أخبار برمجية الفدية DeadLock: الاستفادة من Polygon لتجاوز عمليات الإيقاف

حذر باحثو الأمن من تهديد ناشئ يسلط الضوء على سوء استخدام متطور لتقنية البلوكشين. حيث يستغل سلالة جديدة من برامج الفدية خاصية عدم قابلية التغيير لعقود ذكية على شبكة بوليجون للحفاظ على بنية تحتية للتحكم والسيطرة يصعب تعطيلها عبر الطرق التقليدية للإيقاف. يمثل هذا التطور تطورًا في كيفية تعامل الجهات المهددة مع مرونة البنية التحتية في العصر الرقمي.

وفقًا للنتائج التي نشرتها شركة الأمن السيبراني Group-IB في منتصف يناير، فإن نسخة برامج الفدية المعروفة باسم DeadLock ظهرت لأول مرة في يوليو الماضي، ومنذ ذلك الحين تعمل بشكل كبير تحت الرادار. وعلى الرغم من أن الحملة أُكدت حتى الآن على عدد محدود من الضحايا، يحذر خبراء الأمن من أن التقنية الأساسية تمثل ابتكارًا مقلقًا يمكن أن ينسخه المهاجمون الأكثر خبرة عبر منظومة الجريمة.

الآلية التقنية وراء الهجوم

بدلاً من الاعتماد على خوادم الأوامر المركزية التقليدية — التي عادةً ما يتم تحديدها وإيقافها من قبل فرق الأمن — يستخدم DeadLock نهجًا جديدًا يستفيد من خصائص البلوكشين الأساسية. بمجرد إصابة النظام وتشفيره، يستعلم البرمجية الخبيثة عن عقدة ذكية معينة منشورة على شبكة بوليجون. تحافظ هذه العقدة على قائمة بعناوين خوادم بروكسي نشطة حاليًا تسهل التواصل بين المهاجمين وضحاياهم.

تكمن روعة هذه التقنية في مرونتها الفطرية. عندما يحدد خبراء الأمن عنوان بروكسي معين ويقومون بحظره، يمكن للمهاجمين ببساطة تحديث العقدة بعناوين جديدة، دون الحاجة لإعادة نشر البرمجية الخبيثة نفسها. والأهم من ذلك، أن الضحايا لا يحتاجون إلى إجراء معاملات على البلوكشين أو دفع رسوم غاز — فبرمجية الفدية تقوم فقط بعمليات قراءة لاسترجاع أحدث تكوين للبنية التحتية. بعد إقامة الاتصال بنجاح، يتلقى الضحايا ملاحظات فدية مرفقة بتهديدات بأن بياناتهم المسروقة ستُعرض للمزاد إلا إذا تم الدفع.

لماذا يخلق هذا النهج تحديات دفاعية مستمرة

تسلط نتائج هذا الأسلوب الضوء على عدم التوازن الأساسي بين الهجوم والدفاع في الأمن السيبراني. عادةً ما تتسم بنية تحتية لبرامج الفدية بنقطة فشل واحدة — يمكن الاستيلاء على خادم الأوامر، أو حظر عنوان IP، أو تعليق نطاق. بالمقابل، لا يوجد هدف مركزي في تخزين التكوين على البلوكشين. تظل بيانات البروكسي موجودة عبر آلاف العقد الموزعة حول العالم، مما يجعل عمليات الإيقاف التقليدية فعليًا غير فعالة.

من وجهة نظر دفاعية، فإن إيقاف عنوان عقد ذكي واحد لا يحقق الكثير عندما يمكن نشر عناوين جديدة على الفور. لا يمكن للسلطات الأمنية أو فرق الدفاع “فصل” بنية تحتية موجودة عبر شبكة لامركزية. يفسر هذا الميزة المعمارية لماذا أشار فريق Group-IB إلى أن هذه الطريقة تعتبر مبتكرة بشكل خاص، على الرغم من أن نطاق الحملة محدود حاليًا.

توضيح صورة أمان بوليجون

ملاحظة مهمة: يؤكد الباحثون أن شبكة بوليجون نفسها لا تحتوي على ثغرات قابلة للاستغلال تُستخدم في هذه الحملة. DeadLock لا يستغل عيوب في بروتوكول البلوكشين، أو الحلول من الطبقة الثانية، أو العقود الذكية الخاصة بأطراف ثالثة مثل بروتوكولات التمويل اللامركزي، أو المحافظ، أو الجسور. بدلاً من ذلك، يستغل المهاجمون ببساطة الطبيعة العامة والثابتة لبيانات البلوكشين — مشابهًا لتقنيات “إخفاء الإيثير” القديمة التي وثقت في أبحاث أمنية سابقة.

يكشف تحليل العقود الذكية المرتبطة بعملية DeadLock عن نشاط نشر يتركز بين أغسطس ونوفمبر من العام الماضي. لا يواجه مستخدمو ومطورو بوليجون خطرًا تقنيًا مباشرًا من هذه الحملة المحددة، لكن الحالة تعتبر تحذيرًا من كيف يمكن أن تصبح الشبكات العامة للبلاكتشين بنية تحتية للأنشطة الإجرامية خارج السلسلة بطرق تتحدى طرق الكشف والتعطيل التقليدية.

نظرة مستقبلية: التداعيات الأوسع

على الرغم من أن DeadLock لا يزال منخفض الملفت مع عدد محدود من الضحايا الموثقين وغياب ارتباط معروف مع برامج الفدية كخدمة الكبرى، يؤكد خبراء الأمن أن قابلية نقل المفهوم هي القلق الحقيقي. يمكن أن تتبنى مجموعات التهديد المعروفة نفس النهج لبناء بنية تحتية أكثر مرونة. تبرز أخبار برامج الفدية هذه واقعًا غير مريح: مع نضوج تقنية البلوكشين، تتطور أيضًا الطرق الإبداعية التي يستخدمها المهاجمون لاستغلال خصائصها لأغراض إجرامية.