البرمجيات الخبيثة وأنواعها

لماذا التصنيف بالسلوك لا بالاسم

الأسماء التي سمعها الجميع، الفيروس والدودة وحصان طروادة، تتحدث كلها عن شيء واحد: كيف دخل البرنامج وكيف ينتشر. فالفيروس يلصق نفسه بملف آخر ويسافر معه. والدودة تنتقل من جهاز إلى آخر بلا عون بشري. أما حصان طروادة فلا ينتشر أصلا؛ بل ينتحل صفة شيء نافع فتدعوه أنت للدخول.

وهذه الأسماء لا تخبرك بما ستراه بعد الإصابة ولا بما ينبغي أن تفعله. إنما يخبرك بذلك السلوك: تشفير ملفاتك، وقراءة ما تكتبه، وإبقاء باب مفتوح، وحرق معالجك لتعدين عملة، أو مجرد عرض إعلانات.

وحقيقة واحدة تفصل هذا التصنيف عن تمرين مدرسي: العينة الحديثة عادة عدة من هذه معا. فما يدخل كحصان طروادة يُبقي الباب مفتوحا لما يليه، ويجمع كلمات المرور، وإن استحق الأمر شفّر الملفات في النهاية. فسؤال «أي نوع هذا» لا يكاد يكون سؤالا مفيدا أبدا.

والسؤال المفيد هو: ما الذي يُفقَد وما الذي يمنعه؟ فإن كان الجواب «ملفاتي» فالدفاع هو النسخ الاحتياطي. وإن كان «كلمات مروري» فالدفاع هو التحقق بخطوتين وتغيير كلمات المرور من جهاز آخر. وإن كان «التحكم بموقعي» فالدفاع في موضع آخر يأتي في القسم الخامس. وهذا الدرس مرتَّب على هذا الأساس بالضبط.

سبعة سلوكيات، لكل منها عَرَضه الذي يفضحه

سبعة سلوكيات يندرج فيها كل شيء تقريبا. ولكل منها جملة عما تفعله وعَرَض يستطيع المستخدم العادي رؤيته فعلا.

الفيروس. يلصق نفسه بملفات أخرى. وقد بهت عَرَضه اليوم ويظهر غالبا في صورة برامج تغير سلوكها أو ترمي أخطاء غريبة.

الدودة. تنتقل من جهاز إلى جهاز بلا تدخل بشري، داخل شبكة عادة. ومدير الشبكة يرى عَرَضها أكثر مما يراه المستخدم: حركة داخلية بلا سبب لوجودها.

حصان طروادة. ينتحل صفة برنامج نافع. وعَرَضه هو لحظة التثبيت: شيء يطلب، لمهمة بسيطة، أذونات لا صلة لها بتلك المهمة.

برنامج الفدية. يشفّر الملفات ويطلب مالا مقابل المفتاح. وعَرَضه لا يمكن أن يفوت: ملفات لا تُفتح وقد تغيرت لاحقتها، مع رسالة تعطي تعليمات الدفع.

برنامج التجسس. يراقب ويرسل: ما تكتبه، وما حفظه متصفحك، والشاشة أحيانا. وهو أقل الأصناف ظهورا وهذا ما يجعله خطِرا؛ وأثره غير المباشر الوحيد عمليات دخول غير مألوفة إلى حساباتك.

برنامج الإعلانات. يعرض إعلانات ويغيّر سلوك المتصفح. وعَرَضه واضح: صفحة بداية ومحرك بحث لم تخترهما، وإضافات لا تذكر أنك ثبّتها.

المعدِّن. يستعمل معالجك لتعدين عملة. وعَرَضه مادي: مروحة تعمل بلا سبب، وجهاز ساخن، وبطارية تنفد بسرعة بينما لا شيء ثقيل مفتوح.

وثمة صنف ثامن بلا اسم شائع، وهو لمن يملك موقعا أهم من هذه كلها: الباب الخلفي، أي ملف لا يوجد إلا ليتمكن أحد من الدخول ثانية. والقسم الخامس عن هذا بالضبط.

