هکرهای یمنی پشت باج افزار Black Kingdom که 1500 سیستم را هدف قرار داد

به گزارش زوم تک از The Hacker News، وزارت دادگستری ایالات متحده (DoJ) روز پنجشنبه از اعلام جرم علیه یک تبعه 36 ساله یمنی به اتهام استقرار باج افزار Black Kingdom علیه اهداف جهانی، از جمله مشاغل، مدارس و بیمارستان ها در ایالات متحده خبر داد.

هویت متهم و جزئیات اتهامات : هکرهای یمنی

رامی خالد احمد اهل صنعا، یمن، به یک فقره توطئه، یک فقره آسیب عمدی به یک رایانه محافظت شده و یک فقره تهدید به آسیب رساندن به یک رایانه محافظت شده متهم شده است. ارزیابی ها نشان می دهد که احمد در حال حاضر در یمن زندگی می کند.

DoJ در بیانیه ای اعلام کرد: “از مارس 2021 تا ژوئن 2023، احمد و دیگران شبکه های رایانه ای چندین قربانی مستقر در ایالات متحده، از جمله یک شرکت خدمات صورتحساب پزشکی در انسینو، یک استراحتگاه اسکی در اورگان، یک منطقه مدرسه در پنسیلوانیا و یک کلینیک بهداشتی در ویسکانسین را آلوده کردند.”

احمد متهم به توسعه و استقرار این باج افزار با بهره برداری از یک آسیب پذیری در Microsoft Exchange Server معروف به ProxyLogon است.

این باج افزار با رمزگذاری داده های شبکه های رایانه ای قربانیان یا ادعای سرقت آن اطلاعات از شبکه ها عمل می کرد. پس از رمزگذاری، باج افزار یک یادداشت باج را روی سیستم قرار می داد و از قربانی می خواست 10000 دلار بیت کوین را به یک آدرس ارز دیجیتال تحت کنترل یک همدست ارسال کند.

همچنین ادعا شده است که از قربانیان خواسته شده تا مدرک پرداخت را به یک آدرس ایمیل Black Kingdom ارسال کنند. تخمین زده می شود که این باج افزار بر روی حدود 1500 سیستم رایانه ای در ایالات متحده و سایر نقاط جهان تحویل داده شده است.

این خانواده باج افزار که با نام Pydomer نیز شناخته می شود، قبلاً به حملاتی که از آسیب پذیری های Pulse Secure VPN (CVE-2019-11510) سوء استفاده می کردند مرتبط بوده است. مایکروسافت در اواخر مارس 2021 فاش کرد که این اولین خانواده باج افزار موجود بود که از نقص های ProxyLogon بهره برداری کرد.

ویژگی های باج افزار Black Kingdom هکرهای یمنی

فروشنده امنیت سایبری Sophos، باج افزار Black Kingdom را “تا حدودی ابتدایی و آماتور در ترکیب خود” توصیف کرد و گفت که مهاجمان از آسیب پذیری ProxyLogon برای استقرار وب شل ها استفاده می کردند. سپس از این وب شل ها برای صدور دستورات PowerShell به منظور بارگیری باج افزار استفاده می شد.

همچنین گفته شد که این فعالیت تمام نشانه های یک “اسکریپت کیدی با انگیزه” را دارد. سپس در آگوست همان سال، مشاهده شد که یک بازیگر تهدید نیجریه ای در تلاش است تا کارمندان را با پیشنهاد پرداخت 1 میلیون دلار بیت کوین برای استقرار باج افزار Black Kingdom در شبکه های شرکت ها به عنوان بخشی از یک طرح تهدید داخلی استخدام کند.

مجازات احتمالی و تحقیقات در حال انجام

در صورت محکومیت، احمد برای هر فقره اتهام با حداکثر پنج سال زندان فدرال روبرو خواهد شد. این پرونده توسط اداره تحقیقات فدرال ایالات متحده (FBI) با کمک پلیس نیوزلند در حال بررسی است.

موج دستگیری ها و اتهامات در حوزه جرایم سایبری

این اتهامات در بحبوحه اعلامیه های متعدد مقامات دولتی ایالات متحده علیه فعالیت های جنایی مختلف صورت می گیرد:

• DoJ کیفرخواستی را فاش کرد که در آن شهروند اوکراینی به نام آرتم استریژاک به حمله به شرکت ها با استفاده از باج افزار Nefilim از زمان پیوستن به عنوان یک وابسته در ژوئن 2021 متهم شده است. او در ژوئن 2024 در اسپانیا دستگیر و در 30 آوریل 2025 به ایالات متحده مسترد شد. در صورت محکومیت، استریژاک با حداکثر پنج سال زندان روبرو خواهد شد.
• تایلر رابرت بوکانان، تبعه بریتانیایی که مظنون به عضویت در گروه بدنام جرایم سایبری Scattered Spider است، از اسپانیا به ایالات متحده مسترد شد تا با اتهامات مربوط به کلاهبرداری سیمی و سرقت هویت تشدید شده روبرو شود. بوکانان در ژوئن 2024 در اسپانیا دستگیر شد. اتهامات علیه او و سایر اعضای Scattered Spider در نوامبر 2024 توسط ایالات متحده اعلام شد.
• لئونیداس واراجیانیس (معروف به War)، 21 ساله، و پراسان نپال (معروف به Trippy)، 20 ساله، دو رهبر ادعایی گروه اخاذی از کودکان 764 دستگیر و به اتهام هدایت و توزیع مطالب سوء استفاده جنسی از کودکان (CSAM) متهم شده اند. این دو مرد متهم به بهره کشی از حداقل هشت قربانی خردسال هستند.
• ریچارد آنتونی رینا دنزمور، یکی دیگر از اعضای 764، در نوامبر 2024 در ایالات متحده به دلیل بهره کشی جنسی از یک کودک به 30 سال زندان محکوم شد. اعضای 764 با The Com، مجموعه ای پراکنده از گروه های با ارتباطات ضعیف که مرتکب جرایم مالی، جنسی و خشونت آمیز می شوند، مرتبط هستند. Scattered Spider نیز شامل این مجموعه است.
• شبکه اجرای جرایم مالی (FinCEN) وزارت خزانه داری ایالات متحده، کنسرسیوم مستقر در کامبوج HuiOne Group را به عنوان “نهاد اصلی نگرانی در مورد پولشویی” برای باندهای فراملی جرایم سایبری آسیای جنوب شرقی به دلیل تسهیل کلاهبرداری های عاشقانه و همچنین به عنوان یک گره حیاتی برای پولشویی عواید سرقت های سایبری انجام شده توسط جمهوری د