بيتيا (عائلة البرامج الضارة)

بيتيا هي عائلة من البرامج الخبيثة المشفرة التي تم اكتشافها لأول مرة عام 2016. ^{[ 2 ]} تستهدف هذه البرامج الخبيثة أنظمة مايكروسوفت ويندوز ، حيث تُصيب سجل الإقلاع الرئيسي لتنفيذ حمولة تقوم بتشفير جدول نظام ملفات القرص الصلب (HDD) أو القرص ذي الحالة الصلبة (SSD) ، ثم تُجري فحصًا وهميًا للقرص (CHKDSK) بعد إعادة التشغيل. يمنع هذا نظام ويندوز من الإقلاع، حيث يتم استبدال سجل الإقلاع الرئيسي؛ وبعد ذلك، تطلب بيتيا من المستخدمين دفع مبلغ من عملة البيتكوين لاستعادة الوصول.

ظهرت نسخ مختلفة من برنامج بيتيا الخبيث لأول مرة في مارس 2016، وانتشرت عبر مرفقات البريد الإلكتروني المصابة. وفي يونيو 2017، استُخدمت نسخة جديدة من بيتيا في هجوم إلكتروني عالمي ، استهدف أوكرانيا بشكل أساسي . تنتشر هذه النسخة الجديدة عبر ثغرة إيترنال بلو ، التي يُعتقد عمومًا أنها طُوّرت من قِبل وكالة الأمن القومي الأمريكية ( NSA)، والتي استُخدمت في وقت سابق من العام نفسه من قِبل برنامج الفدية ووناكراي . أطلقت كاسبرسكي لاب على هذه النسخة الجديدة اسم نوت بيتيا لتمييزها عن نسخ 2016، نظرًا لاختلاف طريقة عملها. ورغم أنها بدت كبرنامج فدية، إلا أنها كانت بمثابة برنامج مسح بيانات نظرًا لافتقارها إلى طريقة لفك التشفير . وقد نُسبت هجمات نوت بيتيا إلى الحكومة الروسية، وتحديدًا إلى مجموعة القرصنة ساندوورم التابعة لجهاز الاستخبارات العسكرية الروسية (GRU) ، وذلك من قِبل باحثين أمنيين وجوجل والعديد من الحكومات. ^{[ 2 ] [ 3 ] [ 4 ] [ 5 ]}

تم اكتشاف برنامج بيتيا الخبيث في مارس 2016؛ ^{[ 6 ]} وأشارت شركة تشيك بوينت إلى أنه على الرغم من أنه حقق عددًا أقل من الإصابات مقارنةً ببرامج الفدية الأخرى النشطة في أوائل عام 2016، مثل كريبتو وول ، إلا أنه احتوى على اختلافات ملحوظة في طريقة عمله جعلته يُصنف فورًا على أنه "الخطوة التالية في تطور برامج الفدية". ^{[ 1 ]} كما احتوى نوع آخر من بيتيا، تم اكتشافه في مايو 2016، على حمولة ثانوية تُستخدم في حال تعذر على البرنامج الخبيث الوصول إلى صلاحيات المسؤول . ^{[ 6 ]}

اسم "بيتيا" ( وهو تصغير روسي لاسم بيتر ) إشارة إلى فيلم جيمس بوند " العين الذهبية" (GoldenEye ) الصادر عام 1995 ، حيث كانت بيتيا إحدى قمرين صناعيين سوفييتيين يحملان قنبلة "العين الذهبية" - وهي قنبلة ذرية تُفجّر في مدار أرضي منخفض لتوليد نبضة كهرومغناطيسية . وقد أشار هايز إلى أن حسابًا على تويتر ، يحمل اسم "حلول جانوس للجرائم الإلكترونية" (Janus Cybercrime Solutions) نسبةً إلى مجموعة أليك تريفليان الإجرامية في فيلم "العين الذهبية" ، كان يستخدم صورة شخصية لبوريس غريشينكو، وهو قرصان روسي وخصم في الفيلم، جسّد دوره الممثل الاسكتلندي آلان كومينغ . ^{[ 7 ]}

في 30 أغسطس/آب 2018، أدانت محكمة إقليمية في نيكوبول ، التابعة لمقاطعة دنيبروبيتروفسك في أوكرانيا، مواطناً أوكرانياً لم يُكشف عن اسمه، وحكمت عليه بالسجن لمدة عام واحد بعد إقراره بالذنب في نشر نسخة من برنامج بيتيا الخبيث على الإنترنت. ^{[ 8 ] [ 9 ] [ 10 ]}

