چه کسی گروه باج افزار Qilin را اجرا می کند؟

گروه جرایم سایبری Qilin به عنوان فعال ترین برنامه وابسته به باج افزار در جهان ظاهر شده است و تنها در سه ماه گذشته حداقل 365 سازمان قربانی را ادعا کرده است. اما حتی هکرهای بزرگ روسی نیز مرتکب اشتباهات امنیتی عملیاتی می شوند و مدیر Qilin در دهه گذشته چند اشتباه کلیدی انجام داده است که همگی به مردی 36 ساله اشاره می کند که در سن پترزبورگ روسیه زندگی می کند.

بر اساس گزارش (PDF) در این ماه توسط شرکت امنیت سایبری NCC Group (KrebsOnSecurity مدیر دومین گروه باج‌افزار فعال در ژوئن - Gjun) که از سپتامبر 2022 فعالیت می‌کند، گروه باج‌افزار Qilin مستقر در روسیه، در حال حاضر سخت‌کوش‌ترین گروه باج‌افزار به‌عنوان یک سرویس است.

مدیر باج افزار Qilin "Haise" برنامه وابسته خود را در انجمن جرایم سایبری RAMP تبلیغ می کند. تصویر: Ke-la.com.

Qilin با ارائه حداقل 80 درصد از مبلغ اخاذی که قربانیان پرداخت می‌کنند، شرکت‌های وابسته را جذب می‌کند تا شرکت‌ها را هک کنند و باج‌افزار را مستقر کنند. اعضای آن مدل «اخاذی مضاعف» را تمرین می‌کنند، داده‌های حساس را قبل از رمزگذاری سیستم‌ها سرقت می‌کنند و تهدید به انتشار آنلاین فایل‌ها می‌کنند. برخلاف اکثر شراکت‌های باج‌افزار مستقر در خارج از روسیه، Qilin از همکاری با شرکت‌های وابسته انگلیسی‌زبان خوشحال است و رهبر آن در تلگرام به اشتراک گذاشته است که آنها با گروه‌های باج‌افزاری مانند Scattered Spider و RansomHub کار کرده‌اند.

سر Qilin با دسته "Hise" می رود، اما آنها همیشه با این نام مستعار شناخته نمی شدند. غیرعادی نیست که مجرمان سایبری به صورت دوره ای دسته خود را به عنوان یک اقدام امنیتی عملیاتی (opsec) تغییر دهند. انجام این کار عموما یک حرکت هوشمندانه است، زیرا به قطع رابطه فرد با هویت‌های قدیمی‌تر کمک می‌کند، مانند جدا کردن هویت واقعی زندگی از فعالیت‌های سایبری. اما حتی آن جنایتکاران محتاط گاهی اوقات مجبور می شوند به نام های گذشته خود هنگام درخواست عضویت در یک انجمن جدید اشاره کنند.

و انجمن ها در نهایت هک یا توقیف می شوند. این دقیقا همان چیزی است که در مورد هایس اتفاق افتاد.

پلتفرم اطلاعات سایبری اینتل 471 ثبت می‌کند که در ژوئن 2022، هایز برای عضویت در RAMP، یک انجمن جرایم سایبری روسی که به شدت محافظت می‌شود و به عنوان پناهگاهی برای برنامه‌های وابسته به باج‌افزار ایجاد شده بود، درخواست داد. اینتل 471 پیام‌های مستقیم RAMP را ایندکس کرده است (این انجمن در ژانویه 2026 توسط FBI ضبط شد) و این پیام‌ها نشان می‌دهد که مدیر RAMP برنامه Haise را تأیید کرده است و این کاربر را Haise و با نام کاربری تلگرام خود: Alexbigboss44 معرفی می‌کند.

جستجوی Intel 471 برای Alexbigboss44 نشان می‌دهد که این نام حساب تلگرام است که توسط کاربر Rjun در انجمن‌های جرایم سایبری روسیه Exploit و XSS دو سال قبل در سال 2020 به اشتراک گذاشته شده بود. گزارش‌ها و دسترسی شرکتی [افشای کامل: Flashpoint یک تبلیغ‌کننده در این وبلاگ است].

مدیر Qilin زمانی از نام مستعار "Rjun" در چندین فروم استفاده کرد و دسته تلگرام خود را به عنوان "Alexbigboss44" به اشتراک گذاشت. تصویر: Ke-la.com.

Flashpoint می‌گوید که این کاربر درگیر دستیابی به لاگ‌های فیس‌بوک و حساب‌های Google Ads با حجم بالا برای تسهیل تبلیغات جعلی و طرح‌های قمار بوده است و آنها به‌عنوان یک دلال و اپراتور عمل می‌کنند - مدیریت شبکه قاچاقچیان و خرید داده‌های به خطر افتاده برای تقویت عملیات خود.

پیوند بین Haise مدیر Qilin و حساب‌های بسیار قدیمی‌تر Rjun و Alexbigboss44 در اوایل ماه جاری توسط IntelHawk به‌صورت خصوصی به اشتراک گذاشته شد که خود را پلتفرمی مبتنی بر هوش مصنوعی توصیف می‌کند که قادر است عوامل تهدید را بر اساس نام‌های کاربری تاریخی، سبک‌سنجی و سیگنال‌های دیگر ناشناس کند.

