Fds Suspect Ransom Negotiator سایت اخاذی ShinyHunters را اجرا کرد

به گفته KrebsOnSecurity، بازرسان فدرال ایالات متحده که گروه هکر ShinyHunters را که اخیرا داده های بسیار حساس FBI را سرقت کرده است، تعقیب می کنند، مدیران دو شرکت مذاکره کننده باج افزار مختلف را شناسایی کرده اند که روابط نزدیک غیرمعمولی با گروه اخاذی داشته اند. منابع نزدیک به تحقیقات می گویند یکی از مدیران در ایالات متحده حتی به ShinyHunters کمک کرد تا وب سایتی را راه اندازی کند که قربانیان را برای پرداخت باج تحت فشار قرار می داد.

از سال 2019، زمانی که این گروه عمدتا توسط مجرمان سایبری ساکن فرانسه اداره می شد، هکرهای همسو با ShinyHunters مدعی اعتبار ده ها نقض بزرگ داده شده اند. از آنجایی که آن اعضای اصلی یکی یکی دستگیر یا زندانی شدند، کنترل برند ShinyHunters در نهایت به "ری" واگذار شد که سال گذشته به عنوان یک هکر نوجوان از امان، اردن شناسایی شد. به گفته FBI، ShinyHunters تا کنون بیش از 70 میلیون دلار از قربانیان در سال جاری اخاذی کرده است.

در اواخر سپتامبر، ShinyHunters وب‌سایت استخدام اف‌بی‌آی fbijobs.gov را هک کرد و با تهدید به انتشار پرونده‌های دزدیده شده، که طبق گزارش‌ها شامل سوابق پزشکی و روان‌شناختی، شماره‌های تامین اجتماعی و آدرس خانه و اطلاعات مربوط به واحد و تخصص هر کارمند بود، آژانس را مورد تمسخر قرار داد.

هک سایت مشاغل FBI باعث شده است که آژانس با سرعتی غیر معمول برای دستگیری، بازداشت و بازجویی از افرادی که با ری یا سایر مظنونان ShinyHunters ارتباطی داشته اند، حرکت کند. رویترز در 3 اکتبر گزارش داد که ری توسط مقامات اردنی بازداشت شده و با اف بی آی همکاری می کند.

ری توانست کنترل گروه هکر را به دست بگیرد زیرا یکی از اعضای ارشد ادعایی آن به تازگی دستگیر شده بود. در عصر 15 سپتامبر 2026، مقامات هلندی، هکر مجرم و مظنون ShinyHunters، Pepijn van der Stap را دستگیر کردند. بنا بر گزارش ها، پلیس هلند از نارنجک های فلش بنگ در تلاش برای بیهوش کردن و دستگیری وان در استاپ در حالی که به حساب های مختلف آنلاین وارد شده بود، استفاده کرد.

به گفته یک منبع نزدیک به تحقیقات، مقامات ون در استاپ را در حالی دستگیر کردند که او از حساب پیام‌رسانی فوری Signal خود استفاده می‌کرد، که به آنها اجازه می‌داد ارتباطات اخیر را با مخاطبین مکرر - از جمله مذاکره‌کنندگان باج‌افزار مستقر در کانادا و ایالات متحده، بخوانند.

چندین منبع آگاه از این موضوع به KrebsOnSecurity گفتند که پیام‌های ون در استاپ کلید کشف نقشه قتل برای اجاره بود که بلافاصله پس از دستگیری او ظاهر شد. شبکه خبری هلندی RTL ماه گذشته گزارش داد که ظاهرا دو قتل در خارج از کشور انجام شده است و نشانه هایی وجود دارد که وان در استاپ دستور این حملات را داده است (هیچ نشانه ای وجود ندارد که این دستورات هرگز اجرا شده باشند).

