ظهور عملیات جدید باج‌افزاری Galago با پیوندهای عملیاتی به گروه Panzer

یک عملیات باج‌افزاری جدید تحت عنوان Galago شناسایی شده است که پیوندهای عملیاتی آشکاری با گروه باج‌افزاری Panzer دارد. این موضوع نگرانی‌ها را در مورد گسترش اکوسیستم اخاذی دوگانه (Double-Extortion) که سازمان‌ها را در سراسر جهان هدف قرار می‌دهد، افزایش داده است.

تحلیل زیرساختی و ارتباط با Panzer

پژوهشگران از تاریخ ۱۵ سپتامبر ۲۰۲۶ نظارت مستقیم بر سایت نشت داده‌های (DLS) این گروه در شبکه Tor را آغاز کردند. اگرچه در زمان مشاهده، این پورتال غیرفعال بود و هیچ لیستی از قربانیان در آن منتشر نشده بود، اما تحلیل زیرساخت‌ها نشان‌دهنده رابطه‌ای نزدیک با عملیات Panzer است.

• همکاری رسمی: گروه Galago به طور علنی اعلام کرده است که در مشارکت با Panzer فعالیت می‌کند.
• الگوهای نام‌گذاری: دامنه Galago با پیشوند pnzr شروع می‌شود؛ این یک قرارداد نام‌گذاری (Naming Convention) است که در آدرس سایت نشت داده‌های Panzer نیز به کار رفته است.

این شباهت‌های فنی نشان می‌دهد که هر دو عملیات احتمالاً در حال همکاری هستند، منابع میزبانی (Hosting) مشترک دارند یا در یک اکوسیستم افیلیت (Affiliate) واحد فعالیت می‌کنند.

هدف‌گیری بخش بهداشت و درمان

اولین مورد گزارش شده از فعالیت Galago در ۹ سپتامبر ۲۰۲۶ بود، جایی که ادعا شد یک سازمان بهداشتی در ایسلند به نام Inter ehf مورد حمله قرار گرفته است. طبق گزارش‌های اولیه، حدود ۱۰۵ گیگابایت داده از این سازمان سرقت شده و مهاجمان تهدید کردند که در صورت عدم پرداخت، داده‌ها را منتشر خواهند کرد.

اگرچه این مورد هنوز به طور مستقل تأیید نشده و در سایت نشت داده‌های Galago منتشر نشده است، اما نشان‌دهنده تمرکز این عامل تهدید بر بخش‌های حساس است که به دلیل نیاز به بازیابی سریع و حساسیت داده‌های پزشکی، اهدافی ایده‌آل برای باج‌افزارها هستند.

استراتژی تغییر برند و گسترش

ظهور Galago ممکن است یک استراتژی تغییر برند (Rebranding) یا گسترش عملیاتی باشد تا عامل تهدید بتواند:

• کمپین‌های خود را بخش‌بندی کند.
• از شناسایی‌های مبتنی بر شهرت (Reputation-based detection)e فرار کند.
• زیرساخت‌های جدید را برای تعامل با قربانیان آزمایش کند.

توصیه‌های امنیتی برای تیم‌های SOC

به تیم‌های پاسخ به حادثه و مدیران امنیت توصیه می‌شود موارد زیر را رصد کنند:

• مانیتورینگ زیرساخت: شناسایی منابع جدید در شبکه Tor یا دامنه‌های ثبت شده که از پیشوند pnzr استفاده می‌کنند.
• بررسی لاگ‌ها: تحلیل لاگ‌ها برای شناسایی دسترسی‌های مشکوک به اعتبارنامه‌ها (Credentials)، فعالیت‌های غیرعادی مدیریت از راه دور (Remote Administration) و انتقال حجم بالای داده به بیرون (Data Exfiltration).
• ابزارهای دو منظوره: شناسایی استفاده از ابزارهای Dual-use که معمولاً پیش از رمزگذاری داده‌ها برای سرقت اطلاعات به کار می‌روند.