أعلنت عملية برنامج الفدية كخدمة (RaaS) المسماة VanHelsing عن استهدافها لثلاث ضحايا منذ إطلاقها في 7 مارس 2025، مع طلب فديات تصل إلى 500 ألف دولار.
وفقًا لتقرير صادر عن Check Point، فإن نموذج RaaS يسمح لمجموعة واسعة من المشاركين – من المخترقين المحترفين إلى المبتدئين – بالانضمام مقابل وديعة 5 آلاف دولار، حيث يحصل الشركاء على 80% من مدفوعات الفدية، بينما يحصل المشغلون الأساسيون على 20%.
القاعدة الوحيدة: عدم استهداف دول الكومنولث المستقلة (CIS).
مثل أي برنامج فدية مدعوم بشركاء، تزعم VanHelsing قدرتها على استهداف أنظمة تشغيل متعددة، بما في ذلك:
Windows
Linux
BSD
Arm
ESXi
كما تستخدم نموذج الابتزاز المزدوج، الذي يتضمن سرقة البيانات قبل التشفير وتهديد الضحايا بتسريب المعلومات ما لم يتم دفع الفدية.
وكشف مشغلو VanHelsing أيضًا عن لوحة تحكم تعمل بسلاسة على الأجهزة المكتبية والمحمولة، مع دعم الوضع المظلم.
ما الذي يميز VanHelsing؟
السماح للشركاء الموثوقين بالانضمام مجانًا
اشتراط دفع 5 آلاف دولار كوديعة للشركاء الجدد
آلية عمل البرنامج الضار
بعد التشغيل، يتخذ برنامج الفدية (المكتوب بلغة C++) الخطوات التالية:
حذف نسخ الظل (Shadow Copies)
تعداد محركات الأقراص المحلية والشبكية
تشفير الملفات وإضافة امتداد “.vanhelsing”
تغيير خلفية سطح المكتب
إسقاط ملاحظة فدية على النظام الضحية، مع مطالبة الدفع عبر Bitcoin
ويدعم البرنامج أيضًا أوامر سطرية لتحديد سلوكيات مختلفة، مثل:
وضع التشفير المستخدم
المواقع المستهدفة للتشفير
نشر البرنامج على خوادم SMB
تخطي إعادة تسمية الملفات في الوضع “الصامت”
الضحايا المستهدفون
وفقًا لـ CYFIRMA، فإن الشركات في فرنسا والولايات المتحدة – خاصة في قطاعات الحكومة والتصنيع والأدوية – كانت من بين الضحايا الأوائل.
وحذرت Check Point من أن VanHelsing أصبحت أداة خطيرة للمجرمين الإلكترونيين بفضل لوحة التحكم سهلة الاستخدام والتحديثات المتكررة، حيث تسببت في أضرار كبيرة خلال أسبوعين فقط من إطلاقها.
تطورات جديدة في عالم برامج الفدية
إصدارات جديدة من برنامج الفدية Albabat تستهدف الآن Linux وmacOS بجمع معلومات النظام والأجهزة.
برنامج BlackLock الفدية (نسخة معدلة من Eldorado) أصبح أحد أكثر مجموعات RaaS نشاطًا في 2025، مستهدفًا قطاعات التكنولوجيا والتصنيع والبناء والتمويل والتجزئة.
SocGholish (أو FakeUpdates) يُستخدم لتوزيع RansomHub، المرتبط بمجموعة تهديدات تسمى Water Scylla.
استغلال ثغرات أجهزة Fortinet (CVE-2024-55591 وCVE-2025-24472) لنشر سلالة جديدة من الفدية تسمى SuperBlack (نسخة معدلة من LockBit 3.0).
مجموعة Babuk2 تستغل بيانات مسربة سابقة لإصدار تهديدات ابتزاز وهمية.
إحصاءات صادمة
سجل فبراير 2025 أسوأ شهر في تاريخ هجمات الفدية، حيث:
962 ضحية (مقارنة بـ 425 في فبراير 2024).
335 ضحية منها منسوبة إلى مجموعة Cl0p RaaS.
ارتفاع هجمات التشفير عن بُعد
كشفت Sophos عن:
زيادة بنسبة 50% في هجمات التشفير عن بُعد عام 2024 مقارنة بالعام السابق.
ارتفاع بنسبة 141% منذ 2022.
وصرح تشيستر ويسنوسكي، مدير Sophos:
“أصبح التشفير عن بُعد جزءًا أساسيًا من أدوات مجرمي الفدية. كل منظمة لديها نقاط عمياء، والمجرمون يستغلونها بسرعة. يجب على الشركات تعزيز المراقبة لاكتشاف أي نشاط مشبوه.”
