أخطر أنواع البرامج الخبيثة على الإطلاق " فيروس رانسوم وير "

فيروس رانسوم وير هو فيروس ليس معروفا لمعظم الناس بالرغم من أن بصمته عالميا لا تضاهيها أي بصمة لبرمجية خبيثة أخرى .تعالوا اليوم نكتشف مع بعضنا البعض هذ الفيروس الخطير و مقولته الشهيرة :” إدفع النقود مقابل إسترجاع بياناتك “.

ما هو الإبتزاز الرقمي :

هو جريمة إلكترونية تهدف إلى الحصول على الأموال أو الممتلكات أو خدمات من مؤسسة معينة، عن طريق الإكراه.و عادة ما تكون الطريقة التي يستعملها المبتزون”Racketeerss” في تحقيق أهدافهم ، إظهار رسالة نصية للضحية فيها كل التعليمات التي يجب أن يتبعها لإتمام المعاملة التي بينهما .و يمارس هذا النوع من الابتزاز من قبل أفراد و غالبا ما يكون من جماعات الجريمة المنظمة .

ما هو فيروس رانسوم وير :

هو برمجية خبيثة من نوع التروجان “Trojan” تستهدف بالأساس نظام التشغيل ويندوز ولها إصدار واحد على نظام لينوكس ، لها عدة خصائص شبيهة فيروس نجرات ، على سبيل الذكر لا الحصر ، التحكم بملفات الجهاز ، و خاصية الدوس أتاك DDOS attack ، إذ أنه يحجب الخدمة عن المستعمل .

و يقوم هذا البرنامج ب تشفير البيانات الشخصية للضحية و لا يسمح له بالوصول إليها أبدا و ثم يقوم بطلب فدية منه  عبر رسالة نصية تظهر له في الشاشة لاسترجاع كامل ملفاته .

لمحة تاريخية عن فيروس رانسوم وير :

أول ظهور لبرمجية رانسوم وير “Ransom ware” كان سنة 1989 و بالتحديد في الفترة الممتدة بين يوم 7 و 11 ديسمبر من نفس العام ، وسميت “أيدس تروجان AIDS Trojan” و أيضا “بيسي سايبورغ PC Cyborgg”، حيث قامت شركة وهمية تسمى “Ketema & Associates “بتوزيع 26000 ظرف يحتوي على قرص مرن “Floppy Disk” إلى العديد من الأشخاص و الجمعيات الذين يهتمون بمجال الصحة في كامل أنحاء بريطانيا .

و كانت البرمجية المصطبة في هذا القرص عبارة عن برنامج تفاعلي حول “مرض الإيدز AIDS” ، يقدم معلومات حول هذا المرض الخطير ، و يطرح الأسئلة على المستعمل حول ثقافته الجنسية و ينبهه على ضوء إجاباته على أنه من الممكن تعرضه للإيدز أو لا و ينصحه بمشاركة هذا البرنامج مع شريكه الجنسي للوقاية منه.

واجهة برنامج AIDS

و ما كان خفيا وقتها أن هذا التطبيق يحتوي على تروجان كامن و يشتغل في الخفاء ، يقوم بتشفير كامل المعطيات الموجودة على الجهاز و تنبثق منه نافذة تطلب من الضحية دفع معلوم مالي قدره 189 دولارا أمريكيا سنويا لمواصلة استخدام هذا البرنامج و كان من دهاء المبرمج ، أن لا تظهر هذه الرسالة إلا بعد إعادة تشغيل الكمبيوتر 900 مرة لإعطاء  الوقت الكافي للمستعمل لاستخدامه و نشره بين أصدقاءه .

