برنامج الفدية Vect يظهر على السطح: القدرات عبر المنصات ونموذج RaaS يشكلان تهديدًا جديدًا لأمن المؤسسات

مقدمة

في 3 أبريل 2026، أصدر فريق البحث والاستشارات في CYFIRMA تقريرًا استخباراتيًا أسبوعيًا كشف عن تهديد ناشئ يتمثل في برنامج الفدية Vect. وعلى عكس هجمات الفدية التقليدية أحادية النقطة، يعمل Vect بنموذج برمجيات الفدية كخدمة (RaaS)، ويدعم تشفير المنصتين Windows وLinux/ESXi، ويتبع استراتيجية هجوم تقوم على "السرقة أولاً، ثم التشفير، ثم الابتزاز"، مما يهدد مباشرة العديد من القطاعات الحيوية على مستوى العالم. بالنسبة لمسؤولي الأمن في المؤسسات، لا يمثل ظهور Vect مجرد عينة برمجيات خبيثة جديدة، بل يشير إلى أن بيئة برمجيات الفدية تتطور نحو نمط معياري، وعابر للمنصات، وعالي التخفي.

نظرة عامة على الحادث

رصد فريق CYFIRMA برنامج الفدية Vect أثناء مراقبة العديد من المنتديات السرية، وتغطي أهداف هجماته تسع دول: البرازيل، والولايات المتحدة، والهند، وجنوب أفريقيا، ومصر، وإسبانيا، وكولومبيا، وإيطاليا، وناميبيا، مع تركيز خاص على قطاعات التصنيع والتعليم والرعاية الصحية والتكنولوجيا والطاقة. تم بناء هذا البرنامج الخبيث باستخدام قاعدة أكواد مخصصة بلغة C++، وهو قادر على تشفير أنظمة Windows وLinux/ESXi، وتُضاف لاحقًا لاحقة ".vect" إلى الملفات المشفرة، كما يعدل خلفية سطح المكتب، ويُسقط ملف مذكرة الفدية المسمى "!!!_READ_ME_!!!.txt". تدّعي رسالة الفدية استخدام خوارزمية ChaCha20 لتشفير الملفات، وتهدد بنشر البيانات المسروقة إذا لم يتم دفع الفدية.

وقد تطور Vect إلى نموذج RaaS، مما يسمح للشركاء التابعين بنشر البرنامج الخبيث وتقاسم الأرباح مع المشغلين. يتضمن مسار هجومه الحصول على وصول أولي عبر رسائل التصيد الاحتيالي، أو بيانات الاعتماد المسروقة، أو الخدمات البعيدة المكشوفة (مثل RDP وVPN)، ثم استخدام مترجم الأوامر لتنفيذ الأوامر، وتحقيق الثبات من خلال المهام المجدولة، وتوسيع نطاق الوصول عبر رفع الامتيازات وسرقة بيانات الاعتماد.

التحليل التقني وتحليل المخاطر

أسلوب الهجوم وسلسلة الاستغلال

تتميز سلسلة هجمات Vect بطابع منظم وهي متوافقة بشكل كبير مع إطار عمل MITRE ATT&CK. في مرحلة التنفيذ، يستخدم مترجم الأوامر والبرامج النصية (T1059) والوحدات المشتركة (T1129) لتشغيل الحمولات الخبيثة. يتم تحقيق الثبات من خلال تعديل السجل (T1112)، وإنشاء خدمات Windows (T1543.003)، ومفاتيح التشغيل في السجل (T1547.001). وفيما يتعلق برفع الامتيازات، يعتمد على اختطاف تنفيذ الخيوط (T1055.003) وإنشاء عمليات نظام (T1543.003) وغيرها من الوسائل.

يُعد التهرب من الدفاعات قدرة بارزة لـ Vect. فهو قادر على فرض النظام للدخول في الوضع الآمن لتجاوز الضوابط الأمنية، وتعطيل أو تعديل الأدوات الأمنية (T1562.001)، وحذف الملفات لإزالة الآثار (T1070.004)، واستخدام التعتيم وتحميل الأكواد الانعكاسية (T1620) لتجنب الكشف، ويملك قدرات التهرب من البيئات الافتراضية/صناديق الرمل (T1497). بالإضافة إلى ذلك، يعزز قدرته على التخفي عبر إخفاء النوافذ (T1564.003) وتنفيذ الأوامر غير المباشر (T1202).فيما يتعلق بالحركة الجانبية، يستخدم Vect خدمات عن بُعد مثل SMB وWinRM للانتشار وتوسيع نفوذه داخل الشبكة. يتضمن جمع البيانات انتزاع المعلومات الحساسة من محركات الأقراص المحلية والمشتركة، ثم تسريبها عبر قنوات مشفرة ومن خلال بنية تحتية مجهولة. وفي مرحلة التأثير النهائية، يقوم بإيقاف الخدمات الحرجة (T1489) وحذف نسخ الظل (vssadmin.exe Delete Shadows /all /quiet وwmic shadowcopy delete)، مما يعيق بشدة قدرة الضحية على التعافي.

