الكشف عن برنامج الفدية الجديد Vect: الهجمات عبر المنصات ونموذج RaaS تشكل تهديدات متعددة للشركات

مقدمة

في 3 أبريل 2026، نشر فريق CYFIRMA للبحث والاستشارات تقريره الأسبوعي، كاشفًا عن برنامج فدية جديد يُدعى Vect. لا يعتمد هذا البرنامج الخبيث نموذج "البرمجيات الخبيثة كخدمة" (RaaS) فحسب، بل يتمتع أيضًا بقدرات عبر المنصات، حيث يستهدف أنظمة Windows وLinux/ESXi في وقت واحد. يقوم Vect بالهجوم عبر تشفير الملفات، والتلاعب بإعدادات النظام، والضغط بطلب الفدية، كما ظهر له موقع لتسريب البيانات. وتشمل أهدافه قطاعات حيوية متعددة مثل التصنيع والتعليم والرعاية الصحية والتكنولوجيا والطاقة، في تسعة بلدان منها البرازيل والولايات المتحدة والهند. يشير هذا الاكتشاف إلى أن تهديد برامج الفدية يتجه نحو مزيد من الاحترافية والتخفي والتوسع، مما يستدعي من مسؤولي الأمن في المؤسسات إعادة تقييم أنظمة الدفاع لديهم.

نظرة عامة على الحادث

• الوقت: نُشر التقرير في 3 أبريل 2026
• المصدر: اكتشفه فريق أبحاث التهديدات في CYFIRMA أثناء مراقبة المنتديات السرية
• اسم البرنامج الخبيث: Vect Ransomware
• المنصات المستهدفة: Windows وLinux/ESXi
• البلدان المستهدفة: البرازيل، الولايات المتحدة، الهند، جنوب أفريقيا، مصر، إسبانيا، كولومبيا، إيطاليا، ناميبيا
• القطاعات المستهدفة: التصنيع، التعليم، الرعاية الصحية، التكنولوجيا، الطاقة
• الحقائق المعروفة:
• - يضيف الامتداد ".vect" بعد تشفير الملفات
• - يغيّر خلفية سطح المكتب ويضع رسالة فدية باسم "!!!_READ_ME_!!!.txt"
• - يدّعي استخدام خوارزمية ChaCha20 لتشفير الملفات، وسرق بيانات حساسة مثل قواعد البيانات والنسخ الاحتياطية
• - يعتمد نموذج RaaS، ويجنّد مهاجمين تابعين ويقتسم الأرباح
• - يستخدم قاعدة أكواد C++ مخصصة، ويتمتع بقدرات عبر المنصات
• - تتضمن سلسلة الهجوم: الوصول الأولي (التصيد، سرقة بيانات الاعتماد، خدمات RDP/VPN المكشوفة)، والتنفيذ عبر مترجم أوامر، والاستمرارية عبر المهام المجدولة، ورفع الامتيازات وسرقة بيانات الاعتماد، واكتشاف النظام والشبكة، والحركة الجانبية عبر SMB/WinRM، وجمع البيانات ونقلها المشفر، وتشفير الملفات وحذف نسخ الظل

التحليل التقني والمخاطر

أساليب الهجوم وسلسلة الاستغلال

تتميز سير عمل هجوم برنامج الفدية Vect ببنية عالية التنظيم، بما يتوافق مع نموذج "السرقة – التشفير – الفدية" النموذجي. وتعتمد وسائل الوصول الأولي بشكل أساسي على ثلاثة مسارات:

1. الهجوم بالتصيد: عبر الهندسة الاجتماعية لدفع المستخدم إلى تنفيذ مرفق أو رابط خبيث. 2. سرقة بيانات الاعتماد: استغلال أسماء المستخدمين وكلمات المرور المسربة، خاصة تلك التي لا تستخدم المصادقة متعددة العوامل (MFA). 3. الخدمات البعيدة المكشوفة: مثل مداخل RDP وVPN غير المحمية بشكل كافٍ.بمجرد حصوله على حق الوصول، يستخدم Vect مترجم الأوامر (T1059) لتنفيذ الحمولة الضارة، ويحقق الثبات عبر تعديل السجل (T1112)، وإنشاء خدمة Windows (T1543.003)، ومجلد بدء التشغيل (T1547.001). بعد ذلك، يستخدم المهاجم حقن العمليات (T1055.003) وتقنيات تفريغ بيانات الاعتماد لرفع الامتيازات، ويستخدم وسائل استطلاع مثل اكتشاف خدمات النظام (T1007) واكتشاف مشاركات الشبكة (T1135) لتحديد الأصول عالية القيمة.

