هجمات برامج الفدية في أوكرانيا عام 2017

بدأت سلسلة من الهجمات الإلكترونية القوية باستخدام برمجية بيتيا الخبيثة في 27 يونيو / حزيران 2017 ، حيث اجتاحت مواقع إلكترونية تابعة لمنظمات أوكرانية ، بما في ذلك بنوك ووزارات وصحف وشركات كهرباء. ^{[ 10 ]} وأُبلغ عن إصابات مماثلة في فرنسا وألمانيا وإيطاليا وبولندا وروسيا والمملكة المتحدة والولايات المتحدة وأستراليا . ^{[ 3 ] [ 11 ] [ 12 ]} وقدّرت شركة إيست في 28 ^{يونيو/حزيران 2017 أن 80% من جميع الإصابات كانت في أوكرانيا، وكانت ألمانيا ثاني أكثر الدول تضررًا بنسبة 9% تقريبًا. [2]} وفي 28 ^{يونيو /} حزيران 2017، أعلنت الحكومة الأوكرانية إيقاف الهجوم. ^{[ 13 ]} وفي 30 يونيو/حزيران 2017، أفادت وكالة أسوشيتد برس أن الخبراء اتفقوا على أن بيتيا كانت تتنكر في هيئة برنامج فدية ، بينما صُممت في الواقع لإحداث أقصى قدر من الضرر، وكانت أوكرانيا هي الهدف الرئيسي. ^{[ 14 ]}

يعتقد خبراء الأمن أن هجوم NotPetya نشأ من تحديث لبرنامج MEDoc، وهو برنامج محاسبة ضريبية أوكراني طورته شركة Intellect Service. ^{[ 2 ]} كان برنامج MEDoc شائع الاستخدام بين محاسبي الضرائب والشركات في أوكرانيا، ^{[ 15 ]} ووصفه ميكو هيبونين ، خبير الأمن في شركة F-Secure ، بأنه برنامج محاسبة أساسي للعديد من الشركات الأوكرانية. ^{[ 2 ]} تشير التقديرات إلى أن برنامج MEDoc كان لديه حوالي 400,000 عميل في جميع أنحاء أوكرانيا، ما يغطي حوالي 90% من الشركات المحلية. ^{[ 8 ]}

يُقدّم برنامج MEDoc تحديثات دورية عبر خادم تحديثات. في 27 يونيو/حزيران 2017، تم توزيع تحديث برمجي عبر خادم تحديثات MEDoc، وبعد ذلك بدأت تظهر تقارير عن هجوم برنامج الفدية NotPetya. صرّح الباحث البريطاني في مجال الأمن السيبراني، ماركوس هاتشينز ، قائلاً: "يبدو أن نظام التحديث التلقائي للبرنامج قد تم اختراقه واستُخدم لتنزيل وتشغيل برامج ضارة بدلاً من تحديث البرنامج نفسه". ^{[ 2 ]} نفت الشركة المطوّرة لبرنامج MEDoc أي تورط مُتعمّد في هجوم برنامج الفدية، مُشيرةً إلى أن أنظمتها الخاصة قد تأثرت أيضاً وأنها تتعاون مع جهات إنفاذ القانون للتحقيق في الحادث. ^{[ 15 ] [ 16 ]} وقع حادث مماثل في 18 مايو/أيار 2017، عندما انتشر برنامج الفدية XData عبر تحديث لبرنامج MEDoc. وقد تأثرت مئات من أقسام المحاسبة في أوكرانيا. ^{[ 17 ]}