در 9 اکتبر، KrebsOnSecurity این خبر را منتشر کرد که FBI یک مدیر امنیت سایبری 54 ساله کانادایی به نام ادوارد دوبروفسکی را در ارتباط با تحقیقات ShinyHunters دستگیر کرد. دوبروفسکی، که اخیرا کتابی درباره مدیریت اخاذی سایبری منتشر کرده است که توصیه می‌کند همیشه با هکرها درگیر باشید، طبق سوابق دادگاه به تهدید به افشای داده‌های سرقت شده یا هک شده و مداخله در تجارت بین‌ایالتی از طریق اخاذی متهم شده است.

پولیتیکو گزارش می دهد که دادستان ها از دوبروفسکی خواسته اند تا در انتظار محاکمه در بازداشت بماند و سوابق مربوط به پرونده او همچنان مهر و موم باشد.

یک منبع نزدیک به تحقیقات به KrebsOnSecurity گفت که پیام‌های سیگنال ون در استاپ نشان می‌دهد که وی مکالمه‌های مکرری با آقای دوبروفسکی و حداقل یک مدیر اجرایی در یک شرکت مشاوره بزرگ مستقر در ایالات متحده داشته است و این مدیران اغلب قبل از اینکه خود قربانیان از این نقض مطلع شوند، جزئیات مربوط به قربانیان جدید ShinyHunters را می‌دانستند.

آن منبع یکی دیگر از یافته‌های بالقوه انفجاری بازرسان فدرال را به اشتراک گذاشت: چت‌های هکر هلندی نشان داد که آقای دوبروفسکی می‌دانست که ShinyHunters داده‌های بسیار حساس را از سرورهای FBI به سرقت برده است، و قبل از اینکه ShinyHunters در توییتر/X تهدید کند که پرونده‌های پرسنل عمیقا شخصی آژانس را منتشر می‌کند، هرگز به اداره از نقض داده‌ها اطلاع نداد.

SHINYWIRE

KrebsOnSecurity از دو منبع نزدیک به تحقیقات ShinyHunters دریافته است که بازرسان FBI معتقدند حداقل یکی از مدیران یک شرکت مشاوره مستقر در ایالات متحده نقش فعالی در راه اندازی وب سایت اخاذی قربانیان ShinyHunters "shinywire[.]com" داشته است. KrebsOnSecurity فعلا از شرکت آمریکایی یا مدیران مظنون نام نمی برد زیرا آنها هنوز به جرمی متهم نشده اند، اما یک شرکت معتبر با بیش از 1000 شریک است.

بخشی از صفحه اصلی وب سایت Shinywire که اکنون از بین رفته است.

وب سایت Shinywire تقریبا از 3 می 2026 تا 16 اکتبر فعال بود و ورودی هایی برای نزدیک به 100 سازمان داشت که توسط ShinyHunters هک شده بودند. هر ورودی از قربانیان خواسته بود تا با گروه جرایم سایبری درگیر شوند و در مورد شرایط پرداخت صحبت کنند. این صفحات همچنین شامل نمونه‌هایی از فایل‌های دزدیده شده بودند و قول داده بودند که در صورت نادیده گرفتن خواسته‌های قربانی، این فایل‌ها به صورت آنلاین منتشر شود.

اسکرین شات زیر بخشی از صفحه اخاذی Shinywire را برای Intuitive Surgical، یک شرکت فناوری پزشکی آمریکایی نشان می دهد که در مارس 2026 پس از سقوط یکی از کارمندان به خاطر ایمیل فیشینگ هدفمند، نقض شد.

وب سایت Shinywire که توسط urlscan.io نمایه شده است. این فهرست یک درخواست اخاذی است که Intuitive Surgical، یک شرکت فناوری پزشکی آمریکایی را هدف قرار می دهد که در مارس 2026 توسط یک حمله ایمیل فیشینگ هدفمند که اعتبار یک کارمند را به خطر انداخت، نقض شد.

سازمان‌های قربانی که پس از هفت روز از تعامل یا مذاکره امتناع می‌کردند، تمام داده‌های دزدیده شده خود را که در وبلاگ شرم‌سازی قربانی ShinyHunters منتشر شده بود (وب‌سایتی که فقط از طریق شبکه ناشناس Tor قابل دسترسی است) پیدا می‌کردند.

