گزارش‌های اخیر نشان‌دهنده افزایش ۴.۷ درصدی حملات باج‌افزاری در ژاپن طی نیمه اول سال ۲۰۲۶ است. این روند نشان می‌دهد که تهدیدات باج‌افزاری همچنان در سطح بالایی قرار دارند و به‌طور خاص، سازمان‌های کوچک و متوسط (SME) با سرمایه کمتر از یک میلیارد ین، هدف اصلی این حملات بوده‌اند و حدود ۸۰ درصد از کل موارد آسیب‌دیده را تشکیل می‌دهند.
بررسی گروه باج‌افزاری The Gentlemen
گروه The Gentlemen که از جولای ۲۰۲۵ فعال شده است، در حال حاضر فعال‌ترین گروه باج‌افزاری در ژاپن است. این گروه از مدل Ransomware-as-a-Service (RaaS) و استراتژی اخاذی دوگانه (Double-Extortion) استفاده می‌کند. تحلیل زیرساخت‌های این گروه نشان‌دهنده استفاده از ابزارهای پیشرفته برای نفوذ و گسترش در شبکه است:
- ابزارهای شناسایی و تحلیل مسیر: استفاده از RustHound و BloodHound برای تحلیل Active Directory (AD).
- اکسپلویت‌ها: بهره‌برداری از آسیب‌پذیری SQL Injection در GLPI (CVE-2025-24799) و همچنین Zerologon (CVE-2020-1472).
- تکنیک‌های تونل‌زنی: استفاده از Ligolo-ng و Chisel برای ایجاد مسیرهای ارتباطی در شبکه‌های داخلی.
- مدیریت و کنترل: بهره‌گیری از فریم‌ورک متن‌باز AdaptixC2 برای عملیات Post-Exploitation.
شواهد موجود در فایل‌های .bash_history و کامنت‌های اسکریپت‌ها، احتمال حضور فعال افراد روسی‌زبان در این گروه را تقویت می‌کند.
بهره‌گیری گروه Qilin از هوش مصنوعی (AI)
گروه Qilin که در رده دوم فعال‌ترین گروه‌ها قرار دارد، در حال تغییر متدولوژی خود به سمت استفاده از هوش مصنوعی مولد (Generative AI) است. تحلیل اسکریپت‌های پایتون این گروه (مانند deadman.py و veeam_kill.py) نشان می‌دهد که کدها با ساختاری مشابه خروجی‌های LLM تولید شده‌اند. این ویژگی‌ها شامل موارد زیر است:
- تقسیم‌بندی دقیق مراحل عملیاتی به صورت Step-by-Step در کامنت‌های کد.
- مستندسازی استاندارد در ابتدای اسکریپت‌ها (شامل Prerequisites و Usage) که مشابه فرمت پاسخ‌های مدل‌های زبانی است.
- استفاده از ابزارهای داخلی مانند
llm_chatbotبرای تولید خودکار کدهای مخرب جهت حذف بک‌آپ‌های Veeam و توزیع Wiper از طریق GPO.
توصیه‌های امنیتی برای مدیران SOC و CISO
با توجه به متدهای مورد استفاده، اقدامات زیر برای کاهش ریسک ضروری است:
- مدیریت سطح حمله (Attack Surface): شناسایی و به‌روزرسانی سریع VPNها و سرویس‌های در دسترس اینترنت.
- احراز هویت سخت‌گیرانه: پیاده‌سازی MFA برای تمامی دسترسی‌های Remote و حساب‌های مدیریتی.
- کنترل دسترسی Third-party: محدود کردن دسترسی تامین‌کنندگان خارجی به حداقل دسترسی لازم (Least Privilege) و نظارت بر لاگ‌های ارتباطی آن‌ها.
- مانیتورینگ پیشرفته: استفاده از EDR برای شناسایی رفتارهای مشکوک مانند غیرفعال‌سازی توابع Backup یا تغییرات گسترده در فایل‌ها.
