قبل أن تضربك أداة المسح: لماذا تُعد أدوات المسح السلاح الأكثر شيوعًا في هجمات OT

كل برنامج مسح تم تحليله، بغض النظر عن اللغة أو النظام الأساسي أو درجة تعقيده، يتبع نفس النمط الأساسي. ويُعد فهم هذه المراحل نقطة انطلاق عملية للدفاع ضد هجمات برامج المسح.

المرحلة 1: التهيئة
يقوم برنامج المسح بإعداد حمولته التلفية، وعادةً ما يتم ذلك عن طريق إنشاء بيانات شبه عشوائية باستخدام مولد أرقام عشوائية شائع. وتجعل البيانات العشوائية عملية الاستعادة الجنائية أكثر صعوبة مقارنة بالكتابة فوق البيانات بالأصفار.

المرحلة الثانية: الاستكشاف
يقوم برنامج wiper بتحديد كل ما يمكنه تدميره من خلال حصر محركات الأقراص ووحدات التخزين والدلائل والملفات.

المرحلة الثالثة: التدمير
يقوم برنامج المسح بفتح كل ملف، وإزالة خصائص الحماية، ثم الكتابة فوقه ببيانات عشوائية. كما يقوم بعض البرامج بحذف الملفات بعد ذلك. بينما يستهدف البعض الآخر سجل التمهيد الرئيسي (MBR) أو جدول الملفات الرئيسي (MFT)، مما يجعل القرص بأكمله غير قابل للقراءة.

المرحلة الرابعة: منع الاستعادة
تؤدي إعادة التشغيل القسرية إلى تثبيت الأضرار. يقوم برنامج الحذف برفع مستوى الصلاحيات، والحصول على حقوق إيقاف التشغيل، وإعادة تشغيل النظام. وعندما يعود النظام إلى العمل، إن عاد، لن يتبقى شيء يمكن استعادته.

الجهات الفاعلة: Sandworm/ELECTRUM (GRU)
الهدف: بولندا، قطاع الطاقة (موارد الطاقة الموزعة)
طريقة التوصيل: ملف تنفيذي لنظام ويندوز (ملف ثنائي PE) تم توصيله عبر شبكة تم اختراقها

في ديسمبر 2025، استهدفت «ساندورم»، وهي الوحدة الأكثر كفاءة في جهاز الاستخبارات العسكرية الروسية (GRU) والمتخصصة في أنظمة التحكم الصناعية (ICS)، البنية التحتية الكهربائية في بولندا باستخدام برنامج «داينوويبر». ووفقًا لشركة «دراغوس»، كان هذا أول هجوم إلكتروني منسق يستهدف موارد الطاقة الموزعة (DER) على نطاق واسع.

تأثر ما يقرب من 30 موقعًا، بما في ذلك محطات توليد الطاقة الحرارية والكهربائية، ومزارع الرياح، وأنظمة توزيع الطاقة الشمسية. وعلى عكس الهجمات السابقة التي ركزت على محطات الطاقة المركزية، استهدفت هذه العملية منشآت أصغر حجمًا وموزعة تتوسع بسرعة في أسواق الطاقة الحديثة. كما أن هذه المنشآت عادةً ما تكون أقل حماية.

قد يكون الهجوم قد أثر على ما يصل إلى 500,000 من السكان. وقد صرح رئيس وزراء بولندا بأن شبكة النقل لم تكن معرضة للخطر، لكن المهاجمين تمكنوا من الوصول إلى أنظمة التشغيل التشغيلي (OT) وأدى ذلك إلى تعطيل بعض المعدات بشكل دائم. وقد اتبعت أداة «DynoWiper» خطة العمل المكونة من أربع مراحل بدقة: إنشاء حمولة شبه عشوائية، وتحديد محركات الأقراص، والكتابة فوق الملفات، وإعادة التشغيل القسري. وقد تم تنفيذها كملف ثنائي مُجمَّع مصمم للتدمير المنهجي.

الجهة الفاعلة: Russia-nexus (وحدة غير محددة)
الهدف: أوكرانيا، البنية التحتية الحيوية (قطاعات متعددة)
طريقة التوصيل: أداة توزيع VBScript مقترنة بملف قابل للتنفيذ

تم استخدام برنامج «PathWiper» ضد البنية التحتية الحيوية الأوكرانية من قِبل جهة لها صلة بروسيا، وذلك في إطار حملة إلكترونية مستمرة في ظل الحرب. وفي حين استهدف برنامج «DynoWiper» قطاعًا محددًا، استهدف برنامج «PathWiper» البنية التحتية الحيوية على نطاق أوسع، مما أثر على العديد من الخدمات الأساسية الخدمات النزاع الدائر.