در داستانی که در 15 اکتبر منتشر شد، گلوب اند میل نوشت که چند ماه قبل از دستگیری ادوارد دوبروفسکی توسط FBI، مدیر امنیت سایبری کانادایی در اسناد دادگاه ادعا کرد که وی در کمپین یک شریک تجاری سابق برای "تخریب" یکی دیگر از مدیران صنعت، خسارت جانبی داشته است.

این داستان خاطرنشان کرد که دوبروفسکی امسال در انتاریو شکایتی را علیه دانیل توبوک، مدیر اجرایی سابق Cypfer، یک شرکت امنیت سایبری که در تورنتو تأسیس شده و دفاتری در ایالات متحده، بریتانیا، هلند، امارات متحده عربی و مکزیک دارد، تنظیم کرد. این دو ابتدا در سال 2017 شرکای تجاری شدند و بعدا Cypfer را با هم توسعه دادند، جایی که آقای دوبروفسکی شریک مدیر و مدیر عملیاتی بود. اما در سال 2024، دوبروفسکی توبوک را متهم کرد که به تدریج او را از امور تجاری کنار گذاشته و «تصمیمات تجاری هوس‌بازانه فزاینده‌ای» گرفته است.

گزارش شده است که آقای توبوک این اتهامات را رد کرد و یک دعوی متقابل تنظیم کرد و آقای دوبروفسکی را به دسترسی به اطلاعات محرمانه و رقابت ناعادلانه با Cypfer از طریق کار در شرکت دیگری به نام CyberSteward Inc متهم کرد. او همچنین گفت که آقای دوبروفسکی خود را به عنوان بنیانگذار Cypfer معرفی کرده است و سهامدار نیست.

GHOSTBYTE

طبق مصاحبه‌هایی که با چندین همکار سابق آقای توبوک صورت گرفت، هشت سال پیش او با نام مستعار خاصی برای باج‌افزارها شناخته می‌شد: Ghostbyte. در سال 2018، یک شرکت کانادایی توسط Dharma هک شد، یک برنامه وابسته به باج‌افزار روسی زبان که برای اولین بار در سال 2016 ظاهر شد. شرکت قربانی به نماینده باج‌افزار دارما گفت که آنها تمایل به پرداخت دارند زیرا برخی از فایل‌ها پس از قفل شدن غیرقابل بازیابی هستند، اما در صورت نیاز به ضمانت بهتری که Dharma پرداخت می‌کردند، به آن پرداخت.

یک کپی ویرایش شده از پاسخ نماینده دارما در تصویر زیر نشان داده شده است، و نشان می دهد که گروه باج افزار از قربانی خواسته است تا با فردی در یک شرکت فناوری اطلاعات کانادایی که به شرکت هایی که به دنبال چنین تضمینی هستند، تماس بگیرد. نماینده دارما به قربانی توصیه کرد با آدرس ایمیل ghostbyte@tutanota.com تماس بگیرد.

در پاسخ دارما توصیه می شود: «اگر تضمین می خواهید، می توانید به شرکت فناوری اطلاعات بنویسید. "تلفن را بردارید و با آنها مذاکره کنید. این شرکت فناوری اطلاعات اغلب چنین مشکلاتی را در کانادا حل می کند. می توانید با آنها تماس بگیرید و برای خدمات قرارداد ببندید. همچنان باید پرداخت کنید."

پاسخ ایمیلی از گروه باج افزار Dharma به قربانی، که توصیه می کند با آدرس ایمیلی که به آقای توبوک متصل است تماس بگیرند.

مشخص نیست که آیا آقای توبوک تاکنون از آدرس Ghostbyte ارائه شده توسط نماینده دارما استفاده کرده است یا خیر، و او به چندین درخواست برای اظهار نظر پاسخ نداده است. با این حال، سرویس ردیابی نقض Constella Intelligence نشان می‌دهد که آدرس ایمیلی که آقای توبوک اغلب استفاده می‌کند - dtobok@me.com - با دو حساب آنلاین مرتبط است که نام کاربری انتخابی آنها "ghostbyte" بوده است، از جمله یک حساب Snapchat.

