حملات باج‌افزار رمزارزی به عنوان تهدیدی قدرتمند در فضای دیجیتال ظهور کرده‌اند، جایی که مجرمان سایبری داده‌های قربانی را رمزگذاری کرده و برای آزادسازی آن‌ها درخواست پرداخت رمزارز می‌کنند. این حملات نه تنها داده‌های فردی و سازمانی را به خطر می‌اندازند، بلکه پیامدهای گسترده‌تری برای امنیت سایبری و ثبات مالی دارند.

در سال 2024، پویایی حملات باج‌افزار رمزارزی دستخوش تغییرات قابل توجهی شد. طبق گزارش Chainalysis ، کل پرداخت‌های باج حدود 35% نسبت به سال قبل کاهش یافت و از 1.25 میلیارد دلار در سال 2023 به 813.55 میلیون دلار رسید. این کاهش به اقدامات تقویت‌شده نهادهای اجرای قانون، همکاری بین‌المللی بهبودیافته و افزایش امتناع قربانیان از پرداخت باج نسبت داده می‌شود.

Annual ransomware payment totals 2020-2024

علی‌رغم کاهش پرداخت‌ها، تعداد حوادث باج‌افزاری افزایش یافته است که نشان می‌دهد در حالی که مهاجمان قربانیان بیشتری را هدف قرار می‌دهند، افراد کمتری تسلیم خواسته‌های آنها می‌شوند. این تناقض، استراتژی‌های در حال تکامل مجرمان سایبری و نیاز فوری به اقدامات قوی پیشگیرانه و بازیابی در برابر حملات باج‌افزار رمزارزی را برجسته می‌کند.

باج‌افزارهای رمزارزی چگونه کار می‌کنند

حملات باج‌افزار رمزارزی عملیات‌هایی روشمند و اغلب پیچیده هستند که برای رمزگذاری داده‌های ارزشمند و اخاذی پرداخت، معمولاً به صورت رمزارز، از قربانیان طراحی شده‌اند. درک چگونگی وقوع این حملات برای ایجاد مکانیسم‌های دفاعی مؤثر ضروری است.

1. آلودگی

حمله معمولاً با یک بردار آلودگی آغاز می‌شود—روشی که بدافزار از طریق آن به سیستم‌ها دسترسی پیدا می‌کند. روش‌های رایج عبارتند از:

ایمیل‌های فیشینگ: رایج‌ترین تکنیک شامل ارسال ایمیل‌های فریبنده حاوی پیوست‌ها یا لینک‌های مخرب است.
دانلودهای خودکار: وب‌سایت‌های آلوده به طور خودکار بدافزار را هنگام بازدید کاربران دانلود می‌کنند.
بهره‌برداری از آسیب‌پذیری‌ها: مهاجمان از نقص‌های شناخته‌شده نرم‌افزاری برای دستیابی به سیستم استفاده می‌کنند، به‌ویژه زمانی که سیستم‌ها به‌روزرسانی نشده‌اند.

به عنوان مثال، مهاجمان به طور فزاینده‌ای از آسیب‌پذیری‌های روز صفر در نرم‌افزارهای سازمانی رایج برای نفوذ به اهداف با ارزش بالا استفاده کرده‌اند.

2. رمزگذاری

پس از ورود به شبکه، باج‌افزار به آرامی گسترش می‌یابد و فایل‌های حیاتی را شناسایی و رمزگذاری می‌کند. با استفاده از الگوریتم‌های رمزگذاری قوی، بدافزار فایل‌ها را بدون کلید رمزگشایی منحصر به فردی که در اختیار مهاجم است، غیرقابل دسترس می‌کند.

پسوندهای فایل‌های رمزگذاری شده اغلب تغییر نام داده می‌شوند (مانند .lockbit، .clop)، که نشان‌دهنده یک حمله موفق است.
فایل‌های سیستمی و نسخه‌های پشتیبان ممکن است حذف شوند تا بازیابی بدون پرداخت باج دشوارتر شود.

