برامج الفدية صعدت طبقة أعلى: مشرفو الأجهزة الافتراضية من 3% إلى 25% من الحالات
لدى Huntress رقم يستحق انتباهًا أكبر مما ناله. ففي حوادث التشفير الخبيث التي عالجتها الشركة خلال 2025، ارتفعت نسبة الحالات التي طالت مشرف الأجهزة الافتراضية من 3% في النصف الأول إلى 25% في النصف الثاني، ويعود معظم هذا الارتفاع إلى مجموعة Akira. 1
أي زيادة بثمانية أضعاف في نسبة الحالات التي تبلغ طبقة المحاكاة الافتراضية، خلال عام واحد. إنها بيانات قياس من مزود واحد لا إحصاء للمنظومة كلها، لكن الاتجاه يصعب إغفاله.
حساب اقتصادي بحت
تشفير جهاز افتراضي ضيف يمنحك بيانات ضحية واحدة ويُلزمك بتجاوز حماية ضحية واحدة. أما اختراق مشرف الأجهزة الافتراضية فيفتح للمهاجم طريقًا إلى كل الأجهزة الضيفة على تلك الآلة دفعة واحدة، وتصبح حماية الضيوف أنفسهم — أنظمة الكشف لديهم، وجدرانهم النارية، وترقيعهم الدقيق — بلا أثر، لأنك تعمل تحتها جميعًا.
وتخزين الأجهزة الافتراضية هدف مركّز كذلك. فسواء كانت الأقراص ملفات qcow2 أو وحدات LVM أو مخزن VMFS أو صور Ceph، تميل بيانات كثير من العملاء إلى الوجود في مكان واحد تحت مستوى إدارة واحد. ومن المضيف، لا يكون اختراق خمسين عميلًا خمسين اختراقًا منفصلًا.
وكثيرًا ما يُعامَل مستوى إدارة مشرف الأجهزة الافتراضية كسباكة لا كجوهرة التاج: شبكات إدارة مسطحة، وبيانات اعتماد إدارية مشتركة، وترقيع بلا استعجال، ومراقبة موجّهة إلى الضيوف بدل المضيف.
ما يضاعف الضرر هو النسخ الاحتياطية
كتبنا في أبريل عن اختراق مكتب الدعم الذي يقف خلف هذا. فقد أتاح هجوم اختطاف جلسة لطرف غير مصرّح له الوصول إلى نظام دعم Virtualizor، حيث كانت نحو 1500 تذكرة قديمة، بعضها أقدم من سنة، تحتوي كلمات مرور root بنص صريح لصقها العملاء بأنفسهم عند طلب المساعدة. وأوضحت Virtualizor صراحة أن الثغرة لم تكن في برنامجها، وأن الخوادم المخترقة هي تلك التي لم تُغيَّر كلمات مرورها قط ولم تكن لوحات إدارتها وSSH خلف جدار حماية. 2 وتلت ذلك تقارير عن هجمات فدية طالت عدة مزودي استضافة مع فقدان بيانات عملاء. 3
النمط في هذه الحوادث ثابت، وهو في حقيقته لا يتعلق بالتشفير.
فالمزود كانت لديه نسخ احتياطية. وكانت تلك النسخ متاحة من البيئة المخترقة، ببيانات اعتماد سلّمها الاختراق نفسه. والنسخ الاحتياطية داخل حدود الثقة نفسها تسقط معها، ومن هنا تأتي الخسارة الدائمة، لا من التشفير.
فالنسخة التي تتشارك مع الإنتاج بيانات اعتماد أو ثقة شبكية أو حدودًا إدارية قد تفشل في اللحظة التي تحتاجها بالضبط. إنها نسخة ثانية داخل نطاق الانفجار نفسه.
