Λογισμικό λύτρωσης Pay2Key.I2P

Στον απόηχο της κλιμάκωσης των εντάσεων μεταξύ Ιράν, Ισραήλ και ΗΠΑ, επανεμφανίστηκε μια εξελιγμένη επιχείρηση Ransomware-as-a-Service (RaaS) με την ονομασία Pay2Key.I2P. Υποστηριζόμενη από ιρανικά συμφέροντα, αυτή η οικονομικά υποκινούμενη αλλά ιδεολογικά καθοδηγούμενη εκστρατεία προσφέρει αυξημένα κίνητρα για τους κυβερνοεγκληματίες που στοχεύουν το Ισραήλ και τις Ηνωμένες Πολιτείες. Η ενημερωμένη παραλλαγή έχει εισαγάγει νέες τακτικές υποδομής και έχει επεκτείνει τις δυνατότητες στόχευσης, σηματοδοτώντας μια ανησυχητική εξέλιξη στο τοπίο του ransomware.

Μια Γνώριμη Απειλή με Νέο Πρόσωπο

Το Pay2Key, το οποίο συνδέθηκε για πρώτη φορά με επιθέσεις τον Οκτώβριο του 2020, έχει συνδεθεί εδώ και καιρό με επιχειρήσεις που χρηματοδοτούνται από το ιρανικό κράτος. Η τελευταία του μορφή, το Pay2Key.I2P, πιστεύεται ότι συνδέεται με την Fox Kitten (γνωστή και ως Lemon Sandstorm), μια γνωστή ομάδα προηγμένων μόνιμων απειλών (APT). Αξίζει να σημειωθεί ότι αυτή η καμπάνια πιστεύεται ότι αξιοποιεί ή ενσωματώνει χαρακτηριστικά από το ransomware Mimic, προσθέτοντας στην πολυπλοκότητά της.

Το ενημερωμένο μοντέλο RaaS προσφέρει πλέον μερίδιο κέρδους 80%, αύξηση από το προηγούμενο 70%, ειδικά σε θυγατρικές που ευθυγραμμίζονται με τα ιρανικά συμφέροντα ή σε εκείνες που είναι πρόθυμες να πραγματοποιήσουν επιθέσεις εναντίον των αντιπάλων του Ιράν. Αυτή η μετατόπιση καταδεικνύει ένα σαφές μείγμα οικονομικών και ιδεολογικών κινήτρων.

Η άνοδος της πλατφόρμας RaaS που βασίζεται στο I2P

Αυτό που κάνει το Pay2Key.I2P να ξεχωρίζει είναι η χρήση του Invisible Internet Project (I2P) για τη φιλοξενία ολόκληρης της υποδομής του. Ενώ ορισμένες οικογένειες κακόβουλου λογισμικού έχουν χρησιμοποιήσει το I2P για λειτουργίες Command-and-Control (C2), το Pay2Key.I2P είναι η πρώτη γνωστή λειτουργία RaaS που εκτελείται πλήρως σε αυτό το ανώνυμο δίκτυο. Αυτό προσθέτει ένα επίπεδο μυστικότητας και ανθεκτικότητας που περιπλέκει τις προσπάθειες εξάπλωσης από τις αρχές επιβολής του νόμου.

Τον Φεβρουάριο του 2025, η ομάδα διεκδίκησε πάνω από 51 επιτυχημένες πληρωμές λύτρων, δημιουργώντας συνολικά έσοδα άνω των 4 εκατομμυρίων δολαρίων, με τους μεμονωμένους χειριστές να κερδίζουν έως και 100.000 δολάρια. Αυτοί οι αριθμοί υπογραμμίζουν την κλίμακα και την επιτυχία της επιχείρησης σε σύντομο χρονικό διάστημα.

Ένα ιδιαίτερα αξιοσημείωτο γεγονός συνέβη στις 20 Φεβρουαρίου 2025, όταν ένας χρήστης του darknet με το ψευδώνυμο «Isreactive» διαφήμισε το ransomware σε ένα ρωσικό φόρουμ για το κυβερνοέγκλημα. Η ανάρτηση επέτρεπε σε οποιονδήποτε να αναπτύξει το δυαδικό αρχείο για πληρωμή 20.000 δολαρίων ανά επιτυχημένη επίθεση, εισάγοντας μια αλλαγή στη δυναμική του RaaS, επιτρέποντας ευρύτερη συμμετοχή και μεγαλύτερη είσπραξη εσόδων για τους προγραμματιστές.

