تصاعدت هجمات برمجيات الفدية حتى غدت من أخطر التهديدات السيبرانية، ففي عام ألفين وواحد وعشرين تعرض أكبر نظام أنابيب لنقل المنتجات النفطية المكررة في الولايات المتحدة لإيقاف دام ستة أيام بفعل هجوم من هذا النوع، وفي عام ألفين وثلاثة وعشرين هوجمت الأنظمة الحساسة لخدمة المارشالات الأمريكية بهجوم مماثل، ويعد استخراج المفاتيح السرية من أكثر السبل فعالية في مكافحة برمجيات الفدية، غير أن تحدي اكتشاف البدائيات التشفيرية وتحديدها قائم منذ أكثر من عقد، فمعظم الأدوات المقترحة تعتمد على القوالب أو التوقيعات، ودعمها لأنظمة التشغيل ومعماريات المعالجات محدود، كما أن قلة منها قادرة أصلًا على استخراج المفاتيح السرية
أولًا: أهداف الدراسة ومنهجيتها
هدفت الدراسة إلى تطوير نظام عام وآلي يكشف خوارزميات التشفير في البرامج الثنائية ويحدد فئتها، ويحدد مواضع المفاتيح السرية والحالات التشفيرية التي تتعامل معها الشفرة ويستخرجها، وقدمت الدراسة نظام سايفر تريس الذي يركز على شفرات حاصل الضرب، وقومته باستخدام أربع خوارزميات تشفير معيارية، وأربع خوارزميات تجزئة مختلفة، وخمس من أحدث عينات برمجيات الفدية وأكثرها انتشارًا، مع مقارنة أدائه ووظائفه بالأعمال السابقة الأقرب صلة به، وفحص قدرته على التعامل مع تنوع أنظمة التشغيل وأساليب التنفيذ وأحجام المدخلات والمفاتيح
ثانيًا: أبرز النتائج
أظهرت التجارب أن نظام سايفر تريس قادر على تفكيك شفرات الكتل ذات صناديق الاستبدال الثابتة تفكيكًا كاملًا، ومنها معيار التشفير المتقدم وخوارزمية سيربنت، وأنه يستخرج المفاتيح السرية وغيرها من الآثار التشفيرية بصرف النظر عن نظام التشغيل أو أسلوب التنفيذ أو حجم المدخلات أو المفتاح، ودون استخدام أي توقيعات أو قوالب جاهزة، كما أظهر تحسنًا ملموسًا في الأداء والوظائف مقارنة بالأعمال الأقرب صلة به، متجاوزًا بذلك قيدين مزمنين في الأدوات السابقة، وهما الاعتماد على التوقيعات المعدة سلفًا وضيق نطاق الأنظمة والمعماريات المدعومة
وبينت الدراسة أن الجمع بين تحديد فئة الخوارزمية واستخراج المفاتيح والحالات التشفيرية في نظام واحد آلي يختصر جهدًا كبيرًا كان يبذل يدويًا في تحليل البرمجيات الخبيثة، فحين يعرف المحلل نوع الشفرة المستخدمة ومفتاحها يصبح قادرًا على فك تشفير البيانات المحتجزة وتتبع سلوك البرمجية الخبيثة بصورة أعمق، وهو ما يجعل النظام أداة عملية في مواجهة هجمات الفدية تحديدًا وفي تحليل البرمجيات الخبيثة والهندسة العكسية عمومًا
ثالثًا: دلالات الدراسة وتطبيقاتها
تكتسب نتائج الدراسة أهميتها لدى فرق الاستجابة للحوادث السيبرانية ومحللي البرمجيات الخبيثة، إذ توفر لهم أداة آلية تختصر زمن التحليل وترفع دقته في التعامل مع عينات الفدية الجديدة التي لا تتوافر لها توقيعات معدة، كما تفيد الباحثين في أمن المعلومات بتقديمها مقاربة عامة لا ترتبط بخوارزمية بعينها، قابلة للتوسع نحو فئات أخرى من البدائيات التشفيرية، وتسهم في تطوير منظومات الدفاع السيبراني الاستباقي التي تعتمد على فهم البنية التشفيرية للتهديدات بدل مطاردة مؤشراتها المتغيرة
وتركز الدراسة على شفرات حاصل الضرب التي تبنى فيها العملية التشفيرية على تتابع عمليات الاستبدال والتبديل عبر جولات متعددة، وهي البنية التي تقوم عليها خوارزميات الكتل الشائعة في تطبيقات الحماية وبرمجيات الفدية على السواء، فحين تستخدم البرمجية الخبيثة خوارزمية معيارية بمفتاح سري يصبح كشف هذا المفتاح من آثار التنفيذ سبيلًا لفك احتجاز البيانات واستعادتها، غير أن الأدوات السابقة كانت تحتاج إلى توقيع معروف للخوارزمية أو قالب معد سلفًا، فإذا واجهت تنفيذًا معدلًا أو بيئة تشغيل مختلفة عجزت عن التعرف، أما النظام المقترح فيستدل على البنية التشفيرية من سلوك البرنامج أثناء تنفيذه، فيتعرف فئة الخوارزمية ويقتفي أثر المفاتيح والحالات الداخلية التي تعالجها، وقد اختبر ذلك على عينات حديثة من برمجيات الفدية، فأثبت قدرة عملية في سيناريوهات واقعية تتجاوز حدود الاختبار المخبري النظري
وتندرج هذه الجهود في سياق أوسع من سباق التسلح الرقمي بين مطوري برمجيات الفدية ومطوري أدوات التحليل والكشف، فكلما عمد المهاجمون إلى إخفاء بصمات خوارزمياتهم وتعديل تنفيذاتها، ازدادت الحاجة إلى أدوات تستدل على الخوارزمية من بنيتها السلوكية لا من مظهرها الخارجي، وهو المنطق الذي يقوم عليه النظام المقترح في هذه الدراسة ويمنحه قابليته للاستمرار أمام تطور التهديدات
وخلاصة القول إن نظام سايفر تريس يمثل تقدمًا واضحًا في الكشف الآلي عن الشفرات واستخراج مفاتيحها، إذ جمع بين العمومية والدقة والاستقلال عن التوقيعات، وهو ما يعزز قدرة المحللين على التصدي لبرمجيات الفدية وفهم البرمجيات الخبيثة فهمًا أعمق