خمسة ضوابط تصمد
النسخ خارج نطاق المزود هي الأهم، وهي بالذات ما يتخطاه معظم الناس. لا وحدة تخزين أخرى ولا منطقة أخرى ولا منتج آخر من المزود نفسه، بل مزود مختلف تمامًا، ببيانات اعتماد لا وجود لها في أي موضع من بيئة إنتاجك.
افصل الإنتاج عن صلاحية التصرف في النسخ. فاتجاه النقل أقل أهمية من نموذج الصلاحيات: يجب ألا يكون بمقدور الإنتاج إتلاف السجل التاريخي. وأنظف ترتيب هو أن يمدّ نظام النسخ الاحتياطي يده ليسحب البيانات، دون أن يحمل الإنتاج أي بيانات اعتماد. وحساب يستطيع الكتابة ولا يستطيع الحذف أبدًا يمنحك الخاصية نفسها حيث يتعذّر تجنّب نموذج الدفع. وما يفشل هو الترتيب الذي تستطيع فيه بيانات الاعتماد الموجودة على آلة الإنتاج إفراغ مخزن النسخ أيضًا، لأن برنامج الفدية على تلك الآلة يرثها.
عدم القابلية للتغيير، أي قفل الكائنات أو التخزين بالإضافة فقط، كي لا يستطيع مهاجم يملك بيانات اعتماد صحيحة حذف السجل.
تدريبات الاستعادة، لأن نسخة لم تُختبر مجرد فرضية. استعِد شيئًا حقيقيًا وفق جدول، وقِس الزمن.
التشفير قبل المغادرة، حتى يصير اختراق مزود النسخ الاحتياطي مشكلة جاهزية لا مشكلة إفشاء.
KVM، ونقطة تخالف مصلحتنا
يستحق أمران أن يُقالا مباشرة، لأنهما بنيويان لا وعود.
نشغّل محاكاة KVM كاملة، لا حاويات مشتركة. فالعزل بين العملاء يقوم على محاكاة مدعومة بالعتاد وعلى حدّ مشرف الأجهزة الافتراضية، لا على مساحات الأسماء ولا على نموذج صلاحيات لوحة تحكم. وهذا ليس حصانة: فالمضيف المخترق مضيف مخترق على أي منصة. لكن حدّ العزل بينك وبين العميل المجاور يُفرض في طبقة المحاكاة الافتراضية، لا عبر نواة ضيف مشتركة. ولا توجد هنا نواة مشتركة يمكن لتصعيد صلاحيات محلي أن يعبرها أصلًا.
وتحصل كذلك على وصول إلى كونسول افتراضي من منطقة العملاء. فكل خادم VPS وVDS في كتالوجنا الحالي لديه كونسول noVNC، فلا تعتمد أثناء الاستعادة على عمل SSH ولا على سلامة الشبكة ولا على إرسال بيانات اعتماد إلى أحد.
وإليك الجزء الذي يخالف مصلحتنا التجارية: لا تحتفظ بنسختك الاحتياطية الوحيدة لدينا. لدينا أربعة بلدان، وخادم VPS ثانٍ في موقع آخر من مواقعنا، من €5 شهريًا، يصلح نسخة منفصلة تنجو من عطل إقليمي أو قضائي. ونحن لا نبيع منتج نسخ احتياطي مُدارًا، فهذا ترتيب تبنيه بنفسك. وهو أيضًا لا ينفع إن كان العطل فينا نحن. ولهذا تحتاج إلى نسخة لدى مزود لم نرَ بيانات اعتماده قط.
وأي شركة استضافة تقول لك غير ذلك إنما تبيعك نقطة فشل واحدة عليها ملصق «تكرار».
السؤال الذي يجب طرحه على مزودك
لو اختُرق مستوى إدارة مشرف الأجهزة الافتراضية لديكم الليلة، فما الذي سيبقى من بياناتي، وكم يلزمني لاستعادته؟
من حقك أن تسأل. والإجابة، وسرعة وصولها، ستخبرك بمعظم ما تحتاج معرفته.