یک تبعه ارمنی که از اوکراین به ایالات متحده مسترد شده بود، به دلیل نقشش در حملات باج‌افزاری Ryuk که سازمان‌های مختلفی را در سراسر جهان هدف قرار داده بود، به زندان فدرال محکوم شد.
جزئیات حکم دادگاه
کارن واردانیان (Karen Vardanyan) ۳۵ ساله، طبق اعلام دادستانی منطقه اورگان، به ۲۴ ماه حبس فدرال و ۳ سال آزادی مشروط محکوم شده است. همچنین دادگاه وی را به پرداخت ۱,۲۱۹,۱۰۶ دلار خسارت به قربانیان این طرح اخاذاری باج‌افزاری ملزم کرد.
روال عملیاتی و شناسه‌ها
واردانیان با تو conspiracy (توطئه) برای استقرار باج‌افزار Ryuk در شبکه‌های قربانیان بین مارس ۲۰۱۹ تا ژوئن ۲۰۲۰ مرتبط بود. گزارش‌ها حاکی از آن است که وی در جریان این عملیات از نام‌های مستعار آنلاین مانند Maneeken و Karl Lagerfeld استفاده می‌کرده است.
مکانیسم حمله Ryuk
باج‌افزار Ryuk با رمزگذاری فایل‌ها، دسترسی به کامپیوترها و سرورهای سازمان‌های هدف را مختل می‌کرد. سپس عاملان تهدید (Threat Actors) در ازای بازگرداندن دسترسی یا ارائه کلید رمزگشایی، درخواست پرداخت ارزهای دیجیتال (عمدتاً Bitcoin) می‌کردند. این گروه شرکت‌ها، مدارس و نهادهای مختلفی را در سطح جهانی هدف قرار داده و بیش از یک میلیون دلار از چندین قربانی اخاذی کردند.
تحلیل ساختاری حملات
این پرونده نشان‌دهنده ساختار بین‌المللی عملیات‌های بزرگ باج‌افزاری است. عاملان تهدید می‌توانند در کشورهای مختلف فعالیت کنند و قربانیانی را در مناطق جغرافیایی متفاوت هدف قرار دهند. آن‌ها برای پنهان کردن هویت و جابجایی وجوه حاصل از باج، بر روی موارد زیر تکیه می‌کنند:
- پرداخت‌های مبتنی بر Cryptocurrency
- استفاده از نام‌های مستعار آنلاین (Aliases)
- زیرساخت‌های کنترل از راه دور (Remote Infrastructure)
- استفاده از واسطه‌ها
توصیه‌های امنیتی برای سازمان‌ها
با توجه به اینکه Ryuk یکی از مخرب‌ترین خانواده‌های باج‌افزاری علیه شبکه‌های سازمانی بوده و اهدافی با ارزش بالا (High-value targets) را برای ایجاد فشار عملیاتی هدف قرار می‌داد، سازمان‌ها باید اقدامات زیر را برای کاهش سطح ریسک انجام دهند:
- نگهداری از نسخه‌های پشتیبان (Backup) آفلاین و تست شده
- استقرار احراز هویت چندعاملی (MFA)
- به‌روزرسانی سریع سیستم‌های متصل به اینترنت (Patching)
- محدود کردن دسترسی‌های مدیریتی (Privileged Access)
- پایش شبکه‌ها برای شناسایی فعالیت‌های مشکوک رمزگذاری فایل‌ها
تیم‌های امنیت (SOC) همچنین باید موارد مربوط به دسترسی‌های از راه دور غیرمجاز، استفاده غیرمعمول از Credentialها، غیرفعال شدن کنترل‌های Endpoint Security و تغییر نام سریع فایل‌ها را بررسی کنند.