استخدم الهجوم الإلكتروني برمجية خبيثة تُشبه برمجية الفدية Petya، ولكن تبيّن لاحقًا أنها تعمل كبرنامج مسح بيانات وليس كبرمجية فدية تقليدية. وكما في هجوم WannaCry في مايو 2017، استغلت NotPetya ثغرة EternalBlue ، التي استهدفت ثغرة أمنية في الإصدارات القديمة من نظام التشغيل مايكروسوفت ويندوز . عند تشغيلها، قامت NotPetya بتشفير سجل التمهيد الرئيسي (MBR)، مما منع نظام التشغيل من التحميل. ثم عرضت رسالة تطالب بفدية قدرها 300 دولار أمريكي بعملة البيتكوين ، لكن الباحثين وجدوا أن استعادة البيانات غير ممكنة. كما انتشرت البرمجية داخل الشبكات من خلال استغلال بروتوكول SMB في ويندوز. بالإضافة إلى ذلك، دمجت NotPetya برنامج Mimikatz ، وهو أداة تجريبية أُنشئت عام 2011 لتوضيح كيفية تخزين ويندوز لكلمات المرور في الذاكرة. استخدمها المهاجمون لاستخراج بيانات الاعتماد، ورفع مستوى صلاحياتهم، والتنقل بين الأنظمة المتصلة بالشبكة. ^{[ 18 ]}

تم اكتشاف ثغرة EternalBlue قبل هجوم WannaCry، وأصدرت مايكروسوفت تحديثات أمنية في مارس 2017 لمعالجة هذه الثغرة في أنظمة Windows Vista و Windows 7 و Windows 8.1 و Windows Server 2008 و Windows Server 2012 و Windows Server 2016. لم يتأثر نظام Windows 10. ^{[ 19 ]} مع ذلك، انتشر WannaCry عبر أنظمة تعمل بإصدارات قديمة من Windows غير مدعومة أو لم تُطبّق عليها التحديثات الأمنية المتاحة. استجابةً للهجوم، أصدرت مايكروسوفت تحديثات جديدة لأنظمة Windows XP و Windows Server 2003 و Windows 8 بعد يوم من هجوم WannaCry. ^{[ 19 ]} صرّحت خبيرة الأمن ليزلي كارهارت قائلةً: "كان من الممكن منع جميع أساليب الاستغلال التي استخدمها الهجوم للانتشار بوسائل موثقة جيدًا." ^{[ 20 ]}

خلص خبراء الأمن إلى أن نسخة برنامج الفدية "بيتيا" المستخدمة في الهجمات الإلكترونية على أوكرانيا عام 2017 قد عُدّلت، وأُطلق عليها لاحقًا اسم "نوت بيتيا" أو "نيتنا" لتمييزها عن برنامج الفدية الأصلي. كان "نوت بيتيا" يُشفّر الملفات بأكملها، وليس فقط جدول الملفات الرئيسي (MFT)، وفي بعض الحالات، كان يعمل كبرنامج مسح، يُدمّر البيانات بشكل دائم أو يُغيّرها بشكل لا رجعة فيه دون أي طريقة معروفة لاستعادتها. ^{[ 21 ] [ 22 ] [ 23 ]} لاحظ بعض خبراء الأمن أن البرنامج قادر على اعتراض كلمات المرور وتنفيذ إجراءات على مستوى المسؤول، مما قد يُلحق المزيد من الضرر بملفات الحاسوب. كما لاحظوا أن البرنامج قادر على تحديد أنظمة حاسوب مُحددة وتجاوز إصابتها، مما يُشير إلى أن الهجوم كان أكثر دقة في هدفه. ^{[ 20 ]} وعلى عكس برنامج "واناكراي"، لم يُعثر على " مفتاح إيقاف " في "نوت بيتيا"، والذي كان من الممكن استخدامه لوقف انتشاره فورًا. ^{[ 24 ]} وفقًا لنيكولاس ويفر من جامعة كاليفورنيا، فقد سبق للمتسللين اختراق MEDoc، "وحوّلوه إلى حصان طروادة للتحكم عن بعد، ثم كانوا على استعداد لحرق هذا الأصل لشن هذا الهجوم." ^{[ 8 ]}