Τεχνικές εξελίξεις και δυνατότητες μυστικότητας

Το Pay2Key.I2P επιδεικνύει συνεχή βελτίωση, με το εργαλείο δημιουργίας ransomware να αποκτά δυνατότητες στόχευσης Linux από τον Ιούνιο του 2025. Η παραλλαγή του για Windows διανέμεται ως εκτελέσιμο αρχείο μέσα σε ένα αρχείο αυτόματης εξαγωγής (SFX), χρησιμοποιώντας προηγμένες τεχνικές για την παράκαμψη της ανίχνευσης.

Μερικά βασικά χαρακτηριστικά περιλαμβάνουν:

Χρήση μεταμφιεσμένων ωφέλιμων φορτίων, όπως εκτελέσιμα αρχεία που μεταμφιέζονται σε έγγραφα του Microsoft Word, τα οποία στη συνέχεια ενεργοποιούν σενάρια cmd για να ξεκινήσουν τη διαδικασία κρυπτογράφησης και να αποσύρουν σημειώσεις λύτρων.

Αυτές οι αθόρυβες συμπεριφορές καθιστούν την ανίχνευση και την αποκατάσταση σημαντικά πιο δύσκολη για τους αμυνόμενους.

Ένα ευρύτερο τοπίο απειλών και στρατηγικές επιπτώσεις

Το Pay2Key.I2P είναι κάτι περισσότερο από μια απλή εγκληματική επιχείρηση. Αντιπροσωπεύει ένα μέτωπο κυβερνοπολέμου που ευθυγραμμίζεται με τα συμφέροντα του ιρανικού κράτους. Τα ιδεολογικά του υποστρώματα είναι εμφανή μέσω των στοχευμένων κινήτρων πληρωμής και της στρατηγικής επιλογής θυμάτων.

Αυτή η απειλή εκτυλίσσεται σε ένα φόντο αυξημένων γεωπολιτικών εντάσεων. Μετά τις αμερικανικές αεροπορικές επιδρομές σε ιρανικές πυρηνικές εγκαταστάσεις, οι αμερικανικές υπηρεσίες πληροφοριών έχουν εκδώσει προειδοποιήσεις για πιθανές κυβερνοεπιθέσεις ως αντίποινα. Μεταξύ Μαΐου και Ιουνίου 2025, οι ερευνητές κατέγραψαν 28 κυβερνοεπιθέσεις που αποδίδονται στο Ιράν, οι οποίες επικεντρώνονταν κυρίως στους τομείς των μεταφορών και της μεταποίησης των ΗΠΑ.

Εξέχουσες ιρανικές ομάδες APT πίσω από αυτές τις εκστρατείες περιλαμβάνουν:

• Λασπωμένο Νερό
• APT33
• Πλατφόρμα Πετρελαίου
• Κυβερνο-Παραβατιστές
• Γατάκι Αλεπούς
• Πατρίδα Δικαιοσύνη

Αυτοί οι παράγοντες στοχεύουν ολοένα και περισσότερο σε βιομηχανικές και κρίσιμες υποδομές τόσο στις ΗΠΑ όσο και σε συμμαχικά έθνη, τονίζοντας την επείγουσα ανάγκη για βελτιωμένη άμυνα στον κυβερνοχώρο.

Συμπέρασμα: Προετοιμαστείτε για μια εξελισσόμενη απειλή

Το Pay2Key.I2P αποτελεί μια έντονη υπενθύμιση του πώς οι απειλές ransomware εξελίσσονται σε εργαλεία γεωπολιτικής επιρροής και κυβερνοπολέμου. Με τεχνική εξειδίκευση, υψηλές ανταμοιβές συνεργατών και ιδεολογικά κίνητρα, αυτή η εκστρατεία δεν αφορά μόνο τα χρήματα, αλλά και την εξουσία και την αναστάτωση. Οι οργανισμοί, ειδικά εκείνοι σε κρίσιμους τομείς, πρέπει να παραμένουν σε εγρήγορση, να διασφαλίζουν ότι τα τρωτά σημεία του συστήματος διορθώνονται και να εφαρμόζουν προληπτικές στρατηγικές άμυνας για την καταπολέμηση αυτής της αναδυόμενης απειλής.