فيما يتعلق بالحركة الجانبية، ينتشر Vect عبر بروتوكولي SMB وWinRM، مما يمكنه من الانتشار بسرعة في جميع أنحاء الشبكة الداخلية. قبل التشفير النهائي، يقوم بجمع البيانات من محركات الأقراص المحلية والمشتركة، ويعيد إرسالها عبر قناة مشفرة إلى بنية تحتية مجهولة. ومن الجدير بالذكر أن Vect قادر على التشغيل في الوضع الآمن، مما يتجاوز بعض الحمايات الطرفية؛ كما يعطل أدوات الأمان، ويوقف خدمات النسخ الاحتياطي (T1489)، ويحذف النسخ الاحتياطية للظل (vssadmin.exe Delete Shadows /all /quiet وwmic shadowcopy delete /nointeractive)، مما يعيق بشدة استعادة الضحية للبيانات.

أبرز التقنيات: المراوغة ومكافحة التحليل

• يُظهر Vect قدرات متقدمة في مراوغة الدفاعات، بما في ذلك:
• مراوغة البيئة الافتراضية/صندوق الرمل (T1497): اكتشاف بيئات التصحيح وخصائص الأجهزة الافتراضية، وتحديد ما إذا كان سيتم إطلاق الحمولة الكاملة.
• تحميل الكود الانعكاسي (T1620): تحميل الكود الخبيث مباشرة في الذاكرة، وتجنب كتابته على القرص.
• إخفاء النوافذ (T1564.003): إخفاء النوافذ الخبيثة لخداع المستخدم.
• مسح آثار الأدوات الخبيثة (T1070.004): حذف سجلات التشغيل والملفات، مما يزيد من صعوبة التحليل الجنائي.

تشير هذه التقنيات إلى أن Vect ليس مجرد سكربت بسيط، بل أداة تُصان باستمرار بواسطة فريق محترف، ولديها قدرة قوية على مواجهة الكشف.

الأصول المتأثرة ومخاطر المؤسسات

• تغطي هجمات Vect نطاقًا واسعًا من أصول المؤسسات، بما في ذلك:
• الأجهزة الطرفية: محطات عمل Windows وخوادمها
• البنية التحتية الافتراضية: VMware ESXi/الخوادم السحابية
• أنظمة إدارة الهوية والوصول: بيانات اعتماد النطاق المسروقة
• تخزين البيانات: قواعد البيانات، ومستودعات النسخ الاحتياطي، وخوادم الملفات المشتركة

• إذا تعرضت مؤسسة لهجوم Vect، فستواجه:
• انقطاع العمليات: تشفير أنظمة الأعمال الأساسية، وتوقف الإنتاج؛ توقف الخدمات (T1489) يؤدي إلى عدم توفر التطبيقات الحرجة.
• خسائر مالية: دفع فدية التشفير، وفقدان الإيرادات بسبب توقف الأعمال، وتكاليف استعادة البيانات.
• مخاطر الامتثال: إذا تضمن تسريب بيانات شخصية، فقد ينتهك ذلك لوائح مثل GDPR وHIPAA، مما يعرض المؤسسة لعقوبات تنظيمية.
• ضرر السمعة: عرض البيانات الحساسة علنًا على مواقع تسريب البيانات، مما يضر بثقة العملاء.## تحليل تأثير المؤسسات

