كشفت تقارير أمنية حديثة عن ظهور جهة تُسمي نفسها Ransom Busters تزعم أنها اخترقت خوادم مجموعات الفدية وتعرض على الضحايا حذف بياناتهم المسروقة مقابل مبالغ تتراوح بين 20 ألف و60 ألف دولار. بحسب فريق GuidePoint Research and Intelligence Team (GRIT)، فإن هذه الممارسات تبدو شاذة، إذ أن شركات الأمن السيبراني عادةً ما تتواصل مع الضحايا لتقديم خدمات استشارية أو دعم بعد الإعلان عن الهجوم، وليس عبر رسائل مباشرة تدّعي القدرة على حذف البيانات من خوادم المهاجمين.
أسلوب العمل والقرائن التقنية
في رسائل البريد الإلكتروني، يطلب Ransom Busters التواصل مع المدير التنفيذي أو قيادة تقنية المعلومات، مدعياً أنه اكتشف ثغرات في لوحات التحكم الخاصة بمجموعات الفدية وأنه يخترق هذه الخوادم منذ أكثر من ثلاث سنوات. التحقيقات أظهرت أن المجموعة تستخدم أدوات متكررة في هجماتها، منها:
- SoftPerfect Network Scanner للاستطلاع الداخلي.
- s5cmd لنقل البيانات إلى التخزين السحابي عبر AWS.
- أداة Remotely RMM المثبتة عبر سكربت PowerShell. كما لوحظ إنشاء حساب خلفي بكلمة مرور موحدة “Numlock!123″، وظهور نفس المضيف المهاجم DESKTOP-BBETH6K في أكثر من حادثة، ما يعزز فرضية أن جهة واحدة تقف وراء النشاط.
تداعيات على الضحايا
يشير خبراء الأمن إلى أن هذه الممارسات تمثل شكلاً جديداً من الابتزاز، حيث يسعى المهاجمون إلى استغلال الضحايا مرتين: أولاً بسرقة بياناتهم عبر هجمات الفدية، وثانياً عبر الادعاء بقدرتهم على حذف تلك البيانات مقابل رسوم إضافية. كما أكد Justin Timothy من GRIT أن دفع الأموال لمثل هذه الجهات لا يضمن أبداً حذف البيانات، بل قد يشجع على مزيد من الابتزاز.
مشهد الفدية في حالة تغير مستمر
تزامن الكشف عن Ransom Busters مع تقارير عن نشاط مجموعة UNC6671 (المعروفة أيضاً باسم Cordial Spider)، التي تدير عمليات ابتزاز عبر منصات متعددة مثل Falcon وHelix وPink وRedact وBlackFile، محققة أكثر من 8 ملايين دولار عبر 15 محفظة بيتكوين. كما يشهد المشهد ظهور مجموعات جديدة مثل Tengu وCRPx0 وMajinahanashi وAur0ra وغيرها، ما يعكس حالة من التشظي في سوق الفدية. وفق تقرير Check Point للربع الثاني 2026، بلغ عدد المنظمات المدرجة في مواقع تسريب البيانات 2,139، فيما انخفضت حصة أكبر 10 مجموعات من 71% إلى 57.6%، مع ارتفاع عدد المجموعات النشطة من 71 إلى 93.
هذه التطورات تؤكد أن مشهد الفدية يتجه نحو مزيد من التعقيد، حيث تتنوع أساليب الابتزاز بين الاستغلال المباشر للبنية التحتية الموثوقة للشركات، واستخدام أدوات الإدارة عن بُعد، وصولاً إلى ابتكار شخصيات وهمية مثل Ransom Busters لتضليل الضحايا.