في 27 يونيو/حزيران 2017، بدأ هجوم إلكتروني عالمي واسع النطاق (وكانت الشركات الأوكرانية من أوائل من أعلنوا تعرضهم للهجوم ^{[ 11 ]} )، باستخدام نسخة جديدة من برمجية بيتيا الخبيثة. في ذلك اليوم، أبلغت شركة كاسبرسكي لاب عن إصابات في فرنسا وألمانيا وإيطاليا وبولندا والمملكة المتحدة والولايات المتحدة، لكن معظم الإصابات استهدفت روسيا وأوكرانيا، حيث تعرضت أكثر من 80 شركة للهجوم في البداية، بما في ذلك البنك الوطني الأوكراني . ^{[ 11 ] [ 12 ]} وقدّرت شركة إيست في 28 يونيو/حزيران 2017 أن 80% من جميع الإصابات كانت في أوكرانيا، بينما كانت ألمانيا ثاني أكثر الدول تضررًا بنسبة 9% تقريبًا. ^{[ 13 ]} وصرح المتحدث باسم الرئيس الروسي فلاديمير بوتين ، ديمتري بيسكوف ، بأن الهجوم لم يتسبب في أي أضرار جسيمة في روسيا. ^{[ 13 ]} ورجّح الخبراء أن يكون هذا الهجوم ذا دوافع سياسية ضد أوكرانيا، نظرًا لوقوعه عشية عيد الدستور الأوكراني . ^{[ 14 ] [ 15 ]}

أكد أولكسندر كارداكوف ، مؤسس شركة أوكتافا للحماية الإلكترونية، أن فيروس بيتيا أوقف ثلث اقتصاد أوكرانيا لمدة ثلاثة أيام، مما أدى إلى خسائر تزيد عن 400 مليون دولار. ^{[ 16 ]}

أطلقت كاسبرسكي على هذا النوع اسم "نوتبيتيا"، نظرًا لاختلافه الكبير في طريقة عمله عن الأنواع السابقة. ^{[ 11 ]} صرّح كريستيان بيك، مهندس شركة مكافي ، بأن هذا النوع صُمم للانتشار بسرعة، وأنه كان يستهدف "شركات الطاقة، وشبكة الكهرباء ، ومحطات الحافلات، ومحطات الوقود، والمطار، والبنوك". ^{[ 11 ] [ 17 ]}

كان يُعتقد أن آلية تحديث برنامج MEDoc - وهو برنامج أوكراني لإعداد الضرائب، والذي، وفقًا لمحلل شركة F-Secure ميكو هيبونين ، "يبدو أنه البرنامج الأكثر شيوعًا" بين الشركات العاملة في البلاد - قد تم اختراقها لنشر البرمجيات الخبيثة. ^{[ 13 ] [ 18 ] [ 19 ]} وكشف تحليل أجرته شركة ESET عن وجود ثغرة أمنية في نظام التحديث لمدة ستة أسابيع على الأقل قبل الهجوم، واصفةً إياه بأنه "عملية مُخطط لها ومُنفذة بدقة متناهية". ^{[ 20 ]} ونفى مطورو MEDoc مسؤوليتهم الكاملة عن الهجوم الإلكتروني، مصرحين بأنهم كانوا ضحايا أيضًا. ^{[ 18 ] [ 21 ] [ 22 ] [ 23 ]}

في 4 يوليو/تموز 2017، صادرت وحدة مكافحة الجرائم الإلكترونية الأوكرانية خوادم الشركة بعد رصد "نشاط جديد" اعتقدت أنه سيؤدي إلى "انتشار غير منضبط" للبرمجيات الخبيثة. ونصحت الشرطة الأوكرانية مستخدمي برنامج MEDoc بالتوقف عن استخدامه، لافتراضها أن الثغرة الأمنية لا تزال موجودة. ^{[ 20 ] [ 24 ]} وأظهر تحليل الخوادم المصادرة أن تحديثات البرامج لم تُطبّق منذ عام 2013، ووجود أدلة على تورط روسي، واختراق حساب أحد الموظفين على الخوادم؛ وحذّر رئيس الوحدة من إمكانية تحميل MEDoc المسؤولية الجنائية عن تمكين الهجوم بسبب إهمالها في الحفاظ على أمن خوادمها. ^{[ 20 ] [ 23 ] [ 25 ]}