3. درخواست باج

سپس مهاجم یک یادداشت باج‌گیری ارائه می‌دهد—اغلب از طریق یک پنجره پاپ‌آپ یا فایل متنی—که جزئیات پرداخت مورد نیاز، معمولاً در بیت‌کوین یا مونرو را شرح می‌دهد. این یادداشت ممکن است شامل تهدیداتی مبنی بر از دست دادن دائمی داده‌ها یا افزایش مبلغ باج در صورت تأخیر در پرداخت باشد.

4. اخاذی مضاعف

یک روند رو به رشد، اخاذی مضاعف است، جایی که مهاجمان قبل از رمزگذاری، داده‌های حساس را نیز استخراج می‌کنند. سپس آنها تهدید می‌کنند که داده‌ها را به صورت عمومی منتشر کرده یا بفروشند مگر اینکه باج پرداخت شود، که فشار بر قربانی را فراتر از صرف بازیابی داده‌ها افزایش می‌دهد.

این تاکتیک به طور قابل توجهی خطرات را افزایش می‌دهد، به ویژه برای سازمان‌هایی که داده‌های شخصی، مالکیت معنوی یا اطلاعات حساس نظارتی را مدیریت می‌کنند.

این مراحل ماهیت چندلایه حملات باج‌افزار رمزارزی و پیچیدگی اجرای آنها را برجسته می‌کند. درک این فرآیند، اولین قدم به سوی پیشگیری و آمادگی است.

سویه‌های قابل توجه باج‌افزار رمزارزی

درک رایج‌ترین سویه‌های باج‌افزار برای سازمان‌هایی که به دنبال تقویت دفاع سایبری خود هستند، بسیار مهم است. در اینجا برخی از مهم‌ترین گروه‌های باج‌افزاری که در سال‌های اخیر فعال بوده‌اند، معرفی می‌شوند:

1. لاک‌بیت (LockBit)

لاک‌بیت یکی از فعال‌ترین گروه‌های باج‌افزاری بوده است که به مدل باج‌افزار به عنوان سرویس (RaaS) شهرت دارد. در سال 2024، علی‌رغم تلاش‌های نیروهای امنیتی، لاک‌بیت همچنان به حملات خود ادامه داد، از جمله نفوذ قابل توجه به پایگاه داده داخلی ساب‌وی در ژانویه که منجر به افشای حجم زیادی از داده‌ها شد.

2. ALPHV/بلک‌کت

ALPHV، که با نام بلک‌کت نیز شناخته می‌شود، به خاطر حملات پیچیده و استفاده از زبان برنامه‌نویسی Rust شناخته شده است. در فوریه 2024، این گروه Change Healthcare، از زیرمجموعه‌های UnitedHealth Group را هدف قرار داد که منجر به نقض امنیتی قابل توجهی شد و بیش از 100 میلیون نفر را تحت تأثیر قرار داد.

3. Cl0p

باج‌افزار Cl0p از سال 2019 فعال بوده و اغلب از آسیب‌پذیری‌های روز صفر سوءاستفاده می‌کند. در اواخر سال 2024، Cl0p از آسیب‌پذیری‌های موجود در راهکارهای انتقال فایل مدیریت‌شده Cleo سوءاستفاده کرد که بر سازمان‌های متعددی از جمله Hertz تأثیر گذاشت.

4. دارک‌ساید

دارک‌ساید به دلیل حمله به خط لوله کولونیال در سال 2021 که منجر به کمبود سوخت در ایالات متحده شد، شهرت یافت. اگرچه این گروه پس از این حادثه اعلام تعطیلی کرد، اما نگرانی‌هایی درباره بازگشت احتمالی آن تحت نام‌های مختلف وجود دارد.

