RansomHub به عنوان گروه باج‌افزار برتر سال 2024، بیش از 600 سازمان را در سراسر جهان هدف قرار داده است

گروه تهدیدگر پشت طرح باج‌افزار-به‌عنوان-سرویس (RaaS) RansomHub از آسیب‌پذیری‌های امنیتی رفع‌شده در Microsoft Active Directory و پروتکل Netlogon برای افزایش سطح دسترسی و نفوذ غیرمجاز به کنترل‌کننده دامنه شبکه قربانی استفاده کرده است. تحلیلگران Group-IB اعلام کردند که RansomHub بیش از ۶۰۰ سازمان در سراسر جهان از جمله بخش‌های بهداشت، مالی، دولتی و زیرساخت‌های حیاتی را هدف قرار داده و خود را به‌عنوان فعال‌ترین گروه باج‌افزاری سال ۲۰۲۴ تثبیت کرده است.

این گروه که در فوریه ۲۰۲۴ ظهور کرد، کد منبع مربوط به گروه منحل‌شده Knight را از انجمن جرایم سایبری RAMP به دست آورد و پنج ماه بعد نسخه به‌روزرسانی‌شده‌ای با قابلیت رمزگذاری از راه دور از طریق پروتکل SFTP عرضه کرد. در حمله مورد تجزیه و تحلیل، مهاجمان ابتدا تلاش ناموفقی برای سوءاستفاده از آسیب‌پذیری بحرانی CVE-2024-3400 در دستگاه‌های Palo Alto Networks انجام دادند، سپس از طریق حمله brute-force با استفاده از فرهنگ لغت بیش از ۵۰۰۰ نام کاربری و رمز عبور به شبکه VPN نفوذ کردند. پس از دسترسی اولیه، مهاجمان از دو آسیب‌پذیری شناخته‌شده CVE-2021-42278 (noPac) و CVE-2020-1472 (ZeroLogon) برای کنترل کنترل‌کننده دامنه و حرکت جانبی در شبکه استفاده کردند و عملیات رمزگذاری و سرقت داده‌ها را در کمتر از ۲۴ ساعت تکمیل کردند.