التكنولوجيا
برمجية الفدية «سيف باي»: سيزا ومكتب التحقيقات الفيدرالي وشركاؤهما يحذرون من مجموعة ضربت 600 مؤسسة على الأقل منذ أغسطس 2024
أصدرت «سيزا» ومكتب التحقيقات الفيدرالي وشركاء في ألمانيا والمملكة المتحدة في 20 أكتوبر النشرة المشتركة AA26-293A، التي تصف كيف تعمل مجموعة «سيف باي» والخطوات التي ينبغي للمؤسسات اتخاذها.
وقعت 600 مؤسسة على الأقل في أربع مناطق من العالم ضحية لمجموعة «سيف باي» (SafePay) منذ أغسطس 2024، وتدعو سلطات الأمن السيبراني في الولايات المتحدة والدول الحليفة الآن الشركات ومشغّلي البنى التحتية الحيوية إلى تطبيق إجراءات التخفيف. ونشرت «سيزا» (CISA) ومكتب التحقيقات الفيدرالي وشركاؤهما يوم الثلاثاء 20 أكتوبر 2026 النشرة الإرشادية المشتركة للأمن السيبراني #StopRansomware التي تحمل الرمز AA26-293A، وتصف أساليب المجموعة وإجراءات الحماية.
«سيف باي» مجموعة برمجيات فدية، أي أن برمجيتها الخبيثة تشفّر ملفات المؤسسة وتطالب بمال لفك تشفيرها. ويصفها الموقّعون بأنها من أنشط المجموعات من هذا النوع. والضحايا في أمريكا الشمالية والجنوبية وأوروبا وأستراليا، ويأتون من قطاعات كثيرة من البنى التحتية الحيوية. والنشرة موقّعة من مكتب التحقيقات الفيدرالي و«سيزا» وجهاز الخدمة السرية الأمريكي (USSS)، إلى جانب مكتب التحقيقات الجنائية في ولاية راينلاند-بفالتس الألمانية (Landeskriminalamt)، والوكالة الوطنية لمكافحة الجريمة في المملكة المتحدة ووحدة الجريمة المنظمة الإقليمية في الشمال الغربي. وتأتي المعلومات من تحقيقات استمرت حتى أغسطس 2026.
كيف تعمل المجموعة
يعتمد المهاجمون الابتزاز المزدوج: فهم يسرقون البيانات ويشفّرون الأنظمة ويهددون بنشر ما سرقوه. وإذا لم يدفع الضحية، تُنشر البيانات على موقع التسريب الخاص بالمجموعة. وتُطلب الفدية بالعملات المشفّرة وتقابل عادة نسبة من إيرادات الشركة. وتُترك الرسالة عادة على سطح المكتب وتقود إلى بوابة محادثة على شبكة «تور»، وفي بعض الحالات يتصل ممثل عن المجموعة هاتفياً بالضحايا للضغط عليهم.
وللدخول إلى الشبكة، يستغل المهاجمون كلمات مرور مسرّبة، وينفذون هجمات تخمين جماعي لكلمات المرور (القوة الغاشمة)، ويتصلون عبر الشبكة الخاصة الافتراضية (VPN) بعناوين IP تابعة للمزوّد «مولفاد» (Mullvad). كما يستخدمون حسابات يحصلون عليها عبر التصيّد الاحتيالي. وثمة منفذ آخر هو الثغرات، أي العيوب الأمنية المعروفة، في الأجهزة الطرفية مثل جدران الحماية وفي أنظمة أخرى معرّضة للإنترنت، باستخدام نصوص برمجية آلية. وتدرج النشرة خمس ثغرات CVE: CVE-2020-3259 وCVE-2023-20269 وCVE-2023-27532 وCVE-2024-40711 وCVE-2024-40766.
وبعد الدخول، ينشئ المهاجمون حسابات أو يستولون عليها، ويتنقلون أفقياً عبر الشبكة بأدوات شرعية مثل PsExec وWinRM وRDP، ويعطّلون برامج الأمان. ويضغطون البيانات بأدوات مثل 7-Zip وWinRAR ويرسلونها إلى حسابات تحت سيطرتهم بواسطة WinSCP وRClone. ولزيادة صعوبة التعافي، يوقفون خدمة النسخ الاحتياطي للظل للأقراص (Volume Shadow Copy Service) ويعيدون إلى إعدادات المصنع أجهزة التخزين المتصلة بالشبكة (NAS) التي تحتفظ بالنسخ الاحتياطية. وتحصل الملفات المشفّرة على الامتداد .SafePay.
ما توصي به الوكالات
تطلب الوكالات من المؤسسات تحديث الأنظمة والبرمجيات بانتظام، ولا سيما جدران الحماية والأجهزة الطرفية الأخرى، مع إعطاء الأولوية للثغرات المعروفة التي يجري استغلالها بالفعل. كما تدعو إلى تطبيق مبدأ «انعدام الثقة» (Zero Trust)، وحصر الأدوات والصلاحيات الإدارية بمن يحتاجون إليها، وتعزيز الحسابات بسياسات إدارة الهوية وبيانات الاعتماد والوصول (ICAM) والمصادقة متعددة العوامل (MFA). وتشمل الإجراءات كلمات مرور من 15 إلى 64 حرفاً، ونسخاً احتياطية غير متصلة بالشبكة ومشفّرة وغير قابلة للتعديل، وتجزئة الشبكة.
ولا تشجّع الوكالات على دفع الفدية، لأن الدفع لا يضمن استعادة الملفات. وتطلب من الضحايا الإبلاغ عن الحوادث فوراً إلى مركز IC3 التابع لمكتب التحقيقات الفيدرالي أو إلى مكتب محلي للمكتب أو للخدمة السرية أو إلى «سيزا»، وعزل الحواسيب المخترقة.
