في الأيام السابقة ، إذا اضطر شخص ما إلى الاستيلاء على جهاز الكمبيوتر الخاص بك ، فعادة ما كان ذلك ممكنًا عن طريق الحصول على جهاز الكمبيوتر الخاص بك إما عن طريق التواجد فعليًا هناك أو باستخدام الوصول عن بُعد. بينما يمضي العالم قدمًا في الأتمتة ، تم تشديد أمان الكمبيوتر ، والشيء الوحيد الذي لم يتغير هو الأخطاء البشرية. هذا هو المكان الذي تظهر فيه هجمات برامج الفدية التي يديرها الإنسان^{(Human-operated Ransomware Attacks)} . هذه هي الهجمات المصنوعة يدويًا والتي تكتشف ثغرة أمنية أو أمان تم تكوينه بشكل خاطئ على الكمبيوتر ويتمكن من الوصول. توصلت Microsoft^(Microsoft) إلى دراسة حالة شاملة خلصت إلى أن مسؤول تكنولوجيا المعلومات يمكنه التخفيف من هجمات Ransomware^{(Ransomware attacks)} التي يديرها الإنسان بهامش كبير.

التخفيف من هجمات برامج الفدية التي يديرها الإنسان^{(Human-operated Ransomware Attacks)}

وفقًا لمايكروسوفت^(Microsoft) ، فإن أفضل طريقة للتخفيف من هذه الأنواع من برامج الفدية والحملات المصنوعة يدويًا هي منع جميع الاتصالات غير الضرورية بين نقاط النهاية. من المهم أيضًا اتباع أفضل الممارسات المتعلقة بنظافة بيانات الاعتماد مثل المصادقة متعددة العوامل^{(Multi-Factor Authentication)} ومراقبة محاولات القوة الغاشمة وتثبيت آخر تحديثات الأمان والمزيد. فيما يلي القائمة الكاملة للتدابير الدفاعية الواجب اتخاذها:

• تأكد من تطبيق إعدادات التكوين الموصى بها^{(recommended configuration settings)} من Microsoft لحماية أجهزة الكمبيوتر المتصلة بالإنترنت.
• تقدم ATP المدافع إدارة التهديدات ونقاط الضعف^{(threat and vulnerability management)} . يمكنك استخدامه لتدقيق الأجهزة بانتظام بحثًا عن نقاط الضعف والتكوين الخاطئ والنشاط المشبوه.
• استخدم بوابة MFA^{(MFA gateway)} مثل مصادقة Azure متعددة العوامل^{(Azure Multi-Factor Authentication)} ( MFA ) أو قم بتمكين المصادقة على مستوى الشبكة ( NLA ).
• اعرض الامتياز الأقل للحسابات^{(least-privilege to accounts)} ، وقم بتمكين الوصول فقط عند الحاجة. يجب أن يكون أي حساب له حق وصول على مستوى الإدارة على مستوى النطاق كحد أدنى أو صفر.
• يمكن لأدوات مثل أداة Local Administrator Password Solution ( LAPS ) تكوين كلمات مرور عشوائية فريدة لحسابات المسؤول. يمكنك تخزينها في Active Directory (AD) وحمايتها باستخدام ACL .
• راقب محاولات القوة الغاشمة. يجب أن تنزعج ، خاصة إذا كان هناك الكثير من محاولات المصادقة الفاشلة. ^{(failed authentication attempts. )}التصفية^(Filter) باستخدام معرف الحدث 4625^{(ID 4625)} للعثور على مثل هذه الإدخالات.
• عادةً ما يمسح المهاجمون سجلات أحداث الأمان وسجل تشغيل PowerShell^{(Security Event logs and PowerShell Operational log)} لإزالة جميع آثار أقدامهم. تنشئ الحماية المتقدمة من المخاطر مع Microsoft Defender ^{(Microsoft Defender ATP)}معرّف الحدث 1102^{(Event ID 1102)} عند حدوث ذلك.
• قم بتشغيل ميزات الحماية ضد العبث^{(Tamper protection)(Tamper protection)} لمنع المهاجمين من إيقاف تشغيل ميزات الأمان.
• تحقق^{(Investigate)} من معرف الحدث 4624^{(ID 4624)} لمعرفة مكان تسجيل الدخول للحسابات ذات الامتيازات العالية. إذا دخلوا إلى شبكة أو جهاز كمبيوتر تم اختراقه ، فقد يكون ذلك تهديدًا أكثر خطورة.
• قم بتشغيل الحماية المقدمة عبر السحابة^{(Turn on cloud-delivered protection)} وإرسال العينات تلقائيًا على برنامج الحماية من الفيروسات لـ Windows Defender^{(Windows Defender Antivirus)} . يحميك من التهديدات غير المعروفة.
• قم بتشغيل قواعد تقليل سطح الهجوم. إلى جانب ذلك ، قم بتمكين القواعد التي تمنع سرقة بيانات الاعتماد ونشاط برامج الفدية والاستخدام المشبوه لـ PsExec و WMI .
• قم بتشغيل  AMSI لـ Office VBA  إذا كان لديك Office 365.
• امنع اتصال RPC^{(Prevent RPC)} و SMB بين نقاط النهاية كلما أمكن ذلك.