ما يميزه هو شمولية عملية التدمير. فبرنامج PathWiper لا يكتفي بمحو الملفات فحسب، بل يدمر وحدة التخزين المحلية على مستوى وحدة التخزين. وفي حالة الحرب الفعلية، الخدمات مسح الأنظمة التي تدير الخدمات الأساسية الخدمات عواقب تتجاوز مجرد فقدان البيانات.

تنطبق المراحل الأربع نفسها، لكن برنامج PathWiper يذهب في مرحلة التدمير إلى أبعد مما تفعله معظم البرامج الأخرى. فمن خلال استهداف وحدة التخزين بأكملها بدلاً من الملفات الفردية، يضمن البرنامج أن يكون حتى الاسترداد الجنائي الجزئي مستحيلاً فعلياً. والهدف هو المحو التام، ليس للبيانات فحسب، بل لقدرة النظام على العمل أيضاً.

الجهات الفاعلة: Sandworm/ELECTRUM (GRU)
الهدف: بولندا، قطاع التصنيع
طريقة التنفيذ: نص برمجي لـ PowerShell يتم توزيعه عبر كائنات سياسة المجموعة (GPO)

لم تكن حملة «LazyWiper» حملة مستقلة. فقد وقعت في نفس اليوم الذي وقعت فيه حملة «DynoWiper»، أي في 29 ديسمبر 2025، كجزء من العملية المنسقة نفسها. ومع ذلك، فقد استهدفت شركة تصنيع، ووصفتها «CERT Polska» بأنها حملة انتهازية. فقد حدد المهاجمون نقطة دخول مكشوفة واستغلوها.

كانت نقطة الدخول تلك عبارة عن جهاز من طراز Fortinet سُرقت إعداداته ونُشرت على أحد المنتديات الإجرامية. استخدم المهاجمون بيانات الاعتماد المسربة لإنشاء وصول دائم، وانتقلوا أفقياً إلى امتيازات مسؤول المجال، ودفعوا LazyWiper إلى كل جهاز عبر GPO. على عكس الملف الثنائي المُجمَّع لـ DynoWiper، فإن LazyWiper هو برنامج نصي لـ PowerShell. وهو يعطل Defender، ويستخدم أدوات إدارة Windows المدمجة أدوات جميع محركات الأقراص، ويعيد تسمية الملفات بأسماء عشوائية مكونة من أربعة أحرف، ويستبدلها ببيانات شبه عشوائية.

هناك تفصيل واحد يجعل هذه الحالة جديرة بالملاحظة بشكل خاص. فقد خلصت CERT Polska إلى أن أجزاءً من كود الكتابة فوق الملفات قد تم إنشاؤها على الأرجح بواسطة نموذج لغوي ضخم، مما يشير إلى تطوير برامج ضارة بمساعدة الذكاء الاصطناعي في بيئة حقيقية. وإذا افترض المدافعون أن برامج المسح ستظهر دائمًا في شكل برامج ضارة مجمعة تقليدية، فإن LazyWiper تسلط الضوء على ضرورة أخذ التهديدات القائمة على البرامج النصية والمولدة ديناميكيًا في الحسبان.

في الوقت الذي كان يجري فيه وضع اللمسات الأخيرة على هذا المقال، في 21 أبريل، أبلغت مجموعة كاسبرسكي GReAT عن ظهور فيروس محو بيانات لم يكن معروفًا من قبل، يُدعى «Lotus Wiper»، يستهدف قطاع الطاقة والمرافق العامة في فنزويلا.

الهجوم يتم بشكل منهجي. حيث يعمل نصان برمجيان على عزل الجهاز أولاً عن طريق الخدمات، وإيقاف واجهات الشبكة، وإنهاء جلسات العمل. ثم يقومان بمسح أقراص التخزين، والكتابة فوق المجلدات، وملء المساحة المتبقية على وحدة التخزين. ولا يتم تنفيذ الحمولة النهائية إلا بعد الانتهاء من هذه الخطوات.

يتم إخفاء برنامج المسح هذا على أنه أحد مكونات برامج المؤسسات الشرعية، ويتم توزيعه في شكل مشفر ثم يتم فك تشفيره عند التشغيل. وبمجرد تفعيله، يصبح النظام غير قابل للتمهيد، ولا يمكن استعادة أي بيانات منه. ولا يوجد أي طلب فدية ولا ما يشير إلى تسريب البيانات بهدف تحقيق مكاسب مالية. وعلى غرار برامج المسح الأخرى التي تمت مناقشتها في هذا المقال، صُمم برنامج Lotus Wiper لغرض التدمير.

يتكرر هذا النمط مرة أخرى في الوقت الفعلي. حيث يعبر الملف حدود الثقة، ويتم تنفيذه، ثم يدمر كل ما يمكنه الوصول إليه. ويُعد الفحص على مستوى الملف قبل فك تشفير الحمولة الفرصة الأولى لاعتراضه.