اقترح رجل الأعمال في مجال تكنولوجيا المعلومات ورئيس مجلس إدارة شركة أوكتافا كابيتال، أولكسندر كارداكوف، إنشاء دفاع مدني سيبراني في أوكرانيا. ^{[ 26 ]}

يُصيب برنامج بيتيا الخبيث سجل الإقلاع الرئيسي (MBR) للحاسوب ، ويستبدل مُحمّل إقلاع ويندوز ، ويُعيد تشغيل النظام. عند بدء التشغيل، يُشفّر البرنامج جدول الملفات الرئيسي لنظام ملفات NTFS ، ثم يعرض رسالة فدية تُطالب بدفع مبلغ بالبيتكوين . [ ^{6 ] [ 27 ] [ 28 ] في} الوقت نفسه، تعرض شاشة الحاسوب ما يُفترض أنه ناتج من أداة chkdsk ، وهي أداة فحص نظام الملفات في ويندوز، مما يُشير إلى إصلاح قطاعات القرص الصلب. ^{[ 1 ]}

كانت الحمولة الأصلية تتطلب من المستخدم منحها صلاحيات إدارية؛ وقد تم تضمين أحد متغيرات برنامج Petya مع حمولة ثانية تُدعى Mischa، والتي يتم تفعيلها في حال فشل تثبيت Petya. تُعد Mischa حمولة فدية أكثر تقليدية تقوم بتشفير مستندات المستخدم، بالإضافة إلى الملفات التنفيذية، ولا تتطلب صلاحيات إدارية للتنفيذ. ^{[ 6 ]} أخفت الإصدارات السابقة من Petya حمولتها على هيئة ملف PDF مرفق برسالة بريد إلكتروني. ^{[ 6 ]} أصدر فريق الاستجابة للطوارئ الحاسوبية بالولايات المتحدة (US-CERT) والمركز الوطني لتكامل الأمن السيبراني والاتصالات (NCCIC) تقرير النتائج الأولية للبرمجيات الخبيثة (MIFR) حول Petya في 30 يونيو 2017. ^{[ 29 ]}

يستخدم نوع "NotPetya" المستخدم في هجوم عام 2017 ثغرة EternalBlue ، وهي ثغرة تستغل نقطة ضعف في بروتوكول SMB الخاص بنظام ويندوز . يُعتقد عمومًا أن وكالة الأمن القومي الأمريكية (NSA) هي من طورت EternalBlue؛ ^{[ 28 ]} وقد سُرّبت في أبريل 2017، واستُخدمت أيضًا في هجوم WannaCry . ^{[ 28 ] [ 30 ]} يقوم هذا البرنامج الخبيث بجمع كلمات المرور (باستخدام نسخة مُعدّلة من برنامج Mimikatz مفتوح المصدر ^{[ 31 ]} )، ويستخدم تقنيات أخرى للانتشار إلى أجهزة كمبيوتر أخرى على نفس الشبكة، ويستخدم كلمات المرور هذه مع برنامج PSExec لتشغيل تعليمات برمجية على أجهزة كمبيوتر محلية أخرى. ^{[ 32 ] [ 33 ] [ 34 ]} بالإضافة إلى ذلك، ورغم أنه لا يزال يُصنّف كبرنامج فدية، فقد تم تعديل روتين التشفير فيه بحيث لا يستطيع البرنامج الخبيث التراجع عن تغييراته. ^{[ 35 ]} هذه السمة، إلى جانب علامات أخرى غير معتادة مقارنةً ببرنامج WannaCry (بما في ذلك رسوم فك التشفير المنخفضة نسبيًا والبالغة 300 دولار أمريكي، واستخدام محفظة بيتكوين واحدة ثابتة لجمع مدفوعات الفدية بدلًا من إنشاء مُعرّف فريد لكل إصابة لأغراض التتبع)، ^{[ 36 ]} دفعت الباحثين إلى التكهن بأن هذا الهجوم لم يكن يهدف إلى تحقيق الربح، بل إلى إتلاف الأجهزة بسرعة، واستغلال الاهتمام الإعلامي الذي حظي به برنامج WannaCry من خلال الادعاء بأنه برنامج فدية. ^{[ 37 ] [ 38 ]}

