الحماية من برامج الفدية، بشرح واضح

01ماذا يفعل برنامج الفدية في ثوانيه الأولى

نادرًا ما يعلن برنامج الفدية عن نفسه. فهو يصل في صورة ملف يشبه فاتورة، أو نسخة مجانية من لعبة مدفوعة، أو «تحديث لبرنامج تشغيل»، أو مرفق يطلب منك تفعيل شيء ما. وما إن تشغّله حتى يعمل بصلاحياتك أنت، فيستطيع فتح كل ما تستطيع فتحه.

ثم يستعجل. تمرّ الجولة المعتادة على المستندات وسطح المكتب والصور وكل قرص متصل. يقرأ كل ملف، ويكتب مكانه نسخة مبعثرة لا يفكّها إلا مفتاح المهاجم، ثم يغيّر اسمه بامتداد جديد، فيصير report.docx مثلًا report.docx.locked. ويترك في مجلد بعد مجلد رسالة تشرح كيف تدفع. وبعض الأنواع يكتب نسخة مشفّرة ثم يحذف الأصل، وبعضها يحاول حذف نقاط الاستعادة أولًا. والحاسوب الحديث يتيح له أن يأتي على عدد كبير جدًا من الملفات في دقائق معدودة.

هذه السرعة هي مصدر الخطر، لكنها أيضًا موضع الضعف. فبرنامج مكافحة الفيروسات يحاول التعرّف على البرنامج الضار قبل أن يعمل، وينجح في ذلك مع التهديدات المعروفة أكثر مما ينجح مع الجديدة تمامًا. أما درع السلوك فيسلك الطريق الآخر: لا يحتاج إلى معرفة اسم البرنامج، بل يراقب ما لا يستطيع برنامج الفدية تجنّب فعله، ويتحرّك في الثانية الأولى.

لست بحاجة إلى معرفة اسم اللص لتلاحظ أن أدراج البيت كلها تُفتح في لحظة واحدة.

02كيف يرصد الدرع ما يجري

يراقب الدرع مجلداتك المحمية: المستندات وسطح المكتب والصور والتنزيلات افتراضيًا، وأي مجلد تضيفه. وفي نافذة زمنية قصيرة نحو عشر ثوانٍ، يجمع قرائن كهذه:

• ملفات طُعم مخفية. يضع MoLock في مجلداتك المحمية بضعة ملفات مخفية بأسماء عشوائية. أنت لا تفتحها أبدًا، ولا يملك أي برنامج طبيعي سببًا لفتحها. فإن غيّر شيءٌ ملفَّ طُعم أو أعاد تسميته أو حذفه، كان ذلك وحده كافيًا لإطلاق الإنذار.
• موجة من إعادة التسمية إلى امتداد جديد. مستند واحد يُعاد تسميته بامتداد مجهول يُحتسب قليلًا، أما ملفات عدة تتشارك فجأة الامتداد الجديد نفسه فتُحتسب كثيرًا.
• ملفات أُعيدت كتابتها بيانات تبدو عشوائية. حين تُطمس بداية الملف المألوفة، أو ينقلب النص المقروء ضجيجًا، فهكذا يبدو التشفير من الخارج.
• نسخ وحذف. نسخ مشفّرة تظهر بينما تختفي الأصول، أو عاصفة مفاجئة من الحذف.
• رسائل الفدية. ملفات تحمل الأسماء المعتادة لرسائل الفدية تظهر في عدة مجلدات، ولا سيما إذا طابقت صياغتها تلك الرسائل.

ومعرفة ما يحدث نصف المهمة فقط؛ إذ ينبغي للدرع أن يعرف أيضًا من يفعله. فمع خدمة الحماية الخلفية في MoLock يقرأ الدرع سجلات نشاط الملفات الخاصة بويندوز نفسه، فيعرف بدقة أي برنامج لمس أي ملف. ومن دونها يستنتج MoLock ذلك من البرامج التي أخذت فجأة تقرأ وتكتب بكثافة، ومن البرامج التي تُبقي الملفات المتأثرة مفتوحة، ومن بعض علامات الخطر، كبرنامج يعمل من مجلد التنزيلات. وتتيح الخدمة للدرع كذلك إيقاف البرامج الضارة التي تعمل بصلاحيات المسؤول.

