باج‌افزارهای اخاذی دوگانه (Double Extortion Ransomware) نوعی از حملات سایبری هستند که در آن عاملان تهدید ابتدا داده‌های حساس سازمان را سرقت کرده و سپس سیستم‌ها را رمزنگاری می‌کنند. در این مدل، مهاجمان دو بار درخواست باج می‌کنند: یک بار برای دریافت کلید رمزگشایی و بار دوم برای عدم انتشار داده‌های سرقت شده در فضای عمومی. این رویکرد اکنون به استراتژی پیش‌فرض اکثر گروه‌های باج‌افزاری تبدیل شده است و باعث شده تا بازیابی داده‌ها از طریق بک‌آپ (Backup)، دیگر به تنهایی برای پایان دادن به بحران کافی نباشد.
تعریف و تفاوت با مدل‌های سنتی
در باج‌افزارهای سنتی (Single Extortion)، اهرم فشار تنها عدم دسترسی به سیستم‌ها بود. اگر سازمان بک‌آپ‌های به‌روز داشت، می‌توانست بدون پرداخت باج، سیستم‌ها را بازیابی کند. اما در مدل اخاذی دوگانه، تهدید به افشای محرمانگی اضافه می‌شود. حتی پس از بازیابی کامل سیستم‌ها، سازمان همچنان با ریسک انتشار قراردادها، اطلاعات مشتریان یا داده‌های حساس روبروست.
طبق گزارش‌های CISA، در این مدل، استخراج داده‌ها (Exfiltration) پیش از رمزنگاری انجام می‌شود تا فشار عملیاتی (ناشی از توقف سرویس‌ها) با فشار قانونی و اعتباری (ناشی از نشت داده‌ها) ترکیب شود.
چرخه حیات حمله اخاذی دوگانه
یک حمله Double Extortion معمولاً در پنج مرحله اجرا می‌شود:
- دسترسی اولیه و جابجایی عرضی (Initial Access & Lateral Movement): مهاجمان از طریق آسیب‌پذیری‌های وصل‌نشده در سیستم‌های متصل به اینترنت یا اعتبارنامه‌های سرقت شده وارد شبکه می‌شوند. سپس با استفاده از ابزارهای قانونی سیستم‌عامل (Living-off-the-land binaries) برای ارتقای سطح دسترسی و شناسایی سرورهای فایل و دیتابیس‌ها حرکت می‌کنند.
- استخراج داده‌ها پیش از رمزنگاری (Data Exfiltration): سرقت داده‌ها اولین گام فنی است، زیرا رمزنگاری عملیاتی «پرهیاهو» است و سریعاً شناسایی می‌شود. مهاجمان از ابزارهایی مانند Rclone برای انتقال داده‌ها به فضای ابری (Cloud Storage) استفاده می‌کنند.
- رمزنگاری فایل‌ها و ارسال یادداشت باج‌خواهی: پس از اطمینان از سرقت داده‌ها، بدافزار در سطح شبکه پخش شده و فایل‌ها را رمزنگاری می‌کند. در این مرحله، سرویس‌های SQL، Exchange و Snapshotهای سیستم (Volume Shadow Copy) برای جلوگیری از بازیابی سریع حذف می‌شوند.
- اعمال فشار دوگانه: قربانی برای دریافت کلید رمزگشایی و همچنین برای دریافت وعده حذف داده‌های سرقت شده تحت فشار قرار می‌گیرد.
- انتشار در سایت‌های افشا (Leak Sites): در صورت عدم توافق، نام قربانی در سایت‌های افشای داده‌های مهاجمان قرار گرفته و نمونه‌هایی از فایل‌ها برای اثبات ادعا منتشر می‌شود.
تکامل به سمت اخاذی سه‌گانه و Extortionware
عاملان تهدید برای افزایش فشار، مدل‌های پیچیده‌تری را توسعه داده‌اند:
- اخاذی سه‌گانه (Triple Extortion): علاوه بر رمزنگاری و نشت داده‌ها، لایه سومی مانند حملات منع سرویس توزیع شده (DDoS) یا تماس مستقیم با مشتریان و شرکای تجاری قربانی برای ایجاد فشار اجتماعی و تجاری اضافه می‌شود.
- اخاذی‌افزار (Extortionware): در این مدل، مرحله رمزنگاری کاملاً حذف شده و مهاجم تنها بر سرقت داده‌ها و تهدید به انتشار آن‌ها تمرکز می‌کند. این رویکرد باعث کاهش ریسک شناسایی توسط آنتی‌ویروس‌ها می‌شود زیرا هیچ فایل سیستمی رمزنگاری نمی‌شود.
تحلیل آماری و روندهای سال ۲۰۲۴ تا ۲۰۲۶
گزارش‌های اخیر نشان می‌دهد که باج‌افزارها در حدود ۴۸٪ از کل رخنه‌های امنیتی حضور دارند. صنایع تولیدی (Manufacturing) بیشترین هدف این حملات بوده‌اند. نکته قابل توجه این است که در حالی که تعداد قربانیان در سایت‌های افشا افزایش یافته، نرخ پرداخت باج به دلیل بهبود استراتژی‌های دفاعی و توصیه نهادهای امنیتی کاهش یافته است.
راهکارهای شناسایی و دفاع
۱. شناسایی زودهنگام (Detection)
بهترین زمان برای شناسایی، پیش از شروع رمزنگاری است. نشانه‌های هشداردهنده عبارتند از:
- ایجاد حساب‌های کاربری با دسترسی بالا (Privileged Accounts) به صورت غیرمنتظره.
- غیرفعال شدن ابزارهای امنیتی توسط درایورهای سفارشی.
- ترافیک خروجی غیرعادی و حجیم به سمت سرویس‌های ذخیره‌سازی ابری ناشناخته.
- استفاده از ابزارهای انتقال فایل مانند Rclone در سیستم‌هایی که کاربرد عادی ندارند.
۲. استراتژی‌های پیشگیرانه (Prevention)
- کاهش سطح حمله: پیاده‌سازی احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ و به‌روزرسانی سریع آسیب‌پذیری‌های Critical.
- محدود کردن استخراج داده: اعمال کنترل‌های خروجی (Egress Controls)، استفاده از سیستم‌های پیشگیری از نشت داده (DLP) و اجرای اصل حداقل دسترسی (Least Privilege).
- بک‌آپ‌های تغییرناپذیر (Immutable Backups): نگهداری نسخه‌های پشتیبان آفلاین یا تغییرناپذیر برای کاهش اثر رمزنگاری.
- تمرینات Tabletop: برگزاری مانورهای مدیریتی برای تصمیم‌گیری در مورد نحوه پاسخ به نشت داده‌ها و ارتباط با رگولاتورها.
پاسخ به حادثه (Incident Response)
در صورت وقوع حمله، ایزوله کردن سیستم‌های متأثر بدون خاموش کردن آن‌ها (برای حفظ شواهد Forensic) ضروری است. سازمان‌ها باید نشت داده‌ها را از همان لحظه اول به عنوان یک نقض داده (Data Breach) در نظر بگیرند و مراحل قانونی اطلاع‌رسانی به مشتریان و نهادهای نظارتی را آغاز کنند، زیرا انتظار برای پرداخت باج، تنها زمان پاسخگویی قانونی را کاهش می‌دهد.
