مجموعة GOLD WINTER Cybercrime Group
أفاد باحثو الأمن السيبراني بثقة عالية أن مجموعة قراصنة تم إنشاؤها حديثًا أطلقوا عليها اسم GOLD WINTER مسؤولة عن عمليات الهجوم التي تنطوي على Hades Ransomware . ظهرت Hades على مسرح الجرائم الإلكترونية في ديسمبر 2020 وحتى الآن تم استغلالها ضد أهداف متعددة. وقد عزت شركات المعلومات المختلفة سابقًا الأداة الخبيثة إلى مجموعات قراصنة مختلفة ومختلفة بما في ذلك HAFNIUM و GOLD DRAKE. في الواقع ، ظهر GOLD DRAKE باعتباره الجاني المحتمل بسبب العديد من التداخلات بين Hades وتهديد برنامج الفدية الخاص بهم المسمى WastedLocker والذي يتضمن مكالمات واجهة برمجة مماثلة ، باستخدام CryptOne cryptor ، ووجود عدة أوامر متطابقة في كلا التهديدين. ومع ذلك ، وجد باحثو Secureworks جوانب مميزة كافية حول هجوم Hades لتعيين مشغلها كجهة تهديد منفصلة.
على عكس معظم مشغلي برامج الفدية الذين لا يميزون إلى حد ما عند البحث عن الضحايا ، يبدو أن GOLD WINTER لديها معايير صارمة عند اختيار أهدافها. تسعى المجموعة بعد مجموعة فرعية صغيرة من الأهداف عالية القيمة ، وخاصة منظمات التصنيع من أمريكا الشمالية. يسمح هذا للمتسللين الأكثر احتمالاً في روسيا بزيادة أرباحهم من كل اختراق ناجح.
خصائص GOLD WINTER
تظهر المجموعة علامات على اتخاذ خطوات مدروسة لتضليل مجتمع المعلومات وزيادة صعوبة إسناد Hades ransomware. غالبًا ما يسقط GOLD WINTER على ملاحظات فدية الأنظمة المخترقة المأخوذة من عائلات برامج الفدية عالية المستوى الأخرى. في بعض الحالات ، نشرت HADES ملاحظات تحاكي تلك التي تنتمي إلى عائلة REvil بأسماء مثل HOW-TO-DECRYPT- <معرف الضحية> .txt بينما في الضحايا الآخرين ، أسقط التهديد تقليدًا لملاحظة Conti Ransomware (CONTACT-TO- DECRYPT.txt).
ومع ذلك ، فإن GOLD WINTER لديه بعض السمات الفريدة التي تميزه عن غيره. لا تعتمد المجموعة على موقع تسريب مركزي من أجل "تسمية ضحاياها وفضحهم". بدلاً من ذلك ، يتم توجيه كل منظمة مخترقة إلى موقع ويب مخصص يستند إلى Tor مع معرف دردشة Tox خاص بالضحية يتم توفيره للاتصالات. يعد تضمين خدمة المراسلة الفورية Tox أسلوبًا جديدًا غير موجود في عمليات برامج الفدية الأخرى. بالإضافة إلى ذلك ، لم يتم توفير Hades ransomware للشراء في منتديات المتسللين السرية ، مما يشير إلى أن التهديد لا يتم عرضه في مخطط RaaS (Ransomware as a Service) ويتم تشغيله بدلاً من ذلك كأداة فدية خاصة.
