باج‌افزار Blue Locker که اولین بار در اواخر سال ۲۰۲۱ شناسایی شد، پس از یک دوره طولانیe فعالیت محدود، در اوت ۲۰۲۵ با حمله به شرکت نفت و گاز پاکستان (PPL) توجهات جهانی را به خود جلب کرد. این حمله منجر به رمزگذاری سرورها، پاکسازی نسخه‌های پشتیبان (Backups) و توقف عملیات مالی این سازمان حیاتی شد.
معمای انتساب (Attribution) و ریشه‌های کد
تحلیلگران امنیتی در مورد منشأ این باج‌افزار دو دیدگاه متفاوت دارند:
- خانواده Proton: برخی تحلیلگران Blue Locker را گونه‌ای از خانواده Proton می‌دانند که با نمونه‌هایی نظیر Shinra و Zola شباهت دارد. گزارش‌ها حاکی از آن است که خانواده Proton احتمالاً ریشه در رژیم صیهونیستی یا عوامل مرتبط با ایران دارد و به صورت یک گروه بسته (Closed Group) عمل می‌کند.
- پروژه MemeCryptor: تحلیلگران دیگر این بدافزار را بر پایه پروژه متن‌باز MemeCryptor در GitHub می‌دانند که از معماری باج‌افزار Conti الهام گرفته و از رمزگذاری ChaCha20 و استگانوگرافی (Steganography) برای پنهان‌سازی کلیدها استفاده می‌کند.
استراتژی فریب و پرچم‌های کاذب (False Flags)
در کد باینری Blue Locker رشته‌های متنی به زبان چینی مشاهده شده است. با این حال، کارشناسان این موارد را False Flag یا پرچم‌های کاذب می‌نامند که برای گمراه کردن تحلیلگران و منحرف کردن مسیر انتساب به سمت چین طراحی شده‌اند. با توجه به روابط استراتژیک چین و پاکستان، حمله دولت چین به زیرساخت‌های حیاتی این کشور غیرمنطقی به نظر می‌رسد.
تحلیل فنی زنجیره حمله (Attack Chain)
این گروه از مدل Double Extortion (باج‌خواهی دوگانه) استفاده می‌کند؛ یعنی ابتدا داده‌ها را سرقت کرده و سپس سیستم را رمزگذاری می‌کند.
مراحل نفوذ و گسترش:
- دسترسی اولیه: استفاده از ایمیل‌های فیشینگ (Phishing)، اکسپلویت کردن تنظیمات ناامن دسترسی از راه دور (Remote Access) و نرم‌افزارهای تروجان‌شده.
- ارتقای سطح دسترسی و گریز: استفاده از تکنیک Bypass UAC از طریق دستکاری رجیستری و غیرفعال کردن ابزارهای امنیتی. همچنین برای پیچیدگی تحلیل، از تکنیک Timestomping برای تغییر تاریخ فایل‌ها استفاده می‌کند.
- سرقت اطلاعات: این بدافزار با بستن اجباری پردازش
chrome.exe، دسترسی به دیتابیس رمزهای عبور ذخیره شده در مرورگر را فراهم کرده و آن‌ها را رمزگذاری می‌کند. - تخریب و رمزگذاری: برای جلوگیری از بازیابی داده‌ها، دستور
wmic SHADOWCOPY DELETEرا اجرا کرده و سرویس‌های حیاتی سیستم را متوقف می‌کند.
ویژگی‌های عملیاتی
برخلاف بسیاری از گروه‌های باج‌افزاری، Blue Locker سایت نشت داده (Leak Site) عمومی در شبکه Tor ندارد و مذاکرات را از طریق کانال‌های خصوصی مانند ProtonMail، Jabber و Tox پیش می‌برد. این رویکرد محرمانه، احتمال ارتباط این گروه با عوامل دولتی (Nation-State) را تقویت می‌کند.