الأصول المتأثرة

يستهدف Vect بشكل أساسي أنظمة Windows، وهي نظام التشغيل الأكثر شيوعًا في بيئات المؤسسات، وبالتالي قد يغطي نطاق التأثير نقاط النهاية والخوادم وحتى البنية التحتية بأكملها. وفي الوقت نفسه، فإن دعم Linux/ESXi يعني أن بيئات المحاكاة الافتراضية وأحمال العمل السحابية معرضة للخطر أيضًا. ويشير التقرير إلى أن Vect ينهي العمليات المرتبطة بالنسخ الاحتياطي، مما يجعل من الصعب على المؤسسات التي تعتمد على نسخ الظل أو أدوات النسخ الاحتياطي التقليدية التعافي بسرعة.

الخصائص التقنية

يعتمد Vect على قاعدة تعليمات برمجية مخصصة بلغة C++، مما يشير إلى أن فريق التطوير يتمتع بمستوى تقني عالٍ. وهو قادر على اكتشاف بيئات التصحيح، وتغيير سلوكه في بيئات الصندوق الرملي أو البيئات الافتراضية لتجنب التحليل. علاوة على ذلك، يستخدم اتصال C2 بروتوكولات مشفرة ويمر عبر شبكات مجهولة، بالإضافة إلى موقع متخصص لتسريب البيانات، مما يشكل آلية ضغط متعددة المستويات.

تحليل تأثير المؤسسات

تأثير برنامج الفدية Vect على المؤسسات يتجاوز بكثير مجرد تشفير الملفات؛ فهو يشكل مخاطر منهجية عبر خمسة أبعاد: التشغيل، والمالية، والامتثال، والعلامة التجارية، والبيانات.

• مخاطر التشغيل: يوقف Vect الخدمات ويحذف نسخ الظل، مما يؤدي إلى انقطاع الأعمال. وفي قطاعي التصنيع والطاقة، قد يتسبب تشفير أنظمة OT في توقف الإنتاج مباشرة، مع صعوبة تقدير وقت التعافي.
• مخاطر مالية: دفع الفدية بحد ذاته تكلفة مباشرة، لكن الخسائر الأكبر تأتي من خسائر التوقف عن العمل، وتكاليف التحقيقات الجنائية الرقمية، وتكاليف إعادة بناء الأنظمة، والدعاوى القضائية المحتملة. قد تضطر الشركات الصغيرة والمتوسطة إلى دفع الفدية لأنها لا تستطيع تحمل التوقف الطويل.
• مخاطر الامتثال: إذا كانت البيانات المخزنة في المؤسسة تتعلق بالخصوصية الشخصية أو بيانات خاضعة للتنظيم، فقد يؤدي حادث تسرب البيانات إلى تفعيل التزامات الإبلاغ بموجب GDPR أو HIPAA أو لوائح حماية البيانات المحلية، مما يؤدي إلى غرامات ضخمة.
• مخاطر العلامة التجارية: التعرض العلني على مواقع تسريب البيانات يضر بثقة العملاء والشركاء، خاصة في قطاعي الرعاية الصحية والتعليم، حيث قد يكون فقدان السمعة صعب الإصلاح على المدى الطويل.
• مخاطر البيانات: يدعي Vect أنه سرق قواعد البيانات والنسخ الاحتياطية، وحتى إذا تمكنت المؤسسة من فك تشفير الملفات، فلا يمكنها التأكد مما إذا كانت البيانات قد نُسخت وسُرّبت، مما يعرض المعلومات الحساسة لخطر الكشف الدائم.

مراقبة اتجاهات القطاع

Vect ليس حدثًا معزولًا، بل هو نموذج نموذجي لتطور النظام البيئي لبرامج الفدية. يعكس نموذج RaaS وقدراته عبر المنصات ثلاثة اتجاهات رئيسية في القطاع حاليًا:1. تسليع برامج الفدية: تتيح خدمة RaaS للمهاجمين ذوي المهارات التقنية المنخفضة شن هجمات عالية التأثير، مما يخفض حاجز الدخول ويزيد في الوقت نفسه من صعوبة المواجهة لجهة الدفاع. 2. هجمات المنصات المتعددة أصبحت القاعدة: مع تزايد اختلاط بيئات تكنولوجيا المعلومات في المؤسسات، ازدادت برامج الفدية التي تستهدف Linux/ESXi، ولم تعد البيئات الافتراضية والسحابية “ملاذًا آمنًا”. 3. الجمع بين الابتزاز المزدوج وتسريب البيانات: لم يعد التشفير وحده كافيًا لابتزاز الضحايا؛ إذ يسرق المهاجمون البيانات أيضًا ويستغلون مخاطر تسريب الخصوصية لرفع معدل دفع الفدية.