قراءة^(Read) : الحماية من برامج الفدية في نظام التشغيل Windows 10^{(Ransomware protection in Windows 10)} .

قدمت Microsoft^(Microsoft) دراسة حالة عن Wadhrama و Doppelpaymer و Ryuk و Samas و REvil

• يتم تسليم Wadhrama^(Wadhrama) باستخدام القوى الغاشمة إلى الخوادم التي تحتوي على Remote Desktop . عادة ما يكتشفون أنظمة غير مصححة ويستخدمون نقاط الضعف التي تم الكشف عنها للحصول على وصول مبدئي أو رفع الامتيازات.
• يتم توزيع Doppelpaymer^{(Doppelpaymer)} يدويًا عبر الشبكات المخترقة باستخدام بيانات اعتماد مسروقة للحسابات المميزة. لهذا السبب من الضروري اتباع إعدادات التكوين الموصى بها لجميع أجهزة الكمبيوتر.
• يوزع Ryuk^(Ryuk) الحمولة عبر البريد الإلكتروني ( Trickboat ) عن طريق خداع المستخدم النهائي بشأن شيء آخر. استخدم المتسللون مؤخرًا ذعر فيروس كورونا لخداع المستخدم النهائي. تمكن أحدهم أيضًا من تسليم حمولة Emotet .

الشيء الشائع في كل منها^{(common thing about each of them)} هو أنها مبنية على أساس المواقف. يبدو أنهم يؤدون تكتيكات الغوريلا حيث ينتقلون من آلة إلى آلة أخرى لتوصيل الحمولة. من الضروري ألا يحتفظ مسؤولو تكنولوجيا المعلومات بعلامة تبويب على الهجوم المستمر ، حتى لو كان على نطاق صغير ، وتثقيف الموظفين حول كيفية المساعدة في حماية الشبكة.

آمل أن يتمكن جميع مسؤولي تكنولوجيا المعلومات من اتباع الاقتراح والتأكد من التخفيف من هجمات Ransomware التي يديرها الإنسان.^(Ransomware)

قراءة ذات صلة^{(Related read)} : ماذا تفعل بعد هجوم Ransomware على جهاز الكمبيوتر الخاص بك الذي يعمل بنظام Windows؟^{(What to do after a Ransomware attack on your Windows computer?)}

How to mitigate Human-operated Ransomware Attacks: Infographic

In earlіer dаyѕ, if someone has to hijack your computer, it wаs usuallу pоssible by getting hold of yoυr computer either by physically being there or using remote аccess. While the world hаs moved ahead with aυtomation, cоmputer seсurity has tightenеd, one thing that hаsn’t changed is human mistakes.  That is where the Human-operated Ransomware Attacks come into the picture. These are handcrafted attacks which find a vulnerability or a misconfigured security on the computer and gain access. Microsoft has come up with an exhaustive case study which concludes that IT admin can mitigate these human-operated Ransomware attacks by a significant margin.