5. میز

میز از اولین گروه‌های باج‌افزاری بود که رمزگذاری داده‌ها را با سرقت داده‌ها ترکیب کرد و تهدید می‌کرد در صورت عدم پرداخت باج، داده‌های سرقت‌شده را منتشر خواهد کرد. اگرچه این گروه در سال 2020 بازنشستگی خود را اعلام کرد، اما تاکتیک‌های آن توسط سایر گروه‌های باج‌افزاری پذیرفته شده است.

6. ریوک

ریوک به هدف قرار دادن سازمان‌های بزرگ و درخواست پرداخت‌های باج بالا معروف است. این باج‌افزار اغلب پس از آلودگی‌های اولیه توسط بدافزارهای دیگر مانند TrickBot فعال می‌شود. ریوک با اختلالات قابل توجهی در بخش‌های مختلف از جمله بهداشت و درمان و دولت مرتبط بوده است.

7. REvil (سودینوکیبی)

REvil به عنوان یک RaaS فعالیت می‌کرد و مسئول چندین حمله برجسته، از جمله حادثه Kaseya VSA در سال 2021 بود. این گروه به خاطر تاکتیک‌های تهاجمی و درخواست‌های باج قابل توجه شناخته شده بود. اقدامات نیروهای امنیتی در سال 2022 منجر به افول این گروه شد، اما نگرانی‌هایی درباره ظهور مجدد آن وجود دارد.

این گروه‌های باج‌افزاری ماهیت در حال تکامل تهدیدات سایبری را نشان داده‌اند و بر نیاز به هوشیاری مداوم و اقدامات امنیت سایبری قوی تأکید می‌کنند.

پیشگیری از حملات باج‌افزار رمزارزی

پیشگیری از حملات باج‌افزار رمزارزی نیازمند رویکرد امنیتی لایه‌ای و پیشگیرانه است. با اجرای ترکیبی از کنترل‌های فنی، آموزش کارکنان و اجرای سیاست‌ها، سازمان‌ها می‌توانند خطر قربانی شدن را به طور قابل توجهی کاهش دهند.

1. پشتیبان‌گیری منظم از داده‌ها

نگهداری نسخه‌های پشتیبان به‌روز و آفلاین، دفاعی حیاتی در برابر باج‌افزار است. نسخه‌های پشتیبان باید در چندین مکان امن، از جمله فرمت‌های آفلاین یا تغییرناپذیر ذخیره شوند تا بازیابی بدون پرداخت باج تضمین شود.

بهترین شیوه: از قانون پشتیبان‌گیری 3-2-1 استفاده کنید — سه نسخه از داده‌های خود را روی دو رسانه مختلف نگهداری کنید که یکی از آنها خارج از محل اصلی ذخیره شده باشد.

2. اقدامات قوی امنیت سایبری

دفاع چندلایه مانند فایروال‌ها، محافظت از نقاط پایانی، آنتی‌ویروس و سیستم‌های تشخیص/پیشگیری از نفوذ را به کار بگیرید. از تشخیص مبتنی بر رفتار برای شناسایی فعالیت‌های باج‌افزار مانند رمزگذاری غیرمجاز استفاده کنید.

نکته: معماری اعتماد صفر و ابزارهای تشخیص و پاسخ نقطه پایانی (EDR) را برای محافظت پیشرفته در نظر بگیرید.

3. آموزش و آگاهی کارکنان

کارکنان اغلب خط اول دفاعی هستند. فیشینگ همچنان رایج‌ترین بردار آلودگی اولیه برای باج‌افزار است.

حوزه‌های تمرکز آموزشی:
شناسایی ایمیل‌ها و پیوست‌های مشکوک
شیوه‌های مرور امن اینترنت
گزارش تهدیدات مشکوک

4. به‌روزرسانی به موقع نرم‌افزار و مدیریت وصله‌ها

آسیب‌پذیری‌های رفع نشده، اهداف متداول گروه‌های باج‌افزاری هستند. مدیریت خودکار وصله‌ها را برای رفع سریع نقص‌های نرم‌افزاری پیاده‌سازی کنید.