أثناء الهجوم، تعطل نظام مراقبة الإشعاع في محطة تشيرنوبيل للطاقة النووية في أوكرانيا. ^{[ 25 ]} وتأثرت عدة وزارات وبنوك وأنظمة مترو أنفاق وشركات مملوكة للدولة في أوكرانيا ( مطار بوريسبيل الدولي ، وشركة الاتصالات الأوكرانية Ukrtelecom ، وشركة البريد الأوكرانية Ukrposhta ، وبنك الادخار الحكومي الأوكراني ، والسكك الحديدية الأوكرانية ). ^{[ 26 ]} وفي أجهزة الكمبيوتر المصابة، تم استبدال ملفات حاسوبية مهمة، مما أدى إلى تلفها بشكل دائم، على الرغم من رسالة البرمجية الخبيثة التي عرضتها للمستخدم والتي أشارت إلى إمكانية استعادة جميع الملفات "بأمان وسهولة" من خلال تلبية مطالب المهاجمين ودفع المبلغ المطلوب بعملة البيتكوين . ^{[ 27 ]}

يُعتقد أن الهجوم كان يهدف على الأرجح إلى شلّ الدولة الأوكرانية وليس لأسباب مالية. ^{[ 15 ]} وقد وقع الهجوم عشية العيد الوطني الأوكراني ، يوم الدستور (الذي يُحتفل فيه بذكرى مصادقة البرلمان الأوكراني، فيرخوفنا رادا ، على دستور أوكرانيا في 28 يونيو 1996). ^{[ 28 ] [ 29 ] [ 30 ]} وكانت معظم المكاتب الحكومية خالية، مما سمح للهجوم الإلكتروني بالانتشار دون عائق. ^{[ 15 ]} إضافةً إلى ذلك، لاحظ بعض خبراء الأمن أن برنامج الفدية الخبيث قام بمسح محركات الأقراص الصلبة المتضررة بدلاً من تشفيرها، وهو ما كان سيُشكّل كارثةً أخرى للشركات المتضررة. ^{[ 15 ]}

قبل وقت قصير من بدء الهجوم الإلكتروني، وردت أنباء عن اغتيال العقيد ماكسيم شابوفال ، ضابط استخبارات رفيع المستوى ورئيس وحدة قوات خاصة تابعة لمديرية الاستخبارات الأوكرانية ، في كييف بتفجير سيارة مفخخة. ^{[ 31 ]} ورجّحت مولي ك. ماكيو، المستشارة الحكومية السابقة في جورجيا ومولدوفا ، أن يكون هذا الاغتيال مرتبطًا بالهجوم الإلكتروني. ^{[ 32 ]}

في 28 يونيو 2017، صرحت الحكومة الأوكرانية بأن الهجوم قد تم إيقافه: "الوضع تحت السيطرة الكاملة لخبراء الأمن السيبراني؛ وهم يعملون الآن على استعادة البيانات المفقودة." ^{[ 13 ]}

عقب الهجوم الأولي الذي وقع في 27 يونيو، اكتشف خبراء الأمن أن الشفرة التي أصابت تحديث MEDoc تحتوي على ثغرة أمنية يُمكن استغلالها لشن هجوم إلكتروني آخر. وبعد رصد دلائل على هجوم إلكتروني آخر، داهمت الشرطة الأوكرانية مكاتب MEDoc في 4 يوليو 2017 وصادرت الخوادم. وصرح الرئيس التنفيذي لشركة MEDoc بأنهم لم يكونوا على علم بوجود ثغرة أمنية مثبتة على خوادمهم، ونفى مجددًا تورطهم في الهجوم، وأكد أنهم يعملون على مساعدة السلطات في تحديد مصدرها. ^{[ 33 ] [ 34 ]} ووجدت شركة الأمن ESET أن الثغرة الأمنية قد تم تثبيتها على خدمة تحديث MEDoc في وقت مبكر من 15 مايو 2017، بينما عثر خبراء من مجموعة Talos التابعة لشركة Cisco Systems على أدلة على وجودها في وقت مبكر من أبريل 2017؛ وتشير كلتا الحالتين إلى أن الهجوم الإلكتروني كان "عملية مُخطط لها ومُنفذة بدقة متناهية". ^{[ 35 ]} صرّح مسؤولون أوكرانيون بأن شركة Intellect Service ستُحاسب جنائيًا، إذ سبق أن حذّرتها شركات مكافحة الفيروسات من ضعف إجراءات الأمان على خوادمها قبل هذه الأحداث، لكنها لم تتخذ أي خطوات لمنعها. ^{[ 36 ]} وحذّرت شركة Talos من أنه نظرًا لحجم تحديث MEDoc الكبير الذي احتوى على برمجية NotPetya الخبيثة (1.5 جيجابايت)، فقد تكون هناك ثغرات أمنية أخرى لم يتم اكتشافها بعد، وقد يكون هجوم آخر ممكنًا. ^{[ 35 ]}

