STAC6565 کانادا را در 80 درصد حملات هدف قرار می‌دهد؛ Gold Blade باج‌افزار QWCrypt را مستقر می‌کند

گروه تهدید سایبری STAC6565 که با نام‌های Gold Blade، Earth Kapre، RedCurl و Red Wolf نیز شناخته می‌شود، سازمان‌های کانادایی را هدف حملات گسترده قرار داده است. شرکت امنیت سایبری سوفوس اعلام کرد که بین فوریه ۲۰۲۴ تا اوت ۲۰۲۵ نزدیک به ۴۰ نفوذ مرتبط با این گروه را بررسی کرده است که تقریباً ۸۰ درصد آنها متوجه سازمان‌های کانادایی بوده‌اند. این گروه که از اواخر ۲۰۱۸ فعال است، ابتدا نهادهای روسی را هدف قرار می‌داد اما اکنون دامنه فعالیت خود را به کانادا، آلمان، نروژ، اوکراین، بریتانیا و آمریکا گسترش داده است. محققان سوفوس می‌گویند این گروه که پیش‌تر بر جاسوسی تجاری تمرکز داشت، اکنون به یک عملیات ترکیبی تبدیل شده که سرقت اطلاعات را با استقرار باج‌افزار QWCrypt ترکیب می‌کند و احتمالاً تحت مدل “هک برای اجاره” فعالیت می‌کند.

روش حمله این گروه با ایمیل‌های فیشینگ هدفمند به پرسنل منابع انسانی آغاز می‌شود که اسناد مخربی را به صورت رزومه یا نامه انگیزه ارسال می‌کنند. از نوامبر ۲۰۲۴، مهاجمان از پلتفرم‌های قانونی جستجوی شغل مانند Indeed و JazzHR برای بارگذاری رزومه‌های مسموم استفاده می‌کنند تا از حفاظت‌های ایمیل عبور کنند. زنجیره حمله شامل استفاده از ابزار RedLoader برای جمع‌آوری اطلاعات محیط Active Directory، بهره‌برداری از درایور آسیب‌پذیر Zemana AntiMalware برای غیرفعال کردن آنتی‌ویروس‌ها از طریق حمله BYOVD، و در نهایت استقرار باج‌افزار QWCrypt است. سوفوس هشدار داد که اخیراً حملات باج‌افزار به هایپروایزرها افزایش چشمگیری داشته و از ۳ درصد در نیمه اول سال به ۲۵ درصد در نیمه دوم رسیده است، که نشان‌دهنده تمرکز فزاینده مهاجمان بر زیرساخت‌های حیاتی است.