يتجاوز تأثير فيروس الفدية Vect على المؤسسات مجرد تشفير البيانات، إذ تعمل استراتيجية الابتزاز المزدوج على تضخيم المخاطر. لا يقتصر المهاجمون على تشفير الملفات، بل يهددون أيضًا بنشر البيانات المسروقة، مما يضع المؤسسات أمام معضلة الاختيار بين دفع الفدية أم لا. في قطاع التصنيع، قد يؤدي تشفير إعدادات PLC أو أنظمة MES إلى توقف خطوط الإنتاج؛ وفي قطاع الرعاية الصحية، قد تؤدي تسريبات سجلات المرضى إلى مشكلات امتثال خطيرة؛ أما المؤسسات التعليمية فقد تتعرض لضرر سمعة بسبب تسريب بيانات المرشحين أو نتائج الأبحاث.

والأكثر إثارة للقلق أن قدرة Vect على تشفير أنظمة Linux/ESXi تعني أن استراتيجيات الدفاع التقليدية التي تحمي Windows فقط لم تعد كافية. فالأعباء التشغيلية الحرجة للمؤسسات في البيئات السحابية أو منصات المحاكاة الافتراضية معرضة للخطر أيضًا. بالإضافة إلى ذلك، يعمل نموذج البرمجيات كخدمة للفدية (RaaS) على خفض حاجز الدخول للهجمات، مما يتيح لمزيد من الجماعات الإجرامية الصغيرة والمتوسطة شن هجمات فدية، ويوسع نطاق الهجوم.

ملاحظات حول اتجاهات القطاع

إن كشف Vect ليس حدثًا معزولًا، بل يعكس اتجاهًا متواصلًا في تطور بيئة برامج الفدية:

1. الهجمات عبر المنصات أصبحت أمرًا معتادًا: الانتقال من Windows إلى Linux/ESXi يُظهر أن المهاجمين يستهدفون نطاقًا أوسع من مكونات البنية التحتية للمؤسسات، خاصة بيئات المحاكاة الافتراضية والسحابة. 2. نضج نموذج RaaS: أدى التقسيم المتخصص للعمل إلى تسليع أدوات الهجوم، مما مكّن المجرمين غير التقنيين من شن هجمات متقدمة، وأدى إلى زيادة حادة في عدد حوادث الفدية. 3. الابتزاز المزدوج أصبح معيارًا: أصبح "الابتزاز المزدوج" عبر سرقة البيانات + تشفيرها هو السائد، مما يجبر المؤسسات على الاختيار بين تسريب البيانات وتعطيل الأعمال. 4. سلسلة التوريد والبنية التحتية الحرجة في دائرة التركيز: القطاعات المستهدفة في التقرير هي في الغالب بنية تحتية حرجة، وتشمل دولًا متعددة، مما يشير إلى أن المهاجمين يميلون إلى اختيار أهداف عالية التأثير لتحقيق أقصى عائد من الابتزاز. 5. دمج الذكاء الاصطناعي والأتمتة: على الرغم من أن Vect لم يذكر الذكاء الاصطناعي صراحةً، إلا أن قدراته على الاستطلاع الآلي والحركة الجانبية تحمل بالفعل سمات شبه آلية، وفي المستقبل قد يؤدي دمجه مع الذكاء الاصطناعي إلى هجمات أسرع وأكثر دقة.

تشير هذه الاتجاهات إلى أن برامج الفدية لم تعد جريمة متفرقة، بل أصبحت اقتصادًا غير مشروع منظمًا وصناعيًا. يجب على المؤسسات اعتماد استراتيجيات دفاعية أكثر استباقية ومرونة.