في 30 يونيو، أفاد جهاز الأمن الأوكراني (SBU) بأنه صادر معدات يُزعم استخدامها في شنّ الهجوم الإلكتروني، مُشيرًا إلى أنها تعود لعملاء روس مسؤولين عن الهجوم. ^{[ 37 ]} وفي 1 يوليو 2017، صرّح جهاز الأمن الأوكراني بأن البيانات المتاحة تُشير إلى أن مُنفّذي هجمات ديسمبر 2016 على النظام المالي والنقل والبنية التحتية للطاقة في أوكرانيا، والتي استخدمت برنامجي TeleBots و BlackEnergy ، ^{[ 38 ]} هم أنفسهم المسؤولون عن هجوم 27 يونيو 2017. وخلص الجهاز إلى أن "هذا يُؤكد تورّط أجهزة الاستخبارات الروسية في هذا الهجوم". ^{[ 7 ] [ 39 ]} وقد تسبّب هجوم إلكتروني في ديسمبر 2016 على نظام الطاقة الحكومي الأوكراني في انقطاع التيار الكهربائي في شمال كييف. ^{[ 7 ]} لا تزال العلاقات الروسية الأوكرانية متوترة منذ ضم روسيا لشبه جزيرة القرم عام 2014 والنزاع اللاحق في شرق أوكرانيا ، والذي أسفر عن أكثر من 10,000 قتيل بحلول أواخر يونيو/حزيران 2017. ^{[ 7 ]} نفت روسيا إرسال قوات أو معدات عسكرية إلى شرق أوكرانيا . ^{[ 7 ]} وصفت أوكرانيا الهجمات الإلكترونية على مؤسساتها الحكومية بأنها جزء من " حرب هجينة " تشنها روسيا. ^{[ 7 ]}

في 30 يونيو/حزيران 2017، عزت شركة الأمن السيبراني ESET الهجوم إلى مجموعة TeleBots، التي ذكرت أنها على صلة بمجموعة BlackEnergy . وجاء في بيانها: "قبل الهجوم، كانت مجموعة TeleBots تستهدف القطاع المالي بشكل رئيسي. واستهدف الهجوم الأخير الشركات الأوكرانية، لكنها استهانت بقدرة برمجياتها الخبيثة على الانتشار، ما أدى إلى خروجها عن السيطرة." ^{[ 7 ]} وكانت ESET قد أفادت سابقًا بأن BlackEnergy تستهدف البنية التحتية السيبرانية لأوكرانيا منذ عام 2014. ^{[ 40 ]} وفي ديسمبر/كانون الأول 2016، خلصت ESET إلى أن TeleBots تطورت من مجموعة BlackEnergy، وأنها استخدمت الهجمات السيبرانية لتخريب القطاع المالي الأوكراني خلال النصف الثاني من عام 2016. ^{[ 41 ]}

في نفس وقت هجوم 4 يوليو على موقع MEDoc، تم سحب مبلغ 10,000 دولار من عملة البيتكوين التي جُمعت في المحافظ المذكورة لبرنامج الفدية NotPetya، ورجّح الخبراء أنها استُخدمت لشراء مساحة على شبكة تور المجهولة . ونُشرت رسالة هناك، يُزعم أنها من مطوري NotPetya، تطالب بفدية قدرها 100,000 بيتكوين (حوالي 2.6 مليون دولار) لوقف الهجوم وفك تشفير جميع الملفات المتضررة. ^{[ 33 ]} وفي 5 يوليو 2017، نُشرت رسالة ثانية، يُزعم أيضًا أنها من مطوري NotPetya، على موقع إلكتروني تابع لشبكة تور ، تطالب من يسعى لفك تشفير ملفاته بإرسال 100 بيتكوين (حوالي 250,000 دولار). وقد وُقّعت الرسالة بنفس المفتاح الخاص الذي استخدمه برنامج الفدية Petya الأصلي، مما يشير إلى أن المجموعة نفسها مسؤولة عن كليهما. ^{[ 42 ]}