إرشادات لدفع الفدية

أدى انتشار هذه البرمجية الخبيثة إلى حلول كارثة إلكترونية عظمى في المملكة المتحدة ، مما توجب على الحكومة فتح تحقيق دولي فيها ، أستوجب تجميد نشاط شركة “Ketema & Associates ” و طرد مالكها الكيني الجنسية “Mr. Ketema” و كشفت التحقيقات أيضا عبر العنوان الذي يجب على المستعمل إرسال الأموال إليه أنه متواجد في دولة باناما تحت أسم شركة “PC Cyborg Corporation” .

القبض على العقل المدبر لفيروس رانسوم وير:

جوزيف بوب Joseph Pop

و بدأت وقتها ملامح الجريمة تستوضح شيئا فشيئا إلى أن تم القبض على العقل المدبر لها المسمى “جوزيف بوب Joseph Pop ” الأمريكي الجنسية الذي كان دكتور في  الأنثروبولوجيا وعلم الحيوان “Anthropology and Zoologyy” و من بعد ذلك أصبح مستشارا في تطوير النظم الإلكترونية في  المنظمة العالمية للصحة “W.H.OO”.

و عندما سئل عن سبب إنشاءه لهذا الفيروس قال أنه بهدف إخبار الناس بخطر مرض الإيدز و دفعهم لتقديم دعم مالي  للمؤسسات الصحية الراعية لهذا الموضوع  و أنه لم يحظى بأي أموال عن طريقه .

تم القبض عليه يوم 2 فبراير 1990 في الولايات المتحدة الأمريكية و أتهم ب 11 قضية لكن بعد فترة من الزمن تم  إخلاء سبيله بحجة أنه مجنون و ليست له قدرات ذهنية طبيعية .

كيف يعمل فيروس رانسوم وير الحديث ؟

كما قلنا سابقا فإن فيروس رانسوم وير مصمم للابتزاز و طلب الفدية من الضحايا اللذين وقعوا أسرى في شباكه لذلك سوف نقدم لكم مثالا عن برنامج Locky المشهور  نوضح فيه آلية عمل هذا الفيروس  .

لنأخذ مثالا على ذلك ، شخص قام بتحميل ملف يحتوي على هذا الفيروس و عند القيام بتنفيذه فإن هذه البرمجية تقوم بتشفير جميع الملفات الموجودة بالقرص الصلب وبالمجلد المتاح للعموم “Shared Folderr” إذا كان مرتبطا بشبكة  محلية أو عن بعد لتصبح على الشكل :

تحويل صيغة الملف إلى locky.

و من ثم تظهر لك رسالة مضمونها المترجم كالتالي :

الرسالة النصية ل Locky

بعد قراءة هذه الرسالة ، لا يوجد حل بالنسبة للضحية إلا إتباع ما جاء فيها حرفيا و ذلك من شدة حرصه على استرجاع معلوماته الشخصية فيقوم بفتح متصفح التور ثم يتوجه إلى رابط الموقع المشار إليه ، فتظهر له هذه الواجهة :

يقوم في هذه المرحلة بإدخال المعرف الوحيد الخاص به و المذكور في الرسالة النصية وهو في هذا المثال RGH**********DV:

طريقة دفع المال لهذا الشخص:

طريقة دفع المال

و بعد إتمام عملية إدخال الكود ، يوجهك السيرفر  إلى هذه الصفحة لتقديم الفدية وهي متمثلة في دفع مبلغ مالي عن طريق البتكوين قيمته 0.5 btc أي ما يعادل حاليا 318 دولار أمريكي حسب موقع preev.com  ، إلى عنوان المحفظة الموجود في أسفل الصفحة .

و بعد التأكد من نجاح عملية الدفع ، سيطلب منك تحديث الصفحة للحصول على مفتاح فك التشفير الخاص بك لكي  تستعيد ملفاتك بالكامل .هذا توضيح للعملية في الصورة :

 ملاحظة :ليس أكيدا حصولك على مفتاح لفك التشفير بعد عملية تحويل الأموال ، فهؤلاء هم مجرمون و يمكنهم أن يخدعوك مرة ثانية بعدم توفير هذ المفتاح لك فحذاري كل الحذر.