از زمانی که باج‌افزار RansomHub در فوریه ۲۰۲۴ ظاهر شد، وابستگان یا عوامل مرتبط با این باج‌افزار بیش از ۲۰۰ قربانی را از بخش‌های مختلف زیرساخت‌های حیاتی ایالات متحده مورد حمله قرار داده‌اند.
این عملیات نسبتاً جدید Ransomware-as-a-Service (RaaS)، قربانیان را تهدید می‌کند تا در ازای عدم افشای فایل‌های سرقت شده، از آنها اخاذی کند. اگر مذاکرات برای پرداخت باج شکست بخورد، این گروه اسناد سرقت‌شده را به بالاترین پیشنهاددهنده می‌فروشد. این گروه باج‌افزار بیشتر بر اخاذی مبتنی بر سرقت داده تمرکز دارد تا رمزگذاری فایل‌های قربانیان. با این حال، مشخص شده که این گروه علاقه‌مند به خرید کد منبع باج‌افزار Knight نیز بوده‌اند.
از ابتدای سال جاری، گروه باج‌افزار RansomHub مسئولیت نفوذ به چندین سازمان آمریکایی را بر عهده گرفته است. این سازمان‌ها شامل اتحادیه اعتباری غیرانتفاعی Patelco، زنجیره داروخانه‌های Rite Aid، خانه حراج Christie’s، ارائه‌دهنده خدمات مخابراتی Frontier Communications و شرکت بزرگ خدمات نفتی Halliburton هستند.
سپس شرکت Frontier Communications به بیش از ۷۵۰,۰۰۰ مشتری هشدار داده است که اطلاعات شخصی آنها در یک نقض داده‌ای افشا شده است.
پس از متوقف شدن عملیات باج‌افزار BlackCat/ALPHV، گروه RansomHub اقدام به افشای داده‌های سرقت‌شده از Change Healthcare کرد و این داده‌ها را در سایت مخصوص خود منتشر کرد.
یک اطلاعیه مشترک که امروز توسط FBI، CISA( آژانس امنیت سایبری و امنیت زیرساخت‌ها )، MS-ISAC ( مرکز چند ایالتی اشتراک‌گذاری و تحلیل اطلاعات ) و HHS ( وزارت بهداشت و خدمات انسانی ) منتشر شد، تأیید می‌کند مهاجمان نه تنها اطلاعات قربانیان را سرقت می‌کنند و از آنها باج می‌گیرند تا این اطلاعات را فاش نکنند (اولین مرحله اخاذی)، بلکه تهدید می‌کنند که در صورت عدم پرداخت باج، این اطلاعات را عمومی خواهند کرد (دومین مرحله اخاذی).
سازمان‌های فدرال اعلام کردند که RansomHub ( که قبلاً با نام‌های Cyclops و Knight شناخته می‌شد ) به عنوان یک مدل خدماتی کارآمد و موفق تثبیت شده است و اخیراً توجه وابستگان برجسته‌ای از دیگر گونه‌های معروف باج‌افزار، مانند LockBit و ALPHV را به خود جلب کرده است.
طبق این اطلاعیه، از زمان آغاز به کار RansomHub در فوریه ۲۰۲۴، این گروه باج‌افزار داده‌های دست‌کم ۲۱۰ قربانی را رمزگذاری و استخراج کرده است. این قربانیان متعلق به بخش‌های زیرساختی حیاتی مانند آب و فاضلاب، فناوری اطلاعات، خدمات و تأسیسات دولتی، بهداشت و سلامت عمومی، خدمات اضطراری، غذا و کشاورزی، خدمات مالی، تأسیسات تجاری، تولیدات حیاتی، حمل‌ونقل و ارتباطات بوده‌اند.
این سازمان‌ها به افرادی که مسئولیت امنیت شبکه‌ها را بر عهده دارند، پیشنهاد داده‌اند تا اقدامات توصیه‌شده در این اطلاعیه را برای مقابله با حملات RansomHub انجام دهند تا از وقوع یا گسترش این حملات جلوگیری کنند یا اثرات آنها را کاهش دهند.
مدافعان شبکه باید تمرکز خود را بر پچ کردن آسیب‌پذیری‌هایی قرار دهند که قبلاً در دنیای واقعی مورد سوءاستفاده قرار گرفته‌اند و همچنین از رمزهای عبور قوی و احراز هویت چندعاملی (MFA) برای ایمیل‌های تحت وب، VPN و حساب‌هایی که به سیستم‌های حیاتی مرتبط هستند، استفاده کنند. همچنین توصیه می‌شود که نرم‌افزارها را به‌روز نگه دارند و ارزیابی‌های آسیب‌پذیری را به عنوان یک بخش استاندارد از پروتکل‌های امنیتی انجام دهند.
این سازمان‌ها داده‌هایی را در اختیار مدافعان شبکه قرار می‌دهند که شامل شواهد و نشانه‌هایی است که ممکن است نشان‌دهنده حمله RansomHub باشد، همچنین روش‌هایی که این گروه و وابستگانش در حملات خود به کار می‌برند را توضیح می‌دهند. این اطلاعات بر اساس تحقیقات اخیر FBI به‌روزرسانی شده است.
این سازمان‌ها به قربانیان توصیه می‌کنند که به مهاجمان باج نپردازند، چون حتی با پرداخت باج، هیچ تضمینی وجود ندارد که فایل‌هایشان برگردانده شود.
علاوه بر این، پرداخت باج ممکن است مهاجمان را تشویق کند که به هدف قرار دادن سازمان‌های دیگر ادامه دهند، دیگر جنایتکاران را به توزیع باج‌افزار ترغیب کند و/یا فعالیت‌های غیرقانونی را تأمین مالی کند.