أما الحساسية فتحدد كم من القرائن يكفي. المتوازنة هي الافتراضية. والعالية تتحرك بقرائن أقل، أي أبكر، مع احتمال أكبر قليلًا أن تُطلقها مهمة ثقيلة بريئة. والمنخفضة تنتظر قرائن أقوى. أما لمس ملف طُعم فيُطلق الإنذار في كل المستويات.

03الثواني العشر الأولى، في مثالنا

إليك كيف تتكشف حادثة خطوة خطوة. التوقيتات مأخوذة من مثالنا، وهو برنامج اختبار اسمه InvoiceViewer.exe؛ وهي للتوضيح لا وعدٌ بها، فالتوقيتات الحقيقية تختلف باختلاف الجهاز والبرنامج.

1. 0.00 s
   القرينة الأولى. يُعيد InvoiceViewer.exe، المفتوح من مجلد التنزيلات، تسمية مستند في مجلد المستندات بامتداد جديد هو .locked. إعادة تسمية واحدة ليست إنذارًا، لكن الدرع يبدأ العدّ.
2. 0.42 s
   الإنذار. تأخذ ملفات أخرى الامتداد نفسه، وتنقلب محتوياتها عشوائية، ويُلمس ملف طُعم مخفي. فيتجاوز المجموع الحدّ: في مثالنا، بعد 420 جزءًا من الألف من الثانية من القرينة الأولى.
3. 0.60 s
   الإيقاف المؤقت. بعد 180 جزءًا من الألف من الثانية في مثالنا، يُوقف البرنامج وكل ما شغّله إيقافًا مؤقتًا: يُجمَّد ولا يُقتل، فلا يضيع شيء إن تبيّن أنه بريء. ولا تُوقف عمليات ويندوز الحيوية أبدًا.
4. 0.60 s
   يُقفل MoLock. تُقفل الشاشة، فينتظر القرار صاحبَ الجهاز، أي أنت، ولا يستطيع غيرك ممن يجلس إلى لوحة المفاتيح أن يمرّره.
5. ثوانٍ
   تُبلَّغ في كل مكان. «تم إيقاف برنامج فدية: غيّر InvoiceViewer.exe 23 ملفًا (.locked) ولمس ملف طُعم، وأُوقف مؤقتًا». يصل التنبيه إلى هاتفك ولوحة التحكم مع خياري «إنهاء» و«سماح».
6. 10 s
   تقرّر أنت. تضغط «إنهاء» على هاتفك، فيُنهى البرنامج، أما الملفات الـ23 التي بلغها أولًا فاللقطات في انتظارها.

04إنهاء أم سماح: القرار لك، من أي مكان

بعد الإيقاف المؤقت لا يخمّن الدرع، بل يسألك. فالتنبيه المعنون «تم إيقاف برنامج فدية» يذكر اسم البرنامج، وعدد الملفات التي غيّرها، والامتداد الذي حوّلها إليه، والقرائن التي رآها. ويصل إلى القنوات التي اخترتها لحسابك: الإشعارات الفورية على هاتفك أو متصفحك، والبريد الإلكتروني، وبوت تيليجرام الخاص بك، ولوحة التحكم على 7ot.app. وعلى الجهاز نفسه يظهر الخيار ذاته بمجرد أن تفتح قفل MoLock.

• «إنهاء» يُنهي البرنامج الموقوف وكل ما شغّله.
• «سماح» يتركه يكمل عمله ويضيفه إلى برامجك المسموح بها، إمّا بتوقيع ناشره، وإمّا ببصمة ذلك الملف بعينه إن كان غير موقّع، فلا تُسمح نسخة معدّلة منه خطأً.
• عدم الرد يُبقي البرنامج موقوفًا حتى تقرّر. وإن شئت، فاختر إنهاءه تلقائيًا بعد 10 دقائق بلا رد.