مورد قابل توجه: آسیب‌پذیری MOVEit در سال 2024 که توسط Cl0p مورد سوءاستفاده قرار گرفت، بر نیاز حیاتی به وصله‌گذاری سریع تأکید می‌کند

5. تقسیم‌بندی شبکه

تقسیم شبکه‌ها به بخش‌های کوچکتر به مهار نفوذها کمک می‌کند و حرکت جانبی مهاجمان را محدود می‌سازد.

مثال پیاده‌سازی: جداسازی شبکه‌های مالی، منابع انسانی و عملیاتی برای ایزوله کردن سیستم‌ها و داده‌های حساس.

6. تدوین طرح واکنش به حوادث

یک طرح واکنش به حوادث که به خوبی مستندسازی و آزمایش شده باشد، رویکردی هماهنگ را در زمان حمله باج‌افزاری تضمین می‌کند.

طرح باید شامل موارد زیر باشد:
نقش‌ها و مسئولیت‌ها
مراحل ایزوله‌سازی سیستم
پروتکل‌های ارتباطی (داخلی و خارجی)
تعهدات قانونی و نظارتی

7. استفاده از احراز هویت چند عاملی (MFA)

فعال‌سازی MFA، به‌ویژه برای حساب‌های مدیریتی و دسترسی از راه دور، خطر دسترسی غیرمجاز را به شدت کاهش می‌دهد.

بازیابی پس از حمله باج‌افزار رمزارزی

علی‌رغم بهترین تلاش‌ها برای پیشگیری، حملات باج‌افزار رمزارزی همچنان می‌توانند موفق شوند. داشتن یک برنامه بازیابی مشخص برای به حداقل رساندن خسارت، بازگرداندن سریع عملیات و مدیریت پیامدهای قانونی و آسیب به شهرت ضروری است.

1. جداسازی فوری سیستم‌های آلوده

اولین قدم مهار گسترش است. دستگاه‌های آلوده را از شبکه قطع کنید و وای‌فای و بلوتوث را غیرفعال کنید تا از حرکت جانبی جلوگیری شود.

نکته: سیستم‌های آلوده را برای بررسی در مناطق فارنزیک جداسازی کنید.

2. اطلاع‌رسانی به مقامات مربوطه

حادثه را به نهادهای مجری قانون مناسب، مانند واحدهای جرایم سایبری محلی یا مراکز امنیت سایبری ملی گزارش دهید. برای سازمان‌های آمریکایی، این می‌تواند شامل مرکز شکایات جرایم اینترنتی FBI (IC3) باشد.

نکته نظارتی: گزارش‌دهی ممکن است از نظر قانونی الزامی باشد، به‌ویژه در بخش‌هایی که تحت قوانین حفاظت از داده‌ها (مانند GDPR، HIPAA) قرار دارند.

3. ارزیابی گستره حمله

یک تحقیق فارنزیک انجام دهید تا بردار حمله، سیستم‌های آسیب‌دیده و داده‌های به خطر افتاده را مشخص کنید. بررسی کنید آیا گروه باج‌افزار از تاکتیک‌های اخاذی مضاعف استفاده کرده است.

از متخصصان فارنزیک برای حفظ شواهد هم برای بازیابی و هم برای اهداف قانونی استفاده کنید.

4. بازیابی داده‌ها از نسخه‌های پشتیبان

اگر نسخه‌های پشتیبان امن و به‌روز وجود دارد، بازیابی سیستم‌ها و داده‌های حیاتی را آغاز کنید. قبل از شروع بازیابی، اطمینان حاصل کنید که نسخه‌های پشتیبان پاک و آلوده نشده‌اند.

بهترین شیوه: یکپارچگی داده‌های پشتیبان را به طور منظم بررسی کنید تا از قابل استفاده بودن آن‌ها در شرایط اضطراری اطمینان حاصل شود.

