俄语威胁参与者farnetwork与 5 个勒索软件团伙有关联

更多全球网络安全资讯尽在邑安全

Nokoyawa 勒索软件即服务 (RaaS) 的运营商是一个被称为“farnetwork”的威胁参与者，多年来通过帮助 JSWORM、Nefilim、Karma 和 Nemty 附属计划进行恶意软件开发和运营管理，积累了经验。

网络安全公司 Group-IB 的一份报告深入了解了 farnetwork 的活动，以及他们如何逐渐建立自己作为勒索软件业务中高度活跃参与者的形象。

在与威胁情报分析师的互动中，farnetwork 分享了宝贵的详细信息，这些详细信息将他们与 2019 年开始的勒索软件操作以及可访问多个企业网络的僵尸网络联系起来。

根据 Group-IB 与 BleepingComputer 分享的一份报告，该威胁行为者拥有多个用户名（例如 farnetworkl、jingo、jsworm、razvrat、piparkuka 和 farnetworkitand），并且一直活跃在多个俄语黑客论坛上，试图为各种勒索软件招募附属机构运营。

‍‍‍威胁参与者概况 （IB 组）

不过，今年 3 月，farnetwork 开始为其基于 Nokoyawa 储物柜的勒索软件即服务计划寻找附属机构。然而，Group-IB 的威胁情报分析师表示，该行为者明确表示他们没有参与 Nokoyawa 的开发。

RaaS 业务的运营并没有持续很长时间，farnetwork 最近宣布他们将退出该领域，并于 10 月份在泄露了 35 名受害者的数据后关闭了 Nokoyawa RaaS 项目。

Nokoyawa 公布受害者 （IB 组）

然而， Group-IB 认为，此举是威胁行为者失去踪迹并以新品牌重新开始战略的一部分

在 Nokoyawa 勒索软件中，farnetwork 担任项目负责人、附属招募人员、暗网论坛上 RaaS 的推广者以及僵尸网络管理者。

该僵尸网络使附属机构能够直接访问已经受到损害的网络。为此，他们将从所收集的赎金中向僵尸网络所有者支付 20%，勒索软件所有者将获得 15%。

考虑到其他程序支付高达 85% 的赎金，为勒索软件关联公司削减 65% 的费用似乎是一笔糟糕的交易，但这笔费用涵盖了寻找合适目标并突破它的努力。

Farnetwork 通过向联属候选人提供来自地下日志云(UCL) 服务的多个公司帐户凭据来对他们进行测试，该服务出售RedLine、Vidar 和 Raccoon 等信息窃取者窃取的日志。

这些附属机构预计将提升其在网络上的权限、窃取文件、运行加密器并要求支付赎金。

网络访问凭证面板 （Group-IB）