والجهاز الذي لا يرتبط بحساب MoLock لكن لديه بوت تيليجرام شخصي يصله التنبيه أيضًا، يرسله الجهاز بنفسه.

البرامج المسموح بها لا تُوقف أبدًا. فبرامج النسخ الاحتياطي والمزامنة، وأدوات الضغط المدمجة، وأدوات المطورين، وبرامج الصور، تعيد كتابة ملفات كثيرة دفعة واحدة لأسباب مشروعة، ولذلك يتعرّف عليها MoLock بناشرها أو بمكان تثبيتها ويتركها وشأنها، ويُسجَّل أي نشاط كثيف منها على أنه غير ضار. وتنضم إضافاتك أنت إلى هذه القائمة. وتُضاف البرامج من الجهاز، لأن MoLock يحتاج إلى البرنامج نفسه، أما من لوحة التحكم فتستطيع حذف ما فيها.

05اللقطات و«استعادة ملفاتي»

حتى الإيقاف في أقل من ثانية يعني أن بعض الملفات ربما تغيّر بالفعل: 23 ملفًا في مثالنا. ولهذا كان النصف الثاني من الدرع هو الاستعادة. فمع خدمة الحماية الخلفية يحتفظ MoLock بـلقطات متجددة لمجلداتك المحمية، مستعينًا بتقنية نقاط الاستعادة المدمجة في ويندوز. افتراضيًا يلتقط واحدة كل 4 ساعات ويحتفظ بـآخر 7، ولك أن تختار كل 2 أو 4 أو 6 أو 12 أو 24 ساعة، وأن تحتفظ بما بين 3 و30 لقطة. وحين تُطوى أقدم لقطة، لا يُحذف أبدًا إلا ما التقطه MoLock نفسه. وتستطيع أيضًا أن تطلب لقطة فورية، من الجهاز أو من لوحة التحكم.

ويرافقك معالج «استعادة ملفاتي» خطوة بخطوة. اختر مجلدًا أو ملفات بعينها، ثم لقطة بحسب وقتها، وعاين ما فيها، ثم استعد إمّا إلى المكان الأصلي وإمّا إلى نسخة. وحين تستعيد إلى المكان الأصلي تُنقل نسخ اليوم جانبًا أولًا، فلا تُتلف الاستعادة شيئًا أبدًا: إن اخترت اللقطة الخطأ، فملفات اليوم ما زالت هناك.

06المجلدات والحساسية وحماية ويندوز نفسه

• المجلدات. تكفي المجلدات الأربعة الافتراضية أكثر الناس. أضف غيرها من الجهاز، كمجلد عمل على قرص ثانٍ، واستثنِ المجلدات التي تعالج فيها أداة مشروعة ملفات كثيرة طوال اليوم.
• الاستجابة. اختر هل يوقف الدرع البرنامج من تلقاء نفسه أم يكتفي بالتحذير والقفل، وهل يقفل MoLock عند الرصد، وهل تعمل ملفات الطُّعم واللقطات. وإيقاف ملفات الطُّعم يحذفها من قرصك.
• الوصول المتحكم به إلى المجلدات. في ويندوز ميزة خاصة به تمنع التطبيقات المجهولة من تغيير المجلدات المحمية. وهي قوية، لكنها تحجب أحيانًا تطبيقات أردت استخدامها. يُظهر MoLock هل هي مفعّلة أم في وضع التدقيق أم معطّلة، ويحتسبها في صحة الأمان، وينقلك إلى صفحة ويندوز المناسبة؛ أما تفعيلها فيجري على الجهاز، لأن ويندوز يسألك هناك. ويمكن أن تعمل الحمايتان جنبًا إلى جنب.