بحسب تقارير نُشرت في يناير/كانون الثاني 2018، زعمت وكالة الاستخبارات المركزية الأمريكية أن روسيا مسؤولة عن الهجوم الإلكتروني، مدعيةً أن مديرية الاستخبارات الرئيسية الروسية (GRU) هي من صممت برنامج NotPetya الخبيث. ^{[ 43 ]} وبالمثل، في فبراير/شباط 2018، اتهمت وزارة الدفاع البريطانية روسيا بشن الهجوم الإلكتروني، مشيرةً إلى أن الهجوم، الذي استهدف أنظمة في أوكرانيا، انتشر وأثر على أنظمة رئيسية في المملكة المتحدة وأماكن أخرى. ونفت روسيا تورطها، مشيرةً إلى أن أنظمتها تأثرت أيضاً بالهجوم. ^{[ 44 ]}

ذكر آندي غرينبيرغ ، الكاتب التقني في مجلة Wired ، في معرض استعراضه لتاريخ الهجمات الإلكترونية، أن هذه الهجمات نُسبت إلى مجموعة قرصنة عسكرية روسية تُدعى " ساندوورم ". وادعى غرينبيرغ أن "ساندوورم" مسؤولة عن انقطاعات التيار الكهربائي في كييف عام 2016، بالإضافة إلى حوادث أخرى. وورد أن المجموعة كانت تستهدف القطاع المالي الأوكراني، وفي مطلع عام 2017، يُزعم أنها تمكنت من الوصول إلى خوادم تحديثات MEDoc، والتي استُخدمت لاحقًا لتوزيع البرمجيات الخبيثة التي سهّلت الهجوم الإلكتروني في يونيو/حزيران 2017. ^{[ 18 ]}

تشمل الشركات المتضررة: أنتونوف ، وكييفستار ، وفودافون أوكرانيا ، ولايف سيل ، وقنوات التلفزيون STB و ICTV و ATR ، ومترو كييف ، وشركة أوكر غاز فيدوبوفانيا (UGV) ، ومحطات الوقود WOG و DTEK ، ومركز EpiCentre K ، ومطار كييف الدولي (جولياني) ، وبنك برومينفيست ، وبنك أوكرسوتس ، وبنك كريدو ، وبنك أوشاد، وغيرها. ^{[ 13 ]} وقد تواصل أكثر من 1500 كيان قانوني وفرد مع الشرطة الوطنية الأوكرانية للإبلاغ عن تعرضهم لهجوم إلكتروني في 27 يونيو/حزيران 2017. ^{[ 45 ]} وعاد بنك أوشاد للعمل بكامل طاقته في 3 يوليو/تموز 2017. ^{[ 46 ]} كما تعطلت أجهزة الكمبيوتر التابعة لشركة الكهرباء الأوكرانية نتيجة للهجوم، لكن الشركة واصلت العمل بكامل طاقتها دون استخدام أجهزة الكمبيوتر. ^{[ 8 ]}