توصيات الدفاع والاستجابة

على مستوى المؤسسات - تعزيز إدارة الهوية والوصول (IAM): تفعيل المصادقة متعددة العوامل (MFA) بشكل شامل، خاصة لقنوات الوصول عن بُعد مثل RDP وVPN. تطبيق مبدأ الامتياز الأقل، وتقييد استخدام الحسابات المميزة. - نشر بنية الثقة المعدومة (Zero Trust): عدم الوثوق افتراضيًا بأي جهاز أو مستخدم، والتحقق المستمر من طلبات الوصول، وتنفيذ عزل دقيق لحركة المرور بين الشمال والجنوب وبين الشرق والغرب. - تحسين إدارة التصحيحات: معالجة الثغرات الأمنية المعروفة في الوقت المناسب، خاصة للأنظمة والخدمات الموجهة للإنترنت.### المستوى التقني - نشر EDR/XDR: استخدام حلول كشف النقاط الطرفية والاستجابة لها (EDR) أو الكشف والاستجابة الموسّعين (XDR) لمراقبة السلوكيات الشائعة لبرامج الفدية (مثل حذف نسخ الظل، وحقن العمليات غير الطبيعي، وتنفيذ البرامج النصية المشبوهة). - تعزيز مراقبة الشبكة: استخدام SIEM لتحليل الارتباط في السجلات، والتركيز على مؤشرات مثل اتصالات SMB/WinRM غير الطبيعية وحركة مرور تسريب البيانات. - دمج استخبارات التهديدات: الاشتراك في مصادر استخبارات التهديدات مثل CYFIRMA للحصول على أحدث مؤشرات الاختراق (IoC) والتكتيكات والتقنيات والإجراءات (TTP)، وتعيين قواعد الحظر في جدران الحماية ومنصات التهديدات. - النسخ الاحتياطي والاستعادة: اعتماد مبدأ 3-2-1، واختبار عمليات الاستعادة بانتظام، وتخزين النسخ الاحتياطية في موقع معزول عن شبكة الإنتاج، مع ملاحظة أن Vect يحذف النسخ الاحتياطية، لذا يمكن النظر في نسخ احتياطية غير قابلة للتغيير أو تخزين دون اتصال.

المستوى الإداري - وضع خطة الاستجابة للحوادث: تحديد عمليات اتخاذ القرار وآليات الاتصال وخطوات الاستعادة في حوادث الفدية مسبقًا. - إدارة مخاطر الطرف الثالث: مراجعة الوضع الأمني لشركاء سلسلة التوريد لمنع الاختراق عبر الموردين. - تدريب الموظفين على الأمن: تعزيز التدريب على التعرف على رسائل التصيد لتقليل سطح الاختراق الأولي. - الاستعداد للامتثال: توضيح التزامات الإبلاغ عن خرق البيانات، وضمان الإبلاغ للجهات التنظيمية ضمن الإطار الزمني المحدد.

SecurityPost Insight

إن الكشف عن برنامج الفدية Vect ليس مجرد تحذير تهديد عادي. فهو يكشف أن صناعة برامج الفدية تتطور نحو اتجاه أكثر احترافية وخفاءً ومرونة. إن قدرات Vect عبر المنصات، ونموذج RaaS، وتجاوز أنماط الأمان، والابتزاز المزدوج تعني أن المؤسسات لم تعد تستطيع الاعتماد على استراتيجيات مكافحة الفيروسات والنسخ الاحتياطي التقليدية لمواجهة التهديدات. يجب على مسؤولي الأمن اعتبار برامج الفدية خطرًا نظاميًا، ودمج أمن الهوية، وحماية النقاط الطرفية، ومراقبة الشبكة، والاستعادة من النسخ الاحتياطي، والوعي البشري في نظام دفاع متعدد الطبقات. في الوقت نفسه، فإن استهداف Vect لأنظمة Linux/ESXi يذكرنا بأن البيئات السحابية والافتراضية أصبحت مرتفعات جديدة للمهاجمين، ويحتاج فريق الأمن إلى توسيع نطاق الحماية ليشمل كامل حزمة البنية التحتية. في المستقبل، نتوقع أن تظهر هجمات الفدية عبر المنصات بشكل أكثر تواترًا، ومع دمج الذكاء الاصطناعي (AI) ستزداد سرعة الهجمات بشكل كبير. يجب على المؤسسات متابعة مستجدات استخبارات التهديدات عن كثب، والقيام بنشاط بتمارين الفريق الأحمر واختبارات التعافي من الكوارث، لضمان القدرة على الاكتشاف والعزل والاستعادة بسرعة عند وقوع هجوم حقيقي، وليس مجرد الاستجابة بشكل سلبي.