5. همکاری با متخصصان امنیت سایبری

از متخصصان برای کمک به مهار، بازیابی و تقویت زیرساخت‌های خود پس از حادثه استفاده کنید. آن‌ها همچنین می‌توانند به تعیین وجود ابزارهای رمزگشایی برای نوع باج‌افزار کمک کنند.

مثال: No More Ransom (nomoreransom.org) ابزارهای رمزگشایی رایگان برای بسیاری از انواع شناخته شده ارائه می‌دهد.

6. در نظر گرفتن پیامدهای قانونی و بیمه‌ای

با مشاوران حقوقی مشورت کنید تا مسائل مربوط به مسئولیت، الزامات اطلاع‌رسانی و جریمه‌های احتمالی نظارتی را درک کنید. اگر بیمه سایبری داشته‌اید، فرآیند ادعای خسارت را فوراً آغاز کنید.

توجه: برخی بیمه‌گران ممکن است بسته به جزئیات بیمه‌نامه یا اگر پرداخت باج قوانین تحریم را نقض کند، از پوشش پرداخت باج خودداری کنند.

7. روابط عمومی و ارتباط با ذینفعان

ارتباط شفاف و به‌موقع کلید مدیریت آسیب به شهرت است. مشتریان، شرکا و ذینفعان را از نقض امنیتی، اقدامات در حال انجام و مراحل محافظت از داده‌هایشان مطلع کنید.

نکته: الگوهای ارتباطی را از قبل به عنوان بخشی از طرح واکنش به حوادث آماده کنید.

یک پاسخ سریع و هماهنگ می‌تواند تأثیر حملات باج‌افزار رمزارزی را محدود کند و پایه‌ای برای دفاع قوی‌تر در آینده فراهم سازد.

چرا از رمزارزها برای پرداخت باج استفاده می‌شود

رمزارزها به روش پرداخت مورد ترجیح در حملات باج‌افزاری، به‌ویژه حملات باج‌افزار رمزارزی، تبدیل شده‌اند که دلیل آن چندین ویژگی فناوری و اقتصادی است که با نیازهای مجرمان سایبری همخوانی دارد. درک اینکه چرا این روش پرداخت ترجیح داده می‌شود، می‌تواند هم استراتژی‌های پیشگیری و هم پاسخ‌های مجریان قانون را آگاه سازد.

1. گمنامی و شبه‌گمنامی

رمزارزهایی مانند بیت‌کوین سطحی از شبه‌گمنامی را ارائه می‌دهند. در حالی که تمام تراکنش‌ها در یک بلاکچین عمومی ثبت می‌شوند، هویت‌های پشت آدرس‌های کیف پول مستقیماً به نهادهای دنیای واقعی متصل نیستند.

چرا مهم است: این امر ردیابی تراکنش‌ها به سمت مهاجمان را برای محققان دشوارتر می‌کند، به‌ویژه زمانی که از تکنیک‌هایی مانند سرویس‌های میکسینگ یا ارزهای متمرکز بر حریم خصوصی مانند مونرو استفاده می‌کنند.

2. غیرمتمرکز بودن

اکثر رمزارزها در شبکه‌های غیرمتمرکز فعالیت می‌کنند، به این معنی که توسط یک مرجع مرکزی اداره یا نظارت نمی‌شوند. این امر توانایی دولت‌ها و تنظیم‌کنندگان را برای مسدود کردن دارایی‌ها یا معکوس کردن تراکنش‌ها محدود می‌کند.

مزیت باج‌افزار: پس از پرداخت باج، امکان بازیابی از طریق کانال‌های بانکی سنتی بسیار محدود است.

3. دسترسی جهانی

رمزارزها می‌توانند بدون نیاز به واسطه‌ها در سراسر مرزها ارسال و دریافت شوند، که آنها را برای عملیات‌های مجرمان سایبری بین‌المللی ایده‌آل می‌سازد.

مثال: در حمله سال 2024 به Change Healthcare توسط گروه ALPHV/BlackCat، درخواست باج قابل پرداخت با مونرو بود که به دلیل ویژگی‌های پیشرفته حریم خصوصی آن بود.