Mitigating Human-operated Ransomware Attacks

According to Microsoft, the best way to mitigate these kinds of ransomware, and handcrafted campaigns is to block all unnecessary communication between endpoints. It is also equally important to follow best practices for credential hygiene such as Multi-Factor Authentication, monitoring brute force attempts, installing the latest security updates, and more. Here is the complete list of defense measures to be taken:

• Make sure to apply Microsoft recommended configuration settings to protect computers connected to the internet.
• Defender ATP offers threat and vulnerability management. You can use it to audit machines regularly for vulnerabilities, misconfigurations, and suspicious activity.
• Use MFA gateway such as Azure Multi-Factor Authentication (MFA) or enable network-level authentication (NLA).
• Offer least-privilege to accounts, and only enable access when required. Any account with domain-wide admin-level access should be at the minimum or zero.
• Tools like Local Administrator Password Solution (LAPS) tool can configure unique random passwords for admin accounts. You can store them in Active Directory (AD) and protect using ACL.
• Monitor for brute-force attempts. You should be alarmed, especially if there is a lot of failed authentication attempts. Filter using event ID 4625 to find such entries.
• Attackers usually clear the Security Event logs and PowerShell Operational log to remove all their footprints. Microsoft Defender ATP generates an Event ID 1102 when this occurs.
• Turn on Tamper protection features to prevent attackers from turning off security features.
• Investigate event ID 4624 to find where accounts with high privileges are logging on. If they get into a network or a computer that is compromised, then it can be a more significant threat.
• Turn on cloud-delivered protection and automatic sample submission on Windows Defender Antivirus. It secures you from unknown threats.
• Turn on attack surface reduction rules. Along with this, enable rules that block credential theft, ransomware activity, and suspicious use of PsExec and WMI.
• Turn on AMSI for Office VBA if you have Office 365.
• Prevent RPC and SMB communication among endpoints whenever possible.

Read: Ransomware protection in Windows 10.

Microsoft has put up a case study of Wadhrama, Doppelpaymer, Ryuk, Samas, REvil

• Wadhrama is delivered using brute forces their way into servers that have Remote Desktop. They usually discover unpatched systems and use disclosed vulnerabilities to gain initial access or elevate privileges.
• Doppelpaymer is manually spread through compromised networks using stolen credentials for privileged accounts. That’s why it is essential to follow the recommended configuration settings for all computers.
• Ryuk distributes payload over email (Trickboat) by tricking the end-user about something else. Recently hackers used the Coronavirus scare to trick the end-user. One of them was also able to deliver the Emotet payload.

The common thing about each of them is they are built based on situations. They seem to be performing gorilla-tactics where they move from one machine to another machine to deliver the payload. It is essential that IT admins not only keep a tab on the ongoing attack, even if it’s on a small scale, and educate employees about how they can help to protect the network.

I hope all IT admins can follow the suggestion and make sure to mitigate human-operated Ransomware attacks.

Related read: What to do after a Ransomware attack on your Windows computer?

Related posts

• Ransomware Attacks، Definition، Examples، Protection، Removal

• Anti-Ransomware software مجانا ل Windows أجهزة الكمبيوتر

• Create email قواعد لمنع Ransomware في Microsoft 365 Business

• تمكين وتكوين Ransomware Protection في Windows Defender

• Ransomware protection في Windows 10

• ما هو Ransom Denial من Service (RDoS)؟ Prevention and precautions

• DDoS Distributed Denial من Service Attacks: حماية، Prevention

• ما يجب القيام به بعد Ransomware attack على Windows computer الخاص بك؟

• كيفية تجنب Phishing Scams and Attacks؟

• DLL Hijacking Vulnerability Attacks، Prevention & Detection

• Fileless Malware Attacks، Protection and Detection

• CyberGhost Immunizer سوف تساعد في منع هجمات الفدية

• يجب أن أبلغ Ransomware؟ أين أبلغ Ransomware؟

• Cyber Attacks - تعريف، Types، الوقاية

• قائمة Ransomware Decryption Tools مجانا لفتح الملفات

• Brute Force Attacks - Definition and Prevention

• يوضح Ransomware Response Playbook كيفية التعامل مع البرامج الضارة

• McAfee Ransomware Recover (Mr2) يمكن أن يساعد في فك تشفير الملفات

• كيفية حماية ومنع Ransomware الهجمات والالتهابات