Pay2Key.I2P рансомвер

Услед ескалације тензија између Ирана, Израела и САД, поново се појавила софистицирана операција „Ransomware-as-a-Service“ (RaaS) под називом Pay2Key.I2P. Подржана иранским интересима, ова финансијски мотивисана, али идеолошки вођена кампања нуди повећане подстицаје за сајбер криминалце који циљају Израел и Сједињене Државе. Ажурирана варијанта је увела нове инфраструктурне тактике и проширила своје могућности циљања, што означава забрињавајућу еволуцију у свету ransomware-а.

Позната претња са новим лицем

Први пут повезан са нападима у октобру 2020. године, Pay2Key је дуго био повезан са операцијама које спонзорише иранска држава. Верује се да је његова најновија инкарнација, Pay2Key.I2P, повезана са Fox Kitten (такође познатом као Lemon Sandstorm), познатом напредном групом за перзистентне претње (APT). Приметно је да се верује да ова кампања користи или укључује функције из Mimic ransomware-а, доприносећи његовој софистицираности.

Ажурирани RaaS модел сада нуди 80% учешћа у добити, што је повећање у односу на претходних 70%, посебно за филијале које су повезане са иранским интересима или оне које су спремне да изврше нападе на иранске противнике. Ова промена показује јасну мешавину финансијских и идеолошких мотивација.

Успон RaaS платформе засноване на I2P-у

Оно што издваја Pay2Key.I2P јесте коришћење Невидљивог интернет пројекта (I2P) за хостовање целе своје инфраструктуре. Док су неке породице малвера користиле I2P за функције командовања и контроле (C2), Pay2Key.I2P је прва позната RaaS операција која се у потпуности покреће унутар ове анонимизоване мреже. Ово додаје слој прикривености и отпорности који компликује напоре за уклањање од стране органа реда.

У фебруару 2025. године, група је тврдила да је извршила преко 51 успешну исплату откупнине, генеришући више од 4 милиона долара укупног прихода, а појединачни оператери су зарадили чак 100.000 долара. Ови бројеви подвлаче обим и успех операције у кратком временском року.

Посебно значајан догађај догодио се 20. фебруара 2025. године, када је корисник даркнета под псеудонимом „Isreactive“ рекламирао ransomware на руском форуму за сајбер криминал. Објава је омогућавала свакоме да инсталира бинарни фајл за исплату од 20.000 долара по успешном нападу, што је довело до промене у RaaS динамици омогућавајући шире учешће и веће остваривање прихода за програмере.

Технички напредак и могућности прикривености

Pay2Key.I2P показује стално усавршавање, а креатор ransomware-а добија могућности циљања Linux-а од јуна 2025. Његова Windows варијанта се дистрибуира као извршна датотека унутар самораспакујуће (SFX) архиве, користећи напредне технике за заобилажење детекције.

Неке кључне карактеристике укључују:

• Онемогућавање Microsoft Defender Antivirus-а током извршавања

• Брисање злонамерних артефаката ради смањења форензичког отиска

Коришћење прикривених корисних садржаја, као што су извршне датотеке маскиране као Microsoft Word документи, које затим покрећу cmd скрипте за покретање процеса шифровања и остављање порука са захтевом за откуп

Ова прикривена понашања знатно отежавају откривање и санацију за браниоце.

Шири пејзаж претњи и стратешке импликације

Pay2Key.I2P је више од обичног криминалног подухвата; он представља фронт за сајбер ратовање који је усклађен са интересима иранске државе. Његова идеолошка подлога је очигледна кроз циљане подстицаје за исплату и стратешки избор жртава.

Ова претња се развија у контексту појачаних геополитичких тензија. Након америчких ваздушних напада на иранска нуклеарна постројења, америчке обавештајне агенције издале су упозорења о могућим одмаздним сајбер нападима. Између маја и јуна 2025. године, истраживачи су забележили 28 сајбер напада приписаних Ирану, првенствено усмерених на амерички транспортни и производни сектор.

Истакнуте иранске APT групе које стоје иза ових кампања укључују:

• Блатњава вода
• АПТ33
• Нафтна платформа
• Сајбер Осветници
• Лисичје маче
• Домовина правда

Ови актери све више циљају индустријску и критичну инфраструктуру у САД и савезничким земљама, наглашавајући хитну потребу за побољшаном одбраном у сајбер безбедности.

Закључак: Припремите се за растућу претњу

Pay2Key.I2P је суров подсетник на то како се претње ransomware-а развијају у алате геополитичког утицаја и сајбер ратовања. Са техничком софистицираношћу, високим наградама за партнере и идеолошким мотивацијама, ова кампања није само о новцу, већ о моћи и поремећајима. Организације, посебно оне у критичним секторима, морају остати будне, осигурати да се системске рањивости закрпе и применити проактивне одбрамбене стратегије за борбу против ове нове претње.