برامج الفدية: لماذا الجواب الحقيقي هو النسخ الاحتياطي

تختلف برامج الفدية عن غيرها لأنها لا تسرق شيئا؛ بل تسلبك الوصول. فالملفات في مكانها ولا تُفتح. ولهذا السبب بالذات هي الصنف الوحيد الذي له دفاع واحد محدد بوضوح، وذلك الدفاع ليس تقنيا بل تشغيليا: أن تملك نسخة أخرى من تلك الملفات نفسها.

ولنحسم مسألة الدفع أولا، لأن الجميع يسأل عنها أولا. الدفع لا يضمن شيئا؛ فما تشتريه وعد ممن كذب عليك أصلا. وحتى حين يصل مفتاح، نادرا ما تكتمل الاستعادة. وفي كثير من الدول يحمل الدفع لمثل هذه الجماعات تبعات قانونية بذاته؛ ونقول ذلك على وجه العموم لأن القوانين تختلف ولسنا مستشارين قانونيين. وخلاصتنا العملية: الدفع هو الخيار الأخير، ومع نسخة احتياطية سليمة لا تدخل هذا النقاش أصلا.

والآن السؤال الحقيقي: أي نسخة احتياطية تنجو من برامج الفدية؟ فكثير مما يسميه الناس نسخة احتياطية يُشفَّر إلى جانب الأصل تماما.

ثلاث خصائص لازمة. أولا، أن تكون النسخة في مكان لا تستطيع البرمجية الكتابة فيه. فقرص موصول بالحاسوب دوما، أو مشاركة شبكة مركّبة دائما، أو مجلد متزامن، كلها في متناول البرنامج نفسه الذي يشفّر ملفاتك. ثانيا، أن تُحفَظ النسخ القديمة. فالمزامنة وحدها ليست نسخا احتياطيا: فحين يحل الملف المشفَّر محل السليم تحمل خدمة المزامنة تلك النسخة المشفَّرة بأمانة إلى كل مكان. وما ينقذك هو تاريخ النسخ. ثالثا، أن تكون قد استُعيدت مرة واحدة فعلا. فنسخة احتياطية لم تُختبَر قط هي افتراض لا نسخة احتياطية.

وكيفية بناء ذلك عمليا، بأدواته وتفاصيله، له درس خاص في مسار أساسيات الحاسوب ولن نكرره هنا. لكننا نستعير منه جملة واحدة لأنها تخص هذا الدرس مباشرة: نسخة احتياطية لم تثبت نفسها ليست إلا ادعاء.

من أين تأتي البرمجيات الخبيثة فعلا

الصورة الشائعة أن الإصابة تأتي من موقع مشبوه فتحه أحدهم بالخطأ. أما عمليا فثمة دائما تقريبا خطوة بشرية في الوسط، وقد خطاها المستخدم لأنها بدت له معقولة حينها.

وأربعة مسارات تغطي كل ذلك تقريبا. الأول، مرفق البريد: ملف يدّعي أنه فاتورة أو سيرة ذاتية أو إشعار قانوني. وعلامته عادة ما يطلبه الملف بعد فتحه، كتفعيل التحرير أو السماح بتشغيل المحتوى. فإن احتاجت فاتورة إذنا بتشغيل شيء كي تُعرَض فهي ليست فاتورة.

الثاني، البرامج مكسورة الحماية والمثبِّتات المعاد حزمها. فقد دخل أحدهم إلى داخل الملف للالتفاف على الترخيص، وأنت لا تدري أمسّ الترخيص وحده أم أضاف شيئا آخر. وهذا المسار أثقل في إيران بسبب قيود الدفع، وفي مسار أساسيات الحاسوب درس يفتحه بالكامل.

الثالث، التحديث المزيف. صفحة تقول إن متصفحك أو مشغّل الوسائط لديك قديم وعليك تثبيت الملف الذي تعرضه. وقاعدة واحدة تغلق هذا المسار تماما: التحديث الحقيقي لا يأتي أبدا من صفحة ويب. فالمتصفحات وأنظمة التشغيل تحدّث نفسها من داخلها.

الرابع، إضافة المتصفح. يُقال هذا نادرا وأثره كبير: فالإضافة مسموح لها بقراءة محتوى كل صفحة تفتحها وتغييره. وإضافة تداولتها الأيدي أو تغير مالكها هي من أنظف طرق المراقبة.

