اكتشفت كاسبرسكي هجمات برامج فدية تستخدم BitLocker من Microsoft لمحاولة تشفير ملفات الشركات. حيث تزيل مصادر التهديد خيارات الاسترداد لمنع استعادة الملفات. وتستخدم نصاً برمجياً خبيثاً مع ميزة جديدة تمكنه من اكتشاف إصدارات نظام Windows محددة وتمكين BitLocker وفقاً للإصدار. سميت هذه البرمجية «ShrinkLocker». وقد تم ملاحظتها مع مشتقاتها في المكسيك وإندونيسيا والأردن. واستهدف الجناة شركات في صناعات الصلب واللقاحات، وجهة حكومية.
وفقاً لتقارير فريق كاسبرسكي للاستجابة للطوارئ العالمية. تستعمل مصادر التهديد لغة VBScript – وهي لغة برمجة تستخدم لأتمتة المهام على أجهزة الحاسوب العاملة بنظام Windows – لإنشاء نص برمجي خبيث بميزات غير معروفة مسبقاً لزيادة الضرر الناجم عن الهجوم إلى أقصى حد. لكن الجديد هو أن النص البرمجي يتحقق من الإصدار الحالي المثبت من نظام Windows ويفعّل ميزات BitLocker وفقاً لذلك. وبهذه الطريقة. يُعتقد أن البرنامج النصي قادر على إصابة الأنظمة الجديدة والقديمة بداية من نظام Windows Server 2008.
كيف يعمل برنامج الفدية
عندما يكون إصدار نظام التشغيل ملائماً للهجوم، يغيّر النص البرمجي إعدادات الإقلاع ويحاول تشفير محركات الأقراص بأكملها باستخدام BitLocker. فينشئ تقسيمة إقلاع جديدة، أي أنه يعد قسماً منفصلاً على وحدة تخزين الحاسوب المتضمن ملفات لإقلاع نظام التشغيل. ويهدف هذا الإجراء إلى تقييد الضحية في مرحلة لاحقة. كذلك، قام المهاجمون بحذف الحماية المستخدمة لتأمين مفتاح تشفير BitLocker حتى لا يتمكن الضحية من استعادتها.
عند إتمام الخطوات السابقة، يرسل النص البرمجي الخبيث معلومات حول النظام ومفتاح التشفير الذي تم إنشاؤه على الحاسوب المخترق إلى الخادم الذي يتحكم فيه مصدر التهديد. بعد ذلك، يغطي مساراته عن طريق حذف السجلات والملفات المختلفة التي تعمل كتلميح وتساعد في التحقيق في الهجوم.
كخطوة أخيرة، تفرض البرمجيات الخبيثة إيقاف تشغيل النظام – وهي قدرة يجري تسهيلها من خلال إنشاء الملفات وإعادة تثبيتها في تقسيمة إقلاع منفصلة. ترى الضحية شاشة BitLocker مع هذه الرسالة: «لا توجد خيارات استرداد BitLocker أخرى على حاسوبك.»
أطلقت كاسبرسكي على النص البرمجي تسمية «ShrinkLocker» لأن هذا الاسم يسلط الضوء على الإجراء الخطير لتغيير حجم القسم. والذي كان ضرورياً للمهاجم لضمان تمهيد النظام بشكل صحيح مع الملفات المشفرة.
يوضح كريستيان سوزا، أخصائي الاستجابة للحوادث في فريق كاسبرسكي للاستجابة للطوارئ العالمية. بالقول: «ما يثير القلق بشكل خاص في هذه القضية هو أن أداة BitLocker، المصممة في الأصل للتخفيف من مخاطر سرقة البيانات أو انكشافها. قد تم إعادة استخدامها من قبل المخترقين لتحقيق غايات خبيثة. إنها لمفارقة قاسية أن يجري تسليح إجراء أمني بهذه الطريقة. بالنسبة للشركات التي تستخدم BitLocker، من الضروري ضمان كلمات مرور قوية وتخزين آمن لمفاتيح الاسترداد. كما تعد النسخ الاحتياطية المنتظمة، التي تُحفظ في وضع عدم الاتصال والمختبرة، ضمانات أساسية كذلك.»