4. سرعت و غیرقابل برگشت بودن

تراکنش‌های رمزارزی به سرعت پردازش می‌شوند و پس از تأیید، قابل برگشت نیستند. این امر اطمینان می‌دهد که مهاجمان پرداخت‌های خود را به سرعت و با امنیت دریافت می‌کنند.

چالش برای قربانیان: این قطعیت تراکنش‌ها توانایی قربانی را برای بازیابی وجوه از طریق سازوکارهای اختلاف یا تقلب کاهش می‌دهد.

5. فقدان مقررات در برخی حوزه‌های قضایی

چشم‌انداز نظارتی برای رمزارزها به طور گسترده‌ای متفاوت است، برخی کشورها نظارت ضعیف یا غیرموجود دارند. مهاجمان اغلب از این شکاف‌ها برای نقد کردن وجوه بدون شناسایی استفاده می‌کنند.

در حالی که مجریان قانون در ردیابی و توقیف رمزارزهای مرتبط با گروه‌های باج‌افزاری پیشرفت‌هایی داشته‌اند، ویژگی‌های فوق همچنان رمزارز را به ابزاری جذاب برای اخاذی‌کنندگان تبدیل می‌کند. به همین دلیل، مقابله با سوء استفاده از ارزهای دیجیتال یک مؤلفه کلیدی در مبارزه با حملات باج‌افزار رمزارزی است.

هوشیاری در برابر باج‌افزار رمزارزی

حملات باج‌افزار رمزارزی از جمله مخرب‌ترین و پرهزینه‌ترین اشکال جرایم سایبری امروز هستند. در حالی که مجموع مبلغ پرداخت شده به عنوان باج در سال 2024 کاهش یافته است، تعداد و پیچیدگی حملات همچنان در حال افزایش است، که نشان‌دهنده نیاز واضح به بهبود انعطاف‌پذیری در سراسر زیرساخت‌های دیجیتال است.

نکات کلیدی:

درک تهدید: باج‌افزار رمزارزی بیش از یک بدافزار است—این یک تهدید سازمان‌یافته و در حال تکامل است که هم داده‌ها و هم اهرم فشار را از طریق اخاذی دوگانه هدف قرار می‌دهد.
سرمایه‌گذاری در پیشگیری: پشتیبان‌گیری منظم، آموزش کارکنان و پروتکل‌های امنیتی قوی ضروری هستند.
داشتن برنامه واکنش: آماده باشید تا با استراتژی‌های جداسازی، تحقیق و بازیابی قاطعانه عمل کنید.
شناخت نقش رمزارز: درک کنید که چرا از رمزارز استفاده می‌شود و چگونه ردیابی و اجرای قانون را پیچیده می‌کند.
به روز بمانید: آخرین تهدیدات، سویه‌ها و استراتژی‌های امنیتی را پایش کنید. چشم‌انداز تهدیدات سایبری به سرعت تکامل می‌یابد.

هیچ سازمان یا فردی از تهدید باج‌افزار مصون نیست، اما آمادگی به طور چشمگیری انعطاف‌پذیری را افزایش می‌دهد. با درک نحوه عملکرد حملات باج‌افزار رمزارزی و اتخاذ اقدامات پیشگیرانه برای ایمن‌سازی محیط‌های دیجیتال، قربانیان می‌توانند خطرات خود را کاهش داده و به طور مؤثرتری بازیابی کنند.

امنیت سایبری یک تلاش یک‌باره نیست، بلکه تعهدی مداوم به هوشیاری، سازگاری و آموزش است. هرچه آماده‌تر باشید، احتمال اینکه از پیامدهای ویرانگر حملات باج‌افزار رمزارزی جلوگیری کنید، بیشتر خواهد بود.

چگونه از حملات باج‌افزار رمزارز جلوگیری کنیم و از آن بازیابی شویم؟