تبين أنه قد يكون من الممكن إيقاف عملية التشفير إذا تم إيقاف تشغيل جهاز الكمبيوتر المصاب فور ظهور شاشة chkdsk الوهمية، ^{[ 39 ]} واقترح محلل أمني أن إنشاء ملفات للقراءة فقطperfc باسم و/أو perfc.datو/أو perfc.dllفي دليل تثبيت نظام التشغيل Windows قد يمنع تنفيذ حمولة الفيروس الحالي. ^{[ 40 ] [ 41 ] [ 42 ] [ 43 ]} تم تعليق عنوان البريد الإلكتروني المدرج على شاشة الفدية من قِبل مزود الخدمة، Posteo ، لمخالفته شروط الاستخدام . ونتيجة لذلك، لم يتمكن المستخدمون المصابون من إرسال تأكيد الدفع المطلوب إلى الجاني. ^{[ 36 ] [ 44 ]} بالإضافة إلى ذلك، إذا كان نظام ملفات الكمبيوتر يعتمد على FAT، يتم تخطي تسلسل تشفير MFT، ولا يتم عرض سوى رسالة برنامج الفدية، مما يسمح باستعادة البيانات بسهولة. ^{[ 45 ]}

أصدرت مايكروسوفت بالفعل تحديثات أمنية لإصدارات ويندوز المدعومة في مارس 2017 لمعالجة ثغرة EternalBlue. تبع ذلك تحديثات لإصدارات ويندوز غير المدعومة (مثل ويندوز إكس بي ) في مايو 2017، عقب هجوم WannaCry مباشرةً. ^{[ 46 ] [ 47 ]} مع ذلك، رأت مجلة Wired أنه "بناءً على حجم الضرر الذي ألحقه برنامج Petya حتى الآن، يبدو أن العديد من الشركات قد أجلت تثبيت التحديثات الأمنية، على الرغم من التهديد الواضح والمدمر المحتمل لانتشار برامج الفدية المماثلة." ^{[ 48 ]} قد ترى بعض المؤسسات أن تثبيت التحديثات على أنظمة معينة أمرٌ مُعطِّل للغاية، إما بسبب احتمال توقف الخدمة أو مخاوف التوافق، وهو ما قد يُشكِّل مشكلة في بعض بيئات العمل. ^{[ 46 ]}

في تقرير نشرته مجلة Wired ، قدّر البيت الأبيض إجمالي الأضرار الناجمة عن هجوم NotPetya بأكثر من 10 مليارات دولار. وقد أكد هذا التقييم توم بوسرت ، مستشار الأمن الداخلي السابق ، الذي كان آنذاك أرفع مسؤول في الحكومة الأمريكية متخصص في الأمن السيبراني. ^{[ 49 ]}

خلال الهجوم الذي بدأ في 27 يونيو 2017، تعطل نظام مراقبة الإشعاع في محطة تشيرنوبيل للطاقة النووية في أوكرانيا. ^{[ 50 ]} كما تأثرت عدة وزارات وبنوك وشبكات مترو أوكرانية. ^{[ 51 ]} ويُقال إنه كان الهجوم الإلكتروني الأكثر تدميراً على الإطلاق. ^{[ 52 ]}

ومن بين الجهات المتضررة في أماكن أخرى: شركة الإعلانات البريطانية WPP ، ^{[ 51 ]} وشركة ميرسك لاين ، ^{[ 53 ]} وشركة الأدوية الأمريكية ميرك آند كو (التي تعمل دوليًا تحت اسم MSD)، وشركة النفط الروسية روسنفت (لم يتأثر إنتاجها النفطي ^{[ 54 ]} )، وشركة المحاماة متعددة الجنسيات DLA Piper ، ^{[ 51 ]} وشركة الإنشاءات الفرنسية سان غوبان ومنافذ البيع بالتجزئة التابعة لها في إستونيا، ^{[ 55 ]} وشركة السلع الاستهلاكية البريطانية ريكيت بنكيزر ، ^{[ 56 ]} وشركة العناية الشخصية الألمانية بايرسدورف ، وشركة الخدمات اللوجستية الألمانية DHL ، ^{[ 57 ]} وشركة الأغذية الأمريكية مونديليز إنترناشونال ، ومشغل المستشفيات الأمريكي هيريتج فالي هيلث سيستم. ^{[ 11 ] [ 58 ]} ويُعد مصنع كادبوري للشوكولاتة في هوبارت ، تسمانيا، أول شركة في أستراليا تتأثر بفيروس بيتيا. ^{[ 59 ]} في 28 يونيو 2017، أفادت التقارير بتأثر ميناء جواهر لال نهرو ، أكبر ميناء للحاويات في الهند، بتوقف جميع العمليات. ^{[ 60 ]} أعلن مستشفى برينستون المجتمعي في ريف ولاية فرجينيا الغربية أنه سيستغني عن شبكة حاسوبه بالكامل ويستبدلها في إطار جهوده للتعافي. ^{[ 61 ]}

