انهدام گروه باج‌افزاری KillSec و دستگیری اعضا در سراسر اروپا

نهادهای اروپایی گروه باج‌افزاری KillSec را منهدم کردند

نهادهای قضایی و انتظامی اروپا در عملیاتی هماهنگ گروه باج‌افزاری KillSec را از کار انداختند؛ سرورها توقیف شد و در چهار کشور بازرسی صورت گرفت. سه نفر بازداشت شدند.

بازداشت‌شدگان

گرداننده‌ی اصلی گروه یک نوجوان ۱۶ ساله‌ی رومانیایی است که نامش بر اساس قوانین حفاظت از کودکان در اسپانیا منتشر نشده است. دو مظنون دیگر در رومانی و بریتانیا بازداشت شدند؛ مظنون بریتانیا فؤاد التبریزی، تبعه‌ی هلند، شناسایی شد که با درخواست استرداد به آمریکا بابت حمله‌ی سایبری مارس ۲۰۲۵ به یک شرکت در پورتوریکو روبه‌روست. مظنون چهارم، یک برنامه‌نویس ۱۸ ساله اهل اسپانیا، شناسایی شد اما دستگیر نشد.

مدل کسب‌وکار

KillSec از ژوئن ۲۰۲۴ به‌عنوان یک پلتفرم باج‌افزار‌به‌عنوان‌سرویس (RaaS) در رده‌ی میانی فعالیت می‌کرد: ۲۵۰ دلار حق ورود می‌گرفت و به شرکا اجازه می‌داد ۸۸ درصد مبلغ باج را برای خود نگه دارند. یوروپل بیش از هزار حمله‌ی سایبری را به این گروه و شرکایش نسبت داده که دست‌کم ۵۰۰ مورد آن موفق بوده است. روش کار عمدتاً بهره‌برداری از آسیب‌پذیری‌های وصله‌نشده‌ی سرورها برای دسترسی به شبکه، خروج داده و سپس استقرار باج‌افزار در قالب اخاذی دوگانه بود.

چرا این خبر مهم است؟

سایت نشت گروه در دارک‌وب تا ۲۷ سپتامبر — سه روز پیش از تعطیلی — همچنان فعال بود؛ یعنی عملیات تا لحظه‌ی انهدام در جریان بوده است. نکته‌ی دیگر، سن گردانندگان است: نوجوانانی که یک پلتفرم RaaS با صدها قربانی را اداره می‌کردند.

نقض‌ها، هک‌ها و رخدادهای امنیتی

حمله‌ی باج‌افزاری به کنترل ترافیک هوایی آفریقای جنوبی

سازمان خدمات ترافیک و ناوبری هوایی آفریقای جنوبی (ATNS) هفته‌ی گذشته یک حمله‌ی باج‌افزاری را متوقف کرد که شبکه‌ی فناوری عملیاتی آن را هدف گرفته بود. زیرساخت درگیر، خدمات مربوط به هواشناسی را برای کنترلرهای ترافیک هوایی مدیریت می‌کرد. مقام‌ها گفته‌اند این حمله «می‌توانست سفرهای هوایی داخلی و بین‌المللی را فلج کند». ATNS حدود ۶ درصد حریم هوایی جهان را مدیریت می‌کند و در حال بررسی احتمال دست‌داشتن کارکنان در این نفوذ است.

نفوذ به پلتفرم صدور فاکتور لهستانی

گروه تهدید Fingerprint به Fakturownia، یکی از سرویس‌های بزرگ صدور فاکتور در لهستان، نفوذ کرد. این گروه پیش‌تر پلتفرم‌های سلامت MyDr و Medyc را هم هدف گرفته بود.

نشت اطلاعات سفارت‌های هند

یک عامل تهدید مشکوک پاکستانی مسئولیت نفوذ به وزارت امور خارجه‌ی هند و افشای اطلاعات پرسنل سفارت‌ها را بر عهده گرفت.

رخداد امنیتی در MetaMask

کیف‌پول رمزارزی MetaMask از یک رخداد امنیتی در زیرساخت خود خبر داد، اما جزئیات بسیار کمی درباره‌ی دامنه و تأثیر آن منتشر کرد.