لئو بوگود، بنیان‌گذار و مدیر ارشد فناوری IntelHawk، گفت که تجزیه و تحلیل این هویت‌ها نشان می‌دهد که از آربیتراژور تازه کار و کلاهبردار کارت اعتباری در سال‌های 2018 تا 2019 به یک شرکت‌کننده با تجربه‌تر و سازمان‌دهنده فعالیت‌های پیچیده مرتبط با جرایم سایبری در سال‌های 2020 تا 2023، با افزایش توجه به بدافزارها، بدافزارها و زیرساخت‌های پرداخت، پیشرفت کرده است.

این ارتباط بین این هویت های عامل تهدید به کجا منتهی می شود؟ Intel 471 دریافت که در زمانی که Alexbigboss44 برای عضویت در RAMP درخواست می‌کرد، Rjun قبلا یکی از اعضای قدیمی چندین انجمن جرم و جنایت روسیه از جمله Darkmarket، Verified و Zloy بود. اینتل 471 می گوید که Rjun در همه این سایت ها با آدرس ایمیل mail-30a@mail.ru ثبت نام کرده است.

شرکت حفاظت از تهدید هویت Spycloud متوجه شد که آدرس ایمیل mail-30a@mail.ru در یک زمان از رمز عبور "Rjun132" استفاده می کرد [Spycloud همچنین یک تبلیغ کننده در این وبلاگ است]. جستجوی آن ایمیل در سرویس ردیابی نقض Constella Intelligence نشان می‌دهد که در سوابق نگهداری شده توسط gosuslugi.ru، پلتفرم دیجیتال رسمی خدمات دولتی و شهری در فدراسیون روسیه ظاهر شده است.

گوسوسلوگی در اواخر سال 2025 نقض شد و طبق گزارش ها بیش از 20 میلیون رکورد با نام کامل، تاریخ تولد و شماره موبایل فاش شد. بر اساس سوابق لو رفته گوسوسلوگی (از طریق Constella)، آدرس mail-30a@mail.ru متعلق به الکسی میخایلوویچ یاکوفتسف 36 ساله از سن پترزبورگ روسیه است.

Flashpoint دریافته است که هایس مدت‌هاست که از یک حساب تلگرام با شناسه کاربری 118329521 استفاده می‌کند و از سال 2018 بیش از 5000 پیام از این کاربر ضبط کرده است. سوابق ناظر آموزش روسیه Rosobrnadzor نشان می‌دهد که آقای یاکوفتسف به مدرسه ابتدایی در مورمانسک رفته و دارای مدرک کارشناسی ارشد و کارشناسی ارشد در رشته کامپیوتر است.

جستجو در این آیدی تلگرام در Constella نشان می دهد که به شماره تلفن روسی + 79602347275 مرتبط است. چرخش روی آن شماره تلفن در Constella نشان می‌دهد که به آدرس‌های ایمیل aleksey1990yakov@mail.ru و rjun123321@mail.ru متصل است. IntelHawk متوجه می شود که +79602347275 متعلق به خواهر زیستی یاکوفتسف است و آلکسی اغلب هنگام ثبت نام در وب سایت های مختلف از آدرس ایمیل خواهرش استفاده می کند.

این شماره تلفن در چندین سوابق پرواز خطوط هوایی در آژانس‌های مسافرتی روسیه که در سال‌های اخیر با نقض داده‌ها مواجه شده‌اند، ظاهر می‌شود و این سوابق نشان می‌دهد که آلکسی یاکوفتسف، متولد 18 اوت 1990، حداقل سه بار بین سال‌های 2013 و 2014 بین سن پترزبورگ و مورمانسک پرواز کرده است.

سوابق پروازهای اخیر نشان می دهد که در حالی که آقای یاکوفتسف با هواپیما به خارج از روسیه سفر نکرده است، او اغلب بین سن پترزبورگ و سوچی پرواز می کند. سوچی که اغلب "ریویرای روسیه" نامیده می شود، بزرگترین شهر تفریحی روسیه است که در امتداد ساحل دریای سیاه و در حدود 1200 مایلی جنوب سنت پترزبورگ با هواپیما واقع شده است.

تلاش برای تماس با آقای یاکوفتسف از طریق ایمیل و تلفن ناموفق بود.

ادامه مطلب: Gang Exposur، یک حساب توییتر/X ناشناس که سابقه بی‌نام‌سازی موفقیت‌آمیز بازیگران مشکوک باج‌افزار را دارد، به نتایج مشابهی در مورد هویت واقعی Haise رسید و پلتفرم IntelHawk را برای کمک به اتصال نقاط اعتبار بخشید.

مدیر باج‌افزار Qilin اکانت تلگرام حذف شده Haise، که برنامه وابسته را در جولای 2024 تبلیغ می‌کند. تصویر: justpaste.it/iosba.