ومسار خامس يخص أصحاب المواقع وحدهم: ملف يرفعه شخص مجهول على موقعك. والقسم التالي عن ذلك.

كيف تبدو البرمجية الخبيثة على موقع

على موقع، تأخذ البرمجية الخبيثة عادة شكل ملف صغير واحد يؤدي مهمة واحدة: يتيح لكل من يعرف عنوانه تنفيذ أوامر. واسمه العام باب خلفي، وقيمته للمهاجم أنه يظل يعمل حتى بعد تغيير كل كلمات المرور. ولهذا فحذف ملف واحد غير مألوف والمضي قدما لا ينفع عادة.

والآن النقطة التي تجمع هذا القسم كله: مثل هذا الملف يجب أن يجلس في مكان يقبل الخادم تنفيذه فيه. وعلى موقع تكون تلك الأماكن قليلة. فالمجلدات الوحيدة التي يستطيع زائر أن يتسبب في كتابة ملف داخلها هي تلك المبنية للرفع وللتخزين المؤقت. وهذا يحوّل المسألة من «كيف نتعرف على ملف سيئ» إلى سؤال أبسط بكثير: هل يُسمح للمجلد الذي يكتب فيه الغرباء بتنفيذ الكود؟

والجواب الصحيح لا، وهو بضعة أسطر في إعدادات خادم الويب لا منتج أمني. فالمكان الذي تحط فيه الملفات المرفوعة ينبغي أن يستطيع تسليم ملف لا أكثر. وثمة أعمال أخرى لازمة أيضا، كفحص المحتوى الحقيقي للملف عند الرفع بدل الثقة بلاحقته، لكن هذا هو خط الدفاع الذي يبقى قائما حتى حين تسقط البقية.

وإن وجدت يوما ملفا غير مألوف على موقع تديره فالترتيب هكذا: افترض أولا أنه ليس الوحيد، ثم استعد الموقع من نسخة احتياطية تاريخها قبل الحادثة، ثم غيّر كل كلمات المرور والمفاتيح من جهاز آخر، وأخيرا ابحث عن الطريق الذي دخل منه. فإن تركت تلك الخطوة الأخيرة تكرر الأمر نفسه. والجانب الخدمي لهذا العمل في صفحة أمان الموقع، وعلامات اختراق الموقع مذكورة في علامات اختراق الموقع.

تشك أنك أُصبت؛ ماذا تفعل بالترتيب

أول ما يفعله معظم الناس هو الأشد خطأ: يدخلون إلى البريد والبنك من الجهاز نفسه ليتأكدوا أن كل شيء بخير. فإن كان ثمة شيء على الجهاز فعلا فقد سلّمته للتو جولة جديدة من المعلومات.

والترتيب الصحيح هكذا. افصل الجهاز عن الإنترنت كي لا يستطيع ما فيه إرسال شيء ولا جلب شيء جديد. ثم من جهاز آخر تثق بسلامته، غيّر كلمة مرور البريد الرئيسي ثم بقية الحسابات المهمة، وأغلق في الإعدادات نفسها الجلسات النشطة. وحتى هذه النقطة لم تلمس الجهاز نفسه، وهذا صحيح: فإنقاذ الحسابات أعجل من تنظيف الجهاز.

ثم يأتي دور الجهاز، ولنا هنا جواب صادق غير سار. الفحص بأداة جيدة وإزالة ما تجده يكفي للحالات البسيطة. لكن حين يكون شيء جدي قد سكن الجهاز، لا تستطيع أي أداة أن تعد بأن كل شيء زال، لأن ما كان مختبئا كان بارعا في الاختباء. ولجهاز يمر عبره العمل والمال، فتثبيت جديد لنظام التشغيل واستعادة الملفات من نسخة احتياطية جواب أوثق من أي فحص.

وعمل ينساه الجميع: بعد أن ينظف الجهاز، غيّر كلمات المرور مرة أخرى. فكلمات المرور التي كُتبت في فترة الإصابة، بما فيها الجديدة التي أنشأتها في أثنائها، لم تعد جديرة بالثقة.