تحديد هوية قائد مجموعة Qilin لبرامج الفدية
برزت مجموعة الجريمة السيبرانية Qilin كأكثر برامج الفدية التابعة نشاطاً في العالم، إذ أعلنت عن 365 مؤسسة ضحية على الأقل في الأشهر الثلاثة الماضية. وتشير التحقيقات إلى أن مدير Qilin رجل يبلغ 36 عاماً من سانت بطرسبرغ في روسيا.
تعمل Qilin منذ سبتمبر 2022، وهي حالياً أكثر عصابات برامج الفدية كخدمة (ransomware-as-a-service) اجتهاداً، وفقاً لتقرير أصدرته شركة الأمن السيبراني NCC Group. وتجذب Qilin الشركاء التابعين بعرض 80% على الأقل من أي مبلغ ابتزاز يدفعه الضحايا، مستخدمةً نموذج «الابتزاز المزدوج» الذي يتضمن سرقة بيانات حساسة قبل تشفير الأنظمة والتهديد بنشر الملفات على الإنترنت. وخلافاً للعديد من مجموعات برامج الفدية الروسية، تتعاون Qilin مع شركاء تابعين ناطقين بالإنجليزية، وعملت مع مجموعات مثل Scattered Spider وRansomHub.
ارتكب رئيس Qilin، المعروف باسم «Haise»، عدة أخطاء في الأمن التشغيلي قادت المحققين إلى هويته. وكثيراً ما يغيّر مجرمو الإنترنت أسماءهم المستعارة للحفاظ على إخفاء هويتهم، لكن إشارات Haise السابقة ظهرت أثناء تقديم طلبات العضوية في منتديات جديدة. وفي يونيو 2022، تقدّم Haise بطلب عضوية في RAMP، وهو منتدى روسي للجريمة السيبرانية. ووافق مدير RAMP على طلبه، محدداً هويته باسم Haise وربطه باسم المستخدم على Telegram Alexbigboss44.
يكشف بحث أجرته Intel 471 أن Alexbigboss44 ارتبط سابقاً بالمستخدم Rjun في منتديات الجريمة السيبرانية الروسية Exploit وXSS في 2020. وتشير Flashpoint إلى أن هذا المستخدم شارك في الحصول على سجلات Facebook وحسابات Google Ads لمخططات احتيالية، وعمل وسيطاً ومشغلاً في أنشطة إجرامية سيبرانية.
ربطت IntelHawk بين Haise والحسابات السابقة لـ Rjun وAlexbigboss44، موضحةً تطور أنشطته الإجرامية السيبرانية من مبتدئ في 2018–2019 إلى منظم أكثر خبرة بحلول 2023. وبحلول تقديمه طلب العضوية في RAMP، كان Rjun عضواً في عدة منتديات جريمة أخرى، مستخدماً عنوان البريد الإلكتروني mail-30a@mail.ru.
وجدت شركة حماية الهوية من تهديداتها Spycloud أن هذا البريد الإلكتروني ارتبط سابقاً بكلمة المرور «Rjun132». وكشف بحث أن هذا البريد ظهر في سجلات من gosuslugi.ru، المنصة الرقمية الرسمية للاتحاد الروسي، التي تعرضت لاختراق في أواخر 2025 كشف أكثر من 20 مليون سجل. وحددت البيانات المسربة أن البريد الإلكتروني يعود إلى Aleksey Mikhailovich Yakovtsev، 36 عاماً، من سانت بطرسبرغ.
تشير Flashpoint إلى أن Haise استخدم حساب Telegram بمعرّف مستخدم 118329521، سُجلت فيه أكثر من 5000 رسالة منذ 2018. وتشير سجلات هيئة الرقابة على التعليم في روسيا إلى أن Yakovtsev يحمل درجة ماجستير في الحوسبة ونظم المعلومات. ويربط بحث على معرّف Telegram هذا برقم الهاتف +79602347275، المرتبط بأخت Yakovtsev، ما يشير إلى أنه كثيراً ما استخدم بريدها الإلكتروني للتسجيلات.
يظهر رقم الهاتف هذا في سجلات رحلات الطيران، إذ يبيّن أن Yakovtsev سافر بين سانت بطرسبرغ ومورمانسك عدة مرات في 2013 و2014. وتشير سجلات حديثة إلى أنه يسافر كثيراً بين سانت بطرسبرغ وسوتشي لكنه لم يطر خارج روسيا.
لم تنجح محاولات التواصل مع Yakovtsev عبر البريد الإلكتروني والهاتف. وتوصل حساب مجهول على Twitter/X باسم Gang Exposed إلى استنتاجات مماثلة حول هوية Haise، عازياً نتائجه إلى منصة IntelHawk.
رابط ذو صلة: insights.nccgroup.com
المصدر: Krebs on Security