون لنظام النسخ الاحتياطي حسابات منفصلة، والمصادقة متعددة العوامل، والسجلات، والوصول المحدود، والحماية من الحذف.

استخدم مخازن غير قابلة للتغيير، ونُسخ غير متصلة، أو نهج WORM إذا كان مناسبًا لبنيتك التحتية. احتفظ أيضًا بوثائق حول الاستعادة خارج الشبكة الرئيسية. إذا كانت جميع التعليمات على خادم ملفات مشفر، فلن يكون بالإمكان استخدامها عند الأزمات.

الأسئلة الشائعة: أسئلة متداولة حول برامج التشفير

هل يمكن فك تشفير الملفات دون دفع الفدية؟

أحيانًا. هذا ممكن إذا كانت هناك أدوات فك تشفير مجانية لأسرة معينة من التشفير، أو إذا كانت المفاتيح قد تم الاستيلاء عليها من قِبل سلطات إنفاذ القانون، أو إذا كانت لديك نسخ احتياطية نظيفة. لكن بالنسبة للعديد من الهجمات الحديثة، فإن فك التشفير بدون مفتاح مستحيل رياضيًا. لذلك، تبقى النسخ الاحتياطية هي الطريقة الرئيسية للاستعادة.

هل سيساعد مضاد الفيروسات العادي؟

يساعد مضاد الفيروسات، لكنه ليس حماية كاملة. يمكنه حظر ملف ضار معروف، أو سلوك مشبوه، أو رابط ضار. ولكن يمكن أن تستخدم الهجمة كلمات مرور مسروقة، وأدوات إدارة قانونية، وأشكال جديدة من البرمجيات الضارة. تحتاج إلى تحديثات، والمصادقة متعددة العوامل، والنسخ الاحتياطية، ومراقبة الوصول.

ماذا علي أن أفعل إذا كانت بعض الملفات فقط مشفرة؟

قم بفصل الجهاز عن الشبكة على الفور. ثم تحقق مما إذا كانت عملية التشفير مستمرة على مجلدات الشبكة. أخبر مختص تكنولوجيا المعلومات، احتفظ بملاحظة المهاجمين، ولا توصل النسخ الاحتياطية إلى هذا الكمبيوتر. إذا كانت لديك نسخ احتياطية، استعد الملفات فقط بعد تنظيف النظام.

هل من الخطير فتح مذكرة المهاجمين؟

عادةً ما تكون مذكرة نصية أو HTML أقل خطورة من ملف تنفيذي. لكن من الأفضل عدم النقر على الروابط وعدم تشغيل البرامج المرفقة. قم بالتقاط صورة أو نسخ المحتوى إلى التحليل، ثم احفظه للمتخصصين.

هل يمكن أن تصيب برامج التشفير الملفات السحابية؟

نعم، إذا كانت مجلدات السحابة متزامنة مع جهاز مصاب. في هذه الحالة، يمكن أن تُحمَل النسخ المشفرة إلى السحابة. يساعد تاريخ النسخ، وسلة المهملات، وحماية حساب بتقنية MFA، ونسخ منفصلة. تهم سياسات الوصول ومراقبة التغييرات الجماعية في الملفات بالنسبة للأعمال.

كيف أفهم أن الهجوم قد انتهى؟

لا يمكن الحكم فقط على أنه لم تعد هناك ملفات مشفرة. يجب عليك مراجعة السجلات، والجل� تنتشفيكس الصّفحات النَّشاط، والاتّصالات، ومهام الجدولة، والخدمات، والاتصالات الشبكية، ووسائل الإدارة عن بُعد. يتم تأكيد انتهاء الهجوم من خلال التحقيق، والتنظيف، وإغلاق نقطة الدخول، والمراقبة بعد الاستعادة.

قائمة مرجعية سريعة لحماية من برامج التشفير

استخدم هذه القائمة كأساس لعملية تحقق سريعة:

• هل هناك نسختان احتياطيتان مهمتان على الأقل;
• هل النسخة المعزولة عن الشبكة الرئيسية;
• تم اختبار استعادة النسخة الاحتياطية على أرض الواقع;
• هل يتم تثبيت التحديثات بشكل منتظم;
• تم تفعيل المصادقة متعددة العوامل للبريد، وVPN، والسحابة، والوصول الإداري;
• لم يكن RDP مفتوحًا مباشرةً على الإنترنت;
• هل لا يعمل الموظفون باستخدام صلاحيات المدير دون الحاجة;
• هل يقوم البريد بتصفية المرفقات والروابط الخطيرة;
• هل يعرف المستخدمون كيفية الإبلاغ عن التصيد;
• هل يتم حفظ سجلات الأمان ومراجعتها;
• هل يوجد خطة استجابة للحوادث;
• هل يتم التعرف على المسؤولين ونظام الاستعادة.

إذا كانت هناك ثغرات في هذه القائمة، ابدأ بالنسخ الاحتياطية والمصادقة متعددة العوامل. هذان الإجراءان غالباً ما يكون لهما أكبر تأثير عملي مقابل تكلفة معقولة.

الخاتمة

تنجح المعركة ضد فيروسات التشفير من خلال التحضير بدلاً من التصرف البطولي في اللحظة الأخيرة. قم بإعداد نسخ احتياطية موثوقة، وحدّث الأنظمة، وفعل المصادقة متعددة العوامل، وقم بتقليل الصلاحيات، وتدريب المستخدمين على التعرف على التصيد. ثم ضع خطة استجابة بسيطة واختبر الاستعادة على أرض الواقع. كلما أسرعت في إغلاق نقاط الضعف، كلما زادت فرصك في إيقاف الهجوم دون دفع فدية وإعادة البيانات بسرعة إلى العمل.