يرى تقييم CYFIRMA أن Vect ستتطور إلى تهديد أكثر مرونة، وستستمر أتمتتها وقدراتها على التهرب وبنيتها التحتية في التحسن، ومن المتوقع أن ينضم المزيد من الجهات المرتبطة، وسيتوسع سطح الهجوم بشكل أكبر.

توصيات الدفاع والاستجابة

على مستوى المؤسسة

• تعزيز أمان الهوية: فرض المصادقة متعددة العوامل (MFA) على جميع الخدمات المواجهة للإنترنت، خاصة VPN وRDP وأنظمة البريد الإلكتروني، للحد من مخاطر سرقة بيانات الاعتماد.
• تنفيذ بنية الثقة المعدومة: التحقق المستمر من الوصول الداخلي، وتقييد مسارات الحركة الجانبية، وتطبيق مبدأ الامتيازات الأقل على الأنظمة الحيوية.
• إدارة صارمة للثغرات: معالجة الثغرات المعروفة في الوقت المناسب، خاصة أسطح الهجوم المكشوفة عبر الخدمات البعيدة، لتقليل نقاط الدخول الأولي للاختراق.

على المستوى التقني

• نشر EDR/XDR: استخدام أدوات كشف والاستجابة للنقاط الطرفية (EDR) والكشف والاستجابة الموسّع (XDR) لمراقبة السلوكيات الشاذة مثل حقن العمليات، وتعديلات السجل، وتنفيذ البرامج النصية للأوامر.
• تعزيز استخبارات التهديدات: الاشتراك في مصادر استخبارات التهديدات التي تتضمن مؤشرات الاختراق (IOC) وتكتيكات وتقنيات وإجراءات (TTP)، ودمج مؤشرات Vect (مثل امتداد ".vect" والعمليات المحددة ومسارات السجل) في SIEM لتحقيق الكشف في الوقت الفعلي.
• تكوين النسخ الاحتياطي بشكل آمن: ضمان تخزين النسخ الاحتياطية في شبكات منفصلة أو غير متصلة بالشبكة، واختبار عمليات الاستعادة بانتظام، لمنع المهاجمين من حذف النسخ الاحتياطية أو تشفيرها.

على المستوى الإداري

• وضع خطة الاستجابة للحوادث: تحديد إجراءات التعامل بعد تسريب البيانات، بما في ذلك الاحتواء والاستئصال والاستعادة والالتزامات بالإخطار. مع مراعاة نوع البيانات واللوائح المحلية، والتحضير المسبق لخطة التواصل مع الجهات التنظيمية.
• إدارة مخاطر الطرف الثالث: قد يتم الوصول الأولي إلى Vect عبر نقاط ضعف لدى الشركاء أو الموردين، لذا يجب تقييم أمن سلسلة التوريد وضمان توفر ضوابط أمنية كافية لدى الأطراف الثالثة.
• التوعية الأمنية: تدريب الموظفين على التعرف على رسائل التصيد والروابط المشبوهة، لتقليل احتمالية الاختراق عبر هجمات الهندسة الاجتماعية.

SecurityPost Insightكشف برنامج الفدية Vect يذكّر صانعي القرار الأمني في المؤسسات مرة أخرى بأن تهديد برامج الفدية لم يعد مقتصرًا على تشفير الملفات البسيط، بل تطوّر إلى صناعة إجرامية إلكترونية عالية التنظيم وذات طابع تجاري. إن قدرات Vect عبر المنصات المتعددة، ونموذج RaaS، وتقنيات المراوغة المتقدمة تُظهر أن المهاجمين يستثمرون المزيد من الموارد لاختراق الدفاعات التقليدية وتحقيق أقصى قدر من الأرباح.

بالنسبة للمؤسسات، الدرس الأول هو أن "القابلية للاسترداد" لم تعد خيارًا بل أصبحت خط البقاء الأساسي. يجب أن تضع استراتيجيات النسخ الاحتياطي في الاعتبار افتراض تعرضها للتدمير من قبل المهاجمين، لذا فإن النسخ الاحتياطية غير المتصلة بالإنترنت وغير القابلة للتعديل والتدريبات الدورية تعتبر أمورًا لا غنى عنها. وفي الوقت نفسه، ينبغي توجيه الاستثمارات الأمنية بالأولوية نحو المصادقة، ورؤية الأجهزة الطرفية، والاستخبارات المتعلقة بالتهديدات، وذلك لتقصير زمن الكشف والاستجابة.

في المستقبل، نتوقع أن تصبح Vect وعائلات برامج الفدية المماثلة أكثر ذكاءً، حيث ستستخدم الذكاء الاصطناعي لتحسين انتقاء الأهداف، وربما تطوير وحدات تشفير جديدة تستهدف البيئات السحابية الأصلية. وتحتاج فرق الأمن إلى مراقبة مستمرة لديناميكيات التهديدات ومشاركة المعلومات الاستخباراتية مع شركاء الصناعة، حتى تتمكن من البقاء في طليعة هذه المواجهة المتصاعدة.