گروه باج‌افزاری Qilin به عنوان یکی از فعال‌ترین برنامه‌های همکاری در مدل Ransomware-as-a-Service (RaaS) شناخته می‌شود که تنها در سه ماه گذشته، دست‌کم ۳۶۵ سازمان را هدف قرار داده است. با این حال، حتی عاملان تهدید سطح بالا نیز از اشتباهات امنیتی (Opsec) در امان نیستند. بررسی‌های انجام شده نشان می‌دهد که مدیر این گروه طی یک دهه گذشته مرتکب اشتباهاتی شده است که منجر به شناسایی هویت واقعی او شده است.
مدل عملیاتی و استراتژی باج‌گیری
گروه Qilin با ارائه سهم ۸۰ درصدی از مبالغ باج‌گیری به همکاران (Affiliates) خود، آن‌ها را به نفوذ به شرکت‌ها و استقرار باج‌افزار ترغیب می‌کند. این گروه از مدل Double Extortion (باج‌گیری دوگانه) استفاده می‌کند؛ به این صورت که پیش از رمزگذاری سیستم‌ها، داده‌های حساس را سرقت کرده و تهدید به انتشار آن‌ها در فضای آنلاین می‌کند. برخلاف بسیاری از گروه‌های باج‌افزاری مستقر در روسیه، Qilin با همکاران انگلیسی‌زبان نیز همکاری می‌کند.
ردپای دیجیتال و شکست در امنیت عملیاتی (Opsec)
مدیر این گروه با نام مستعار Haise فعالیت می‌کرد، اما این نام تنها یکی از هویت‌های او بود. تغییر نام مستعار معمولاً یک اقدام هوشمندانه برای قطع پیوند با هویت‌های قدیمی است، اما اشتباهات در مدیریت این هویت‌ها می‌تواند منجر به فاش شدن اطلاعات شود. تحلیل‌ها نشان می‌دهد که:
- نام مستعار Haise با نام‌های Rjun و Alexbigboss44 در انجمن‌های جرم سایبری مرتبط است.
- این کاربر از طریق یک حساب تلگرام که با نام Alexbigboss44 فعالیت می‌کرد، در انجمن‌های روسی حضور داشت.
- ارتباط میان این حساب‌ها از طریق یک آدرس ایمیل (mail-30a@mail.ru) برقرار شد.
از نشت داده‌ها تا شناسایی هویت واقعی
این آدرس ایمیل در داده‌های لو رفته از پلتفرم خدمات دولتی روسیه (Gosuslugi) مشاهده شده است. این نشت داده‌ها شامل اطلاعات شخصی گسترده‌ای بود که امکان تطبیق اطلاعات را فراهم کرد. از طریق این مسیر، هویت واقعی مدیر گروه به عنوان فردی ۳۶ ساله ساکن سن‌پترزبورگ، با نام Aleksey Mikhailovich Yakovtsev، شناسایی شد. بررسی‌های تکمیلی بر روی شماره تلفن و سوابق سفر او، پیوند میان فعالیت‌های سایبری و هویت واقعی وی را به طور کامل تأیید می‌کند. این مورد نشان‌دهنده اهمیت حیاتی مدیریت صحیح Operational Security (Opsec) برای عاملان تهدید است.