في حين أن أكثر من 80% من الشركات المتضررة كانت من أوكرانيا،انتشر برنامج الفدية أيضًا إلى العديد من الشركات في مواقع جغرافية أخرى نظرًا لوجود مكاتب لتلك الشركات في أوكرانيا وشبكاتها حول العالم. ومن بين الشركات غير الأوكرانية التي أبلغت عن حوادث مرتبطة بالهجوم: شركة مونديليز إنترناشونال لمعالجة الأغذية ، ^{[ 47 ]} وشركة إيه بي إم تيرمينالز التابعة لشركة الشحن الدولية إيه بي مولر ميرسك ، وشركة تي إن تي إكسبريس التابعة لشركة فيديكس للشحن (والتي كانت عمليات تسليمها لا تزال متوقفة بسبب الهجوم في أغسطس 2017)، ^{[ 48 ]} وشركة الشحن الصينية كوفكو جروب ، وشركة مواد البناء الفرنسية سان جوبان ، ^{[ 49 ]} ووكالة الإعلان دبليو بي بي ، ^{[ 50 ]} ونظام هيريتج فالي الصحي في بيتسبرغ ، ^{[ 51 ]} ومكتب المحاماة دي إل إيه بايبر ، ^{[ 52 ]} وشركة الأدوية ميرك ، ^{[ 53 ]} وشركة السلع الاستهلاكية ريكيت بنكيزر ، ومزود البرمجيات نوانس كوميونيكيشنز . ^{[ 54 ]} يعتقد ضابط شرطة أوكراني أن هجوم برامج الفدية كان مصمماً لينتشر عالمياً بهدف صرف الانتباه عن الهجوم الإلكتروني الموجه ضد أوكرانيا. ^{[ 55 ]}

لم تُحدد بعد تكلفة الهجوم الإلكتروني، فبعد أسبوع من الهجوم الأولي، كانت الشركات لا تزال تعمل على تخفيف الأضرار. وخفضت شركة ريكيت بنكيزر تقديراتها للمبيعات بنسبة 2% (حوالي 130 مليون دولار) للربع الثاني، ويعود ذلك أساسًا إلى الهجوم الذي أثر على سلسلة التوريد العالمية التابعة لها. ^{[ 54 ] [ 56 ]} وصرح توم بوسرت ، مستشار الأمن الداخلي لرئيس الولايات المتحدة، بأن إجمالي الأضرار تجاوز 10 مليارات دولار أمريكي . ^{[ 18 ]} وشملت الأضرار المقدرة لشركات محددة ما يزيد عن 870 مليون دولار أمريكي لشركة ميرك، و400 مليون دولار أمريكي لشركة فيديكس، و 384 مليون دولار أمريكي لشركة سان غوبان، و 300 مليون دولار أمريكي لشركة ميرسك. ^{[ 18 ]}

زعم أولكسندر تورتشينوف، سكرتير مجلس الأمن القومي والدفاع الأوكراني، وجود دلائل على تورط روسيا في الهجوم الإلكتروني الذي وقع في 27 يونيو/حزيران، رغم أنه لم يقدم أي دليل مباشر. ^{[ 57 ]} ونفى مسؤولون روس أي تورط، واصفين مزاعم أوكرانيا بأنها "اتهامات عامة لا أساس لها من الصحة". ^{[ 37 ]} وتعهد الأمين العام لحلف الناتو، ينس ستولتنبرغ، في 28 يونيو/حزيران 2017، بأن الحلف سيواصل دعمه لأوكرانيا لتعزيز دفاعاتها الإلكترونية . ^{[ 58 ]} وأصدر المتحدث باسم البيت الأبيض بيانًا في 15 فبراير/شباط 2018، نسب فيه الهجوم إلى الجيش الروسي، واصفًا إياه بأنه "الهجوم الإلكتروني الأكثر تدميرًا وتكلفة في التاريخ". ^{[ 59 ]}

اقترح رجل الأعمال في مجال تكنولوجيا المعلومات ورئيس مجلس إدارة شركة أوكتافا كابيتال، أولكسندر كارداكوف، إنشاء دفاع مدني سيبراني في أوكرانيا. ^{[ 60 ]}

• هجوم إلكتروني على شبكة الكهرباء في أوكرانيا في ديسمبر 2015
• الحرب السيبرانية الروسية الأوكرانية
• تسريب ملفات فولكان

• غرينبيرغ، آندي (20 يونيو 2017). "كيف أصبحت أمة بأكملها مختبرًا روسيًا لاختبار الحرب السيبرانية" . مجلة وايرد .