اتفاقا، Constella همچنین متوجه می‌شود که آدرس ایمیل نماینده دارما luckygoodlucky@tuta.io با یک آدرس ارز دیجیتال مرتبط است که 38 تراکنش به ارزش 43 بیت‌کوین، ~ 3.5 میلیون دلار به ارزش امروز را پردازش کرده است (جدیدترین تراکنش برای این کیف پول به تاریخ فوریه 2019 است).

در بیانیه‌ای که در ۱۴ اکتبر به اشتراک گذاشته شد، Cypfer گفت که کسب‌وکار این شرکت شامل ساخت یا تسهیل پرداخت‌های باج‌افزار نمی‌شود و Cypfer از دستگیری Dubrovsky با انتشار این خبر در رسانه‌ها مطلع شد.

یک سخنگوی از طریق ایمیل به KrebsOnSecurity گفت: «ما هیچ اطلاع قبلی از دستگیری آقای دوبروفسکی نداشتیم. CYPFER هیچ گونه تماسی از مجریان قانون دریافت نکرده است و تا آنجا که ما می دانیم، هدف هیچ تحقیق اجرای قانون نیست.

در این بیانیه آمده است که CyberSteward و Cypfer شرکت‌های جداگانه‌ای هستند که هیچ افسر، مدیر یا کارمند مشترکی ندارند، و Cypfer اخیرا توسط Apros Group خریداری شد، یک شرکت هلدینگ به رهبری Jason Hogg، مامور ویژه سابق FBI و مدیر عامل سابق Aon Cyber ​​Solutions Group. در سال 2020، Aon شرکت Cytelligence را خریداری کرد، یک شرکت مشاوره امنیتی که آقای توبوک موسس و مدیرعامل و آقای دوبروفسکی شریک مدیریتی آن بودند.

منافع متضاد

در ایالات متحده پرداخت یک کلید رمزگذاری به هکرها برای باز کردن قفل سرورهای آلوده به باج افزار یا در ازای وعده حذف هر گونه فایل دزدیده شده و خودداری از انتشار آنلاین آنها غیرقانونی نیست. در حالی که سازمان‌های قربانی می‌توانند در صورت پرداخت باج به گروهی که توسط وزارت خزانه‌داری ایالات متحده تحریم شده است، در آب داغ فرود آیند، ShinyHunters جزو گروه‌های باج‌افزاری نیست که در حال حاضر توسط ایالات متحده یا هیچ دولت دیگری تحریم شده‌اند.

کارشناسان می‌گویند که قربانیان باج‌افزار معمولا توسط ارائه‌دهنده بیمه‌شان هدایت می‌شوند تا با یک شرکت واکنش‌دهنده حوادث خاص همکاری کنند. اما همه شرکت‌های پزشکی قانونی سایبری و پاسخگویی به نقض با تسهیل پرداخت‌ها به گروه‌های باج‌افزار از طرف مشتریان خود موافقت نمی‌کنند. در نتیجه، هنگامی که شرکت‌های قربانی تصمیم به پرداخت می‌گیرند، شرکت‌هایی که از اخاذی‌های پاداش‌دهنده اجتناب می‌کنند، همواره با شرکت‌هایی جایگزین می‌شوند که چنین تردیدی ندارند.

در دسامبر 2024، ShinyHunters شروع به اخاذی از شرکت فناوری آموزشی PowerSchool کرد و اطلاعات خصوصی 62 میلیون دانش آموز و 9.5 میلیون معلم را در ایالات متحده و کانادا به سرقت برد. گزارش شده است که PowerSchool یک باج 2.85 میلیون دلاری پرداخت کرده است، و یک بیانیه "سوالات متداول" (PDF) در مورد نقض، می گوید که PowerSchool در این تلاش توسط CyberSteward کمک شده است (متیو لین، 20 ساله، وابسته به ShinyHunters، از استرلینگ، ماساچوست، به دلیل نقشی که در 5 نوامبر 20 در PowerSchool مجاز شده بود، به چهار سال زندان محکوم شد. هک).

