RansomHub

نظرة عامة

ظهرت المجموعة في منتصف فبراير 2024 وأدرجت بالفعل عدة مؤسسات كضحايا مزعومين لهجماتها، نتيجة ابتزاز بالتشفير وتسريب البيانات. نُشر إعلان بيع خدمة الفدية الجديدة RansomHub في أحد المنتديات الناطقة بالروسية التي تستخدمها الجريمة السيبرانية للإعلان عن الخدمات الخبيثة، وهو RAMP4U (أو RAMP). وأعلن مستخدم بلقب وشخصية «koley» عن برنامج الشركاء في 2 فبراير 2024. وذُكر في الإعلان أن غسل الأموال المتحصلة من الفديات مسؤولية الشريك، أي أن كل التواصل وإرسال أداة فك التشفير إلى الضحية يتمان عبر الدردشة. ويكون التقاسم 90% للشريك و10% للمطوّر، أي شخصية Koley. كما تذكر الإعلانات أن حمولة الفدية مكتوبة بلغة Golang وتستخدم خوارزمية غير متماثلة مبنية على x25519 وخوارزميات التشفير AES256 وChaCha20 وxChaCha20، وتتميز بسرعتها. والتشفير معمّى باستخدام AST. وتدعم الحمولة الانتشار عبر الشبكة وتشفير البيانات في الوضعين الآمن والمحلي. ووفق Koley صُمّمت برمجية الفدية للعمل على منصات مثل ويندوز ولينكس وESXi، وكذلك معماريات أخرى مثل ARM وMIPS. وكما أشارت اللوحة وسبق أن أبرزه فريق الاستخبارات، ذكر Koley أن اللوحة تستخدم نطاق .onion، ما يتيح للشريك تنظيم الأهداف وغرف الدردشة وإدارتها، وعرض سجلات الوصول، والرد تلقائيًا عند عدم الاتصال، وإنشاء صفحات مدونة خاصة.

• تاريخ أول رصد: 2024-02-10
• ورد ذكرها في تقاريرنا: عُمان · السعودية

ما أوردته التقارير المنشورة

• رُصدت المجموعة لأول مرة في فبراير 2024، ويُرجَّح على نطاق واسع أنها انبثقت عن مجموعة برمجيات الفدية Knight، التي عُرفت سابقًا باسم Cyclops، بعد عرض شيفرتها المصدرية للبيع. واستقطبت شركاء عبر منتدى RAMP الناطق بالروسية، وتحظر استهداف دول رابطة الدول المستقلة وكوبا وكوريا الشمالية والصين.

Trend Micro · Paubox

النطاق الجغرافي: المنشأ والأهداف

الثغرات التي ثبت استغلالها

تقنيات ATT&CK

تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.

تفاصيل التقنيات

الأدوات

البنية التحتية لمواقع التسريب

المصادر والتحفظات

تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.

تاريخ توثيق البيانات: 2026-10-11