تحقیقات اخیر در مورد عملیات باج‌افزاری Nova نشان می‌دهد که چگونه استفاده از شناسه‌های ارتباطی تکراری می‌تواند منجر به شناسایی هویت واقعی عوامل تهدید (Threat Actors) شود. این گروه که ابتدا در مارس ۲۰۲۵ با نام RALord ظاهر شد، بعدها برند خود را به Nova تغییر داد تا یک مدل باج‌افزار به عنوان سرویس (RaaS) را مدیریت کند.
سیر تکامل از RALord به Nova
عملیات RALord با استفاده از یک بدافزار رمزگذار مبتنی بر زبان Rust آغاز شد. این گروه با ارائه مدل درآمدی ۸۵/۱۵ (۸۵ درصد برای افیلیت‌ها و ۱۵ درصد برای اپراتورها) توانست به سرعت گسترش یابد. تا جولای ۲۰۲۶، گزارش‌ها حاکی از آن بود که Nova حدود ۱۸۰ قربانی در ۳۸ کشور مختلف در حوزه‌های فناوری، تولید، بهداشت و آموزش داشته است.
روش شناسایی: فراتر از نام‌های کاربری
کارشناسان امنیتی به جای تمرکز بر نام‌های کاربری یک‌بار مصرف مانند Nova یا ForLord، بر زیرساخت‌های ارتباطی تمرکز کردند. این شناسه‌ها که شامل IDهای Tox، Session، نام‌های کاربری تلگرام و ایمیل‌ها بودند، به دلیل نیاز به ارتباط با قربانیان و افیلیت‌ها، برای مدت طولانی‌تری مورد استفاده قرار می‌گرفتند.
نقاط عطف در تحلیل هویت
- کشف خوشه شناسه‌ها: از طریق تحلیل داده‌های نشت شده (Data Breach) از RaidForums، ایمیل‌های مرتبط با اپراتور Nova شناسایی شدند.
- بهره‌برداری از اختلافات داخلی: در جریان یک درگیری لفظی در تالارهای گفتگو بین کاربر ForLord و کاربری به نام scrud، شناسه تلگرام
@freezqqفاش شد. - پیوند با دنیای واقعی: بررسی شناسه
@freezqqمنجر به یافتن یک شماره تلفن روسی شد که در چندین مجموعه داده نشت شده (مانند 1win و Burger King Russia) با نام Maksim Gla████ و محل سکونت در شهر Bataysk روسیه مرتبط بود.
تایید نهایی از طریق لاگ‌های Stealer
در مراحل نهایی تحقیق، لاگ‌های یک بدافزار سرقت اطلاعات (Stealer Log) متعلق به این فرد کشف شد. این لاگ‌ها حاوی اسکرین‌شات‌هایی از محیط دسکتاپ ویندوز با زبان روسی و دسترسی به تالارهای گفتگوی زیرزمینی (Underground Forums) بود. همچنین شواهدی از خرید و فروش دسترسی‌های غیرمجاز (Compromised Access) مانند OWA، Citrix و VPN در تاریخچه مرورگر این فرد مشاهده شد که با فعالیت‌های عملیاتی Nova کاملاً همخوانی داشت.
نتیجه‌گیری فنی
این پرونده ثابت می‌کند که حتی با وجود تغییر مداوم نام‌های تجاری و استفاده از سرویس‌های ناشناس، اشتباهات انسانی در مدیریت شناسه‌های ارتباطی و تکیه بر زیرساخت‌های شخصی، نقطه ضعف اصلی اپراتورهای باج‌افزار است که منجر به افشای هویت واقعی آن‌ها می‌شود.