اما این پرداخت باج مانع تلاش‌های آتی برای اخاذی با استفاده از همان داده‌های سرقت شده نشد. طبق گزارش‌ها، تا ماه مه 2025، مناطق مختلف مدرسه با استفاده از نمونه‌هایی از همان پرونده‌های سرقت شده، درخواست‌های باج جداگانه دریافت می‌کردند. در حالی که هیچ‌کس ادعا نکرده است که ShinyHunters پشت موج دوم اخاذی‌ها علیه کاربران PowerSchool بوده است، این حادثه این واقعیت را آشکار می‌کند که هیچ راه فنی برای تأیید اینکه عاملان تهدید طبق وعده داده‌های سرقت شده را حذف کرده‌اند یا جلوگیری از سوء استفاده دیگران از سوابق مشابه وجود ندارد.

تعدادی از شرکت‌های پیشرو در واکنش به حوادث سایبری، از جمله Coveware و Unit 221B، به طور مداوم به قربانیان درباره پرداخت پول به ShinyHunters هشدار داده‌اند، و خاطرنشان می‌کنند که داده‌های قربانیان «تخریب‌شده» اغلب نگهداری می‌شوند، دوباره فروخته می‌شوند یا برای اخاذی مستقیم از مشتریان شرکت استفاده می‌شوند.

FBI این احساسات را در هشداری در 15 می 2026 تکرار کرد و به قربانیان توصیه کرد که به گروه ShinyHunters پول نپردازند. در همین حال، اعضای ShinyHunters کارمندان Coveware و Unit 221B را به دلیل ارائه این توصیه مورد آزار و تهدید قرار داده اند.

اسکرین شات های زیر نشان می دهد که رهبران ShinyHunters چقدر از توصیه های بی امان Coveware در مورد پرداخت پول به گروه آزرده شدند. اولین تصویر مربوط به مکالمه 6 می 2026 است که بین اکانت اصلی گروه در تلگرام و یکی از توطئه کنندگان انجام شد. در آن چت که بخش هایی از آن توسط یک منبع قابل اعتماد با KrebsOnSecurity به اشتراک گذاشته شد، ShinyHunters شکایت کرد که Coveware به نرخ های پرداخت گروه آسیب می رساند.

اپراتور اکانت ShinyHunters در تلگرام به طور خصوصی با یکی از توطئه کنندگان صحبت می کند و شکایت می کند که Coveware به تجارت آنها آسیب می رساند.

حساب ShinyHunters نوشت: «به وب‌سایت من بروید، اگر Coveware به آنها اطلاعات نادرست نمی‌داد، اکثر آن شرکت‌ها پول پرداخت می‌کردند. "یک نفر (100٪ Coveware) تمام تلاش خود را می کند تا مطمئن شود که من پولی دریافت نمی کنم."

در مکالمه دیگری در 11 آوریل 2026، حساب تلگرام ShinyHunters به ​​طور خصوصی گفت که آنها در تلاش برای "رفع مشکل" هستند، که به گفته آنها Coveware است.

حساب کاربری ShinyHunters با ابراز تاسف گفت: "من مطمئن هستم که شرکت پرداخت خواهد کرد، اما در این مورد خاص، من از Coveware و دخالت آنها آگاه هستم، و احتمالا مذاکرات زیادی را انجام نداده ام، به احتمال زیاد زیرا Coveware مدام درگیر می شود."

اپراتور اکانت ShinyHunters در تلگرام به یکی از همدستان گفت که "در تلاش برای رفع مشکل هستند"، که آنها به عنوان Coveware معرفی کردند که به قربانیان توصیه می کند به گروه جرایم سایبری پول ندهند.

بیل سیگل، مدیر عامل Coveware، گفت که او نمی تواند در مورد هر چیزی که به مشتریان قبلی یا ShinyHunters مربوط می شود، اظهار نظر کند، علاوه بر این که FBI به قربانیان آسیب دیده از طرح ادعایی قتل برای استخدام Van der Stap اطلاع داده است و هیچ کارمند Coveware مطلع نشده است.

مارک کامیلو مدیر اجرایی CyberAcuView است، یک گروه صنعتی که در سال 2021 توسط کنسرسیومی از شرکت‌های بزرگ بیمه سایبری تأسیس شد. کامیلو گفت که برخی از شرکت‌ها هزینه ثابتی را دریافت می‌کنند، در حالی که آنهایی که در کمک به شرکت‌ها در مذاکره در مورد پرداخت باج تخصص دارند، درصدی از کل مبلغ باج را دریافت می‌کنند.

او گفت که این پویایی دوم یک تضاد منافع ذاتی است، زیرا مذاکره‌کننده انگیزه‌ای دارد که اوضاع را برای مهاجمان مطلوب‌تر کند، زیرا آنها انگیزه‌های مالی برای مذاکره و پرداخت هزینه‌ها و عدم مذاکره بر سر قیمت را دارند.

کامیلو گفت: «به این صنعت توجه شده است که بسیاری از پرداخت‌کنندگان باج‌افزار درصدی از پرداخت نهایی را دریافت می‌کنند که ممکن است فاش نشود یا نباشد». "اگر آنها نیز مذاکره کننده باشند، این منطقی نیست. باید شفافیت بیشتری در این فرآیند وجود داشته باشد، زیرا هیچ کس در اکوسیستم نباید صرفا از اندازه تراکنش یا پرداخت باج افزار سود ببرد."

کامیلو گفت که شرکت‌هایی که این کار را انجام می‌دهند، استدلال می‌کنند که کارمزدها لازم است زیرا ممکن است هزینه‌های غیرمنتظره‌ای بالاتر برای ایمن کردن مقادیر بیشتری از ارزهای دیجیتال یا مخاطرات بیشتری در شناور وجود داشته باشد، و به این دلیل که صرافی‌های ارزهای دیجیتال ممکن است برای تراکنش‌های با ریسک بالا کارمزد بیشتری دریافت کنند.

او گفت: «قطعا باید دید بیشتری در مورد تراکنش و شفافیت در مورد ارزش فزاینده کریپتو و درصد صرافی در تراکنش وجود داشته باشد تا بتوانیم به این موضوع بپردازیم و هرگونه انگیزه نادرست را حذف کنیم.»

در ماه‌های اخیر، وزارت دادگستری ایالات متحده تعدادی از مذاکره‌کنندگان باج‌افزار را تحت تعقیب قرار داده است که گفته می‌شود با مجرمان سایبری برای کلاهبرداری از مشتریان خود توطئه کرده‌اند. در 7 اکتبر، وزارت دادگستری، زوهر پینهاسی، 50 ساله، مدیر عامل MonsterCloud را به کلاهبرداری و توطئه به اتهام اتهام از مشتریان برای جبران حملات باج افزار بدون پرداخت پول به هکرها متهم کرد. طبق اسناد شارژ، پینهاسی مخفیانه پشت سر مشتریان خود رفت و به هر حال به هکرها پول پرداخت کرد و به گروه‌های باج‌افزاری ۸ میلیون دلار پرداخت و ۱۹ میلیون دلار از مشتریان دریافت کرد.

در ماه جولای، آنجلو مارتینو، مذاکره کننده 41 ساله باج افزار از لند اولیکز، فلوریدا، به دلیل توطئه با گروه باج افزار Blackcat/ALPHV برای اخاذی از چندین قربانی به 70 ماه زندان محکوم شد. به گفته وزارت دادگستری، مارتینو توسط مهاجمان بلک کت پول دریافت کرده است تا اطلاعات محرمانه ای در مورد موقعیت مذاکره و استراتژی مشتریان کارفرمای خود ارائه دهد و بازیگران باج افزار را قادر سازد تا باج های پرداخت شده توسط قربانیان را به حداکثر برسانند.