07صفحة واحدة لصحة الأمان

برامج الفدية خطر واحد بين أخطار عدة، ولذلك يجمع MoLock 3.1 كل شيء في صفحة واحدة هي صحة الأمان. تمنح الجهاز درجة من 0 إلى 100 مع تقدير: A من 90، وB من 75، وC من 60، وD من 40، وE لما دون ذلك.

ويُعلَّم كل بند بأنه سليم، أو يستحق نظرة، أو يحتاج إلى عناية، مع شرح واضح. ويُصلح زر «أصلِح الكل» ما يستطيع MoLock إصلاحه بنفسه، أما الباقي فيُعلَّم إمّا بأنه «يحتاج إليك على الجهاز» حين يجب أن يسألك ويندوز مباشرة، وإمّا بـ«قرِّر» حين ينتظر هجومٌ اختيارك بين الإنهاء والسماح. ويمكنك تجاهل بند اخترت التعايش معه، فيكفّ عن الاحتساب. والمجال الذي لم تُعدّه بعد، ككلمات المرور قبل أن تبدأ باستخدام MoLock Keys، يُستبعد من الدرجة بدل أن يُحتسب صفرًا.

وتعيد الصفحة فحص نفسها كل 30 دقيقة وتحتفظ بسجل لثلاثين يومًا، وتظهر الصورة نفسها في لوحة التحكم، مختومة بالتشفير بين طرفين في طريقها إليها. واطلب من البوت ملخصًا، فيأتيك في سطر واحد مثل: «درجة الأمان 78/100 (B)، و6 بنود تحتاج إلى عناية».

08الحدود بصراحة

• لا توجد أداة توقف كل شيء. فالهجوم المتأني الذي يعمل ببطء، أو الذي ينجز ضرره قبل أن تكتمل القرائن، قد يبلغ مدى أبعد. الدرع طبقة قوية لا ضمانة مطلقة، وهو ليس برنامجًا لمكافحة الفيروسات، فأبقِ أمان ويندوز مفعّلًا.
• قد تتغيّر بعض الملفات قبل الإيقاف. ولهذا السبب بالذات وُجدت اللقطات.
• اللقطات تحتاج إلى خدمة الحماية الخلفية. فمن دونها يبقى الرصد والإيقاف المؤقت يعملان، لكن لا لقطات، ويقلّ يقين الدرع في تحديد البرنامج المسؤول، ولا يستطيع إيقاف البرامج التي تعمل بصلاحيات المسؤول.
• اللقطات ليست نسخة احتياطية. فهي تعيش على الجهاز نفسه، والقرص الذي يتعطّل أو يضيع أو يُسرق يأخذها معه. احتفظ أيضًا بـنسخة احتياطية غير متصلة، على قرص خارجي مثلًا تفصله حين تنتهي النسخة.
• قد تقع إنذارات خاطئة. فأداة غير مألوفة تعيد كتابة ملفات كثيرة دفعة واحدة قد تبدو كالهجوم. اسمح لها مرة، فتُحفظ.

09أسئلة يطرحها الناس

هل خدمة الحماية الخلفية مثبّتة لديّ؟

يثبّتها إعداد MoLock المعتاد، كما يشرح مقال تثبيت أكثر أمانًا. وإن كانت غائبة، أخبرتك صحة الأمان بذلك وأرتك كيف تصلحه.

وماذا لو كنت بعيدًا حين ينطلق الإنذار؟

يبقى البرنامج موقوفًا ويبقى MoLock مقفلًا حتى تقرّر، من الجهاز أو من هاتفك. وإن اخترت ذلك، يُنهى البرنامج بعد 10 دقائق بلا رد.

من أين أبدأ؟

افتح صحة الأمان، واضغط «أصلِح الكل»، ثم امضِ في بقية البنود واحدًا واحدًا. بعد ذلك أعدّ نسخة احتياطية غير متصلة؛ ففي مقال عادات الخصوصية اليومية خطة قصيرة لليوم السيئ. وكل ما يخص الدرع مجموع في صفحة واحدة: درع الفدية.