سرقت ۳٫۸ میلیون دلاری از NEAR Intents

مهاجمان با بهره‌برداری از آسیب‌پذیری‌های قرارداد هوشمند در سرویس تبادل بین‌زنجیره‌ای NEAR Intents، حدود ۳٫۸ میلیون دلار رمزارز سرقت کردند.

نشت DMDC پنتاگون ۳٫۱ میلیون نفر را در بر می‌گیرد

جزئیات تازه‌ای از حادثه‌ی مرکز داده‌های نیروی انسانی دفاعی منتشر شد: اطلاعات ۲٫۸ میلیون فرد زنده و ۲۹۴ هزار پرسنل نظامی درگذشته در این نشت افشا شده است.

کانادا: شواهدی از هک موفق هوش مصنوعی نداریم

آژانس امنیت سایبری کانادا تأیید کرد کاوش عامل‌های هوش مصنوعی روی وب‌سایت‌های دولتی کانادا — از جمله کتابخانه و آرشیو ملی — به هیچ نفوذ موفقی به سرورها یا سامانه‌های داخلی منجر نشده است. پیش‌تر OpenAI به چندین سازمان در سراسر جهان اطلاع داده بود که عامل‌هایش وب‌سایت‌های عمومی آن‌ها را کاوش کرده و احتمالاً از نقص‌های امنیتی بهره برده‌اند.

OpenAI حمله‌ی تقطیر مدل را مسدود کرد

شرکت OpenAI در ژوئیه حمله‌های تازه‌ای از نوع «تقطیر مدل» (distillation) را شناسایی و مسدود کرد که بیش از ۱۵ هزار حساب کاربری در آن درگیر بودند. مهاجمان استدلال رمزگذاری‌شده‌ی مدل را در گفت‌وگوهای مختلف کپی می‌کردند تا رونوشتی غیرمجاز از مدل بسازند.

مراکش از زیرساخت مخابراتی برای توزیع جاسوس‌افزار استفاده کرد

سازمان اطلاعات داخلی مراکش (DGST) بین سال‌های ۲۰۱۷ تا ۲۰۲۱ جاسوس‌افزار Pegasus را از طریق زیرساخت شرکت دولتی Maroc Telecom علیه مدافعان حقوق بشر مستقر کرده است. یکی از افشاگران سابق این سازمان این عملیات را فاش کرده است.

نشت اسناد مرکز پژوهشی سایبری روسیه

هکرها اسناد داخلی مرکز پژوهشی سایبری روسی SpetsVuzAvtomatika را منتشر کردند و پروژه‌هایی را افشا کردند که از عملیات هکری دولتی پشتیبانی می‌کنند. فایل‌های منتشرشده شامل ابزارهای شناسایی هدف، اسکن، آزمون غنی‌سازی داده، دسترسی به شبکه، سرقت اعتبارنامه و خروج داده است. خزانه‌داری آمریکا این سازمان را پیش‌تر در مه ۲۰۲۱ تحریم کرده بود.

فناوری عمومی، هوش مصنوعی و حریم خصوصی

سیگنال پشتیبان‌گیری محلی را به iOS و دسکتاپ آورد

سیگنال قابلیت پشتیبان‌گیری محلیِ رمزگذاری‌شده را برای کاربران iOS و دسکتاپ پیاده کرد؛ همان چیزی که پیش‌تر در اندروید موجود بود. کاربران می‌توانند آرشیو رمزگذاری‌شده‌ای از داده‌هایشان بسازند که به‌صورت محلی ذخیره می‌شود و به ابر منتقل نمی‌شود.

کلادفلر مرجع صدور گواهی خودش را راه می‌اندازد

کلادفلر اعلام کرد مرجع صدور گواهی (CA) اختصاصی خود را راه‌اندازی می‌کند که گواهی‌های رایگان و خودکار با مقاومت در برابر رایانش کوانتومی — از طریق گواهی‌های پساکوانتومی Merkle Tree — ارائه می‌دهد؛ مدلی مشابه Let's Encrypt.

ردیت فیدهای RSS را کنار می‌گذارد

ردیت اعلام کرد از ۱۳ نوامبر ۲۰۲۶ فیدهای RSS را منسوخ می‌کند و دلیل آن را جلوگیری از خزش تهاجمی هوش مصنوعی عنوان کرد. کاربران جدید دسترسی خود به رابط قدیمی ردیت را هم از دست خواهند داد.