قُدّرت الخسائر في الإيرادات التي تكبدتها شركة ميرسك، أكبر مشغل لسفن الحاويات وسفن الإمداد في العالم، بما يتراوح بين 200 و300 مليون دولار أمريكي. ^{[ 49 ] [ 62 ]}

تشير التقديرات إلى أن الأثر التجاري على شركة فيديكس سيبلغ 400 مليون دولار في عام 2018، وذلك وفقاً للتقرير السنوي للشركة لعام 2019. ^{[ 63 ]}

حثّ ينس ستولتنبرغ ، الأمين العام لحلف الناتو ، الحلف على تعزيز دفاعاته السيبرانية، قائلاً إن أي هجوم سيبراني قد يؤدي إلى تفعيل مبدأ الدفاع الجماعي المنصوص عليه في المادة 5. ^{[ 64 ] [ 65 ]}

رفضت شركة التأمين التابعة لشركة مونديليز إنترناشونال، وهي شركة زيورخ الأمريكية للتأمين ، دفع تعويضات عن أضرار ناجمة عن عدوى بكتيريا نوتبيتيا، بحجة أن نوتبيتيا تُعدّ "عملاً حربياً" لا يشمله التأمين. رفعت مونديليز دعوى قضائية ضد زيورخ الأمريكية بقيمة 100 مليون دولار عام 2018؛ ^{[ 66 ]} وتمّت تسوية الدعوى عام 2022 مع بقاء بنود التسوية سرية. ^{[ 67 ]}

أعلنت وكالة الشرطة الأوروبية (يوروبول) أنها على علم بتقارير عن هجوم إلكتروني في الدول الأعضاء بالاتحاد الأوروبي ، وأنها تستجيب لها بشكل عاجل . ^{[ 12 ]} وشاركت وزارة الأمن الداخلي الأمريكية في التحقيق، بالتنسيق مع شركائها الدوليين والمحليين. ^{[ 53 ]} وفي رسالة إلى وكالة الأمن القومي الأمريكية (NSA)، ^{[ 68 ]} طلب النائب الديمقراطي تيد ليو من الوكالة التعاون بشكل أكثر فعالية مع شركات التكنولوجيا لإبلاغها بثغرات البرامج ومساعدتها على منع الهجمات المستقبلية التي تستخدم برامج خبيثة طورتها وكالة الأمن القومي. ^{[ 34 ] [ 69 ]} وفي 15 فبراير/شباط 2018، ألقت إدارة ترامب باللوم على روسيا في الهجوم، وحذرت من "عواقب دولية". ^{[ 70 ]} كما أصدرت حكومتا المملكة المتحدة وأستراليا بيانات مماثلة. ^{[ 71 ]}

في أكتوبر/تشرين الأول 2020، وجهت وزارة العدل الأمريكية اتهامات إلى ضباط آخرين من المخابرات العسكرية الروسية (GRU) في لائحة اتهام. ^{[ 72 ]} وفي الوقت نفسه، اتهمت الحكومة البريطانية وحدة "ساندوورم " التابعة للمخابرات العسكرية الروسية (GRU) بالمسؤولية عن الهجمات التي استهدفت دورة الألعاب الأولمبية الصيفية لعام 2020. ^{[ 73 ]}

• معهد الصحة الصناعية المعتمد (1998)
• ستوكسنت (2010)
• WannaCry (2017)

• بوابة الإنترنت
• بوابة قانونية
• الطاقة السوداء
• وحدة تحكم المجال (ويندوز)
• الأزرق الأبدي
• ميميكاتز
• دودة الرمل (مجموعة هاكرز)
• كتلة رسائل الخادم
• تسريب ملفات فولكان