مجموعة البرمجيات الخبيثة الفدية Embargo نقلت 34 مليون دولار منذ أبريل 2024، تكشف TRM Labs

اتهمت مجموعة البرمجيات الخبيثة الفدية Embargo بنقل أكثر من 34 مليون دولار في عدة مدفوعات مرتبطة بالعملات المشفرة منذ أبريل 2024. وفقاً لشركة استخبارات البلوكشين TRM Labs، أصبحت المجموعة، التي لا تزال جديدة نسبياً، لاعباً رئيسياً في عالم الجريمة الإلكترونية تحت الأرض.

كشف TRM Labs أن مجموعة Embargo تعمل بموجب نموذج البرمجيات الخبيثة الفدية كخدمة، مستهدفة البنى التحتية الحيوية في جميع أنحاء الولايات المتحدة.

كشف التقرير أن المجموعة استهدفت المستشفيات وشبكات صيدلانية عديدة في ولايات متعددة. من بين ضحاياها: American Associated Pharmacies، ومستشفى وجناح Memorial Hospital في جورجيا، ومستشفى Weiser في أيداهو، مع ملاحظة أن مطالبات الفدية وصلت إلى أكثر من 1.3 مليون دولار.

تحقيقات TRM Labs تكشف عمليات مجموعة Embargo

وفقاً لـ TRM Labs، كشفت تحقيقاتها أن المجموعة ربما تكون نشأت كنسخة معاد تسميتها لعملية BlackCat (ALPHV) المشهورة. اختفت المجموعة المذكورة في وقت سابق من هذا العام بعد تورطها في عملية احتيال من نوع الخروج. عملية الخروج هي نوع من سحب السجادة حيث يختفي الأشخاص المسؤولون عن المشروع مع أموال المستخدمين دون أي آثار.

باستخدام لغة البرمجة Rust، وتشغيل مواقع مشابهة لتسريب البيانات، وإظهار روابط على السلسلة من خلال بنية محافظ مشتركة، لاحظت TRM Labs أن كلتي الكيانين يتشاركان في تداخل تقني.

وفقاً للتقارير، لا يزال حوالي 18 مليون دولار من العائدات غير المشروعة التابعة لـ Embargo كامنة في محافظ غير تابعة. يعتقد المحللون أن هذه التكتيك تُستخدم لتأخير الكشف أو البحث عن فرص استغلال أفضل في المستقبل.

تستخدم Embargo شبكة من المحافظ الوسيطة، ومنصات التبادل عالية المخاطر، والمنصات الخاضعة للعقوبات، بما في ذلك Cryptos.net، لإخفاء آثار المعاملات وإخفاء الأموال. من مايو إلى أغسطس، قالت TRM Labs إنها تتبع ما لا يقل عن 13.5 مليون دولار مسروقة من قبل Embargo عبر مختلف مقدمي خدمات الأصول الافتراضية، مع نقل أكثر من 1 مليون دولار باستخدام Cryptex وحده.

بينما لا تستخدم Embargo التكتيك العدائي الذي تنفذه مجموعات مثل LockBit أو Cl0p، فقد تبنت المجموعة تكتيك المطالبة المزدوجة. فهي تستخدم تشفير الأنظمة والتهديدات بتسريب البيانات الحساسة لإجبار ضحاياها على دفع الفدية. في بعض الحالات الأخرى، تسربت المجموعة أسماء الأفراد المشاركين أو البيانات المسروقة لإظهار جدية الموقف وزيادة الضغط.

Emargo تستهدف أهدافاً عالية المخاطر

تستهدف المجموعة دائماً القطاعات حيث يكون التوقف مكلفاً لعملياتها، بما في ذلك الصناعات في قطاعات مثل الرعاية الصحية والتصنيع وخدمات الأعمال. كما أظهرت تفضلاً للضحايا المقيمين في الولايات المتحدة، نظراً لحقيقة أنهم يميلون إلى امتلاك القدرة على الدفع في الوقت المحدد، حيث قد يثبت أن التوقف مكلفاً لعملياتهم.

في غضون ذلك، أعلنت المملكة المتحدة عن خطط لحظر مدفوعات البرمجيات الخبيثة الفدية لجميع هيئات القطاع العام ومشغلي البنية التحتية الوطنية الحيوية. تشمل هذه القطاعات الطاقة والرعاية الصحية والبلديات المحلية. سيؤدي الاقتراح إلى إدخال نظام وقائي يتطلب من الضحايا خارج نطاق الحظر الإبلاغ عن أي مدفوعات برمجيات خبيثة فدية مقصودة للسلطات.

تشمل الخطة أيضاً نظام إبلاغ إلزامي حيث يُطلب من الضحايا تقديم تقرير أولي للحكومة خلال 72 ساعة من الهجوم وتقرير متابعة مفصل في غضون 28 يوماً.

وفقاً لتقرير سابق من Chainalysis، انخفضت هجمات البرمجيات الخبيثة الفدية بنسبة 35% تقريباً في العام الماضي. زعم التقرير أنه كان أول مرة منذ عام 2022 تنخفض فيها إيرادات البرمجيات الخبيثة الفدية بهذا القدر. وذكر التقرير، الذي صدر في فبراير، أنه على الرغم من الانخفاض، لا يزال المستخدمون قد خسروا أكثر من 800 مليون دولار للمجرمين. زعمت Chainalysis أن أسباب الانخفاض شملت زيادة إجراءات إنفاذ القانون، وتحسين التعاون الدولي، وازدياد رفض الضحايا للدفع.