انتشار ویندوز ۱۱ نسخه‌ی 26H2

مایکروسافت به‌روزرسانی بزرگ 26H2 ویندوز ۱۱ را منتشر کرد؛ انتشار پاییزی همیشگی این شرکت که تقریباً یک سال پس از نسخه‌ی قبلی عرضه شده است.

معرفی Gemini 4 Argon

گوگل Gemini 4 Argon را منتشر کرد؛ تازه‌ترین مدل پیشروی این شرکت که توانمندی‌های امنیت سایبری در آن گنجانده شده است. این مدل از طریق برنامه‌ی Fairwind گوگل در اختیار مدافعان سایبری مورد اعتماد قرار می‌گیرد. گوگل مدعی است Argon می‌تواند «به‌صورت خودکار آسیب‌پذیری‌های بحرانی نرم‌افزاری را بیابد، تأیید و وصله کند».

OpenAI هشدارهای کارکنانش را نادیده گرفت

بر اساس گزارش نیویورک‌تایمز، OpenAI هشدارهای داخلی کارکنان درباره‌ی ناکافی‌بودن نظارت بر مدل‌ها در زمان آزمایش را نادیده گرفته است. این شرکت همچنین نگرانی‌های پژوهشگران امنیتی خارجی درباره‌ی آسیب‌پذیری‌های زیرساختی را بی‌پاسخ گذاشته و سرعت توسعه را بر پروتکل‌های امنیتی ترجیح داده است.

هشدار Anthropic درباره‌ی GLM-5.3

شرکت Anthropic هشدار داد مدل هوش مصنوعی چینی Zhipu GLM-5.3 به توانمندی‌های پیشرفته‌ی سایبری نزدیک می‌شود، در حالی که با حفاظ‌های ایمنی ضعیفی عرضه شده است. به گفته‌ی این شرکت، عامل‌های تهدید می‌توانند پروتکل‌های ایمنی GLM را دور بزنند تا اکسپلویت بسازند و حمله‌ی سایبری اجرا کنند؛ Anthropic خواستار نظارت دولتی بر مدل‌های با وزن باز شده است.

دولت، سیاست و مقررات

وتوی لایحه‌ی عینک‌های جاسوسی در کالیفرنیا

گوین نیوسام، فرماندار کالیفرنیا، لایحه‌ای را وتو کرد که ضبط غیرمجاز با عینک‌های هوشمند و دستگاه‌های پوشیدنی را ممنوع می‌کرد. این لایحه به‌طور مشخص حوادث مربوط به عینک‌های Ray-Ban متا و ضبط پنهانی را هدف گرفته بود.

نهادهای انتظامی اروپا Oxygen Forensics را کنار می‌گذارند

چند نهاد اروپایی در حال فسخ قراردادهای خود با Oxygen Forensics هستند؛ پس از آنکه مدیرعامل این شرکت در آمریکا به اتهام پنهان‌کردن مالکیت روسی در درخواست قراردادهای دولتی تحت تعقیب قرار گرفت. سازمان مبارزه با فساد رومانی، پلیس دولتی لتونی و پلیس متروپولیتن لندن بازبینی قراردادها را آغاز کرده‌اند. این نرم‌افزار در آلمان، اسپانیا، ایتالیا، لهستان و مجارستان هم استفاده می‌شود.

هشدار AIVD درباره‌ی خطر جاسوسی خودروهای هوشمند

سرویس اطلاعات داخلی هلند هشدار داد سامانه‌های ردیابی خودروهای مدرن خطر جدی جاسوسی ایجاد می‌کنند، چون ردیاب‌های داخلی متعددی در آن‌ها هست که داده‌هایشان از طریق دلالان داده در دسترس قرار می‌گیرد. هم‌زمان پژوهشی در دانشگاه نورث‌ایسترن فناوری‌های ردیابی خودرو را بررسی کرده است.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

حکم زندان برای هکر هلندی بابت فروش اعتبارنامه و تقلب GTA

یک تبعه‌ی ۲۵ ساله‌ی هلند به یک سال و نیم زندان محکوم شد؛ بابت فروش بیش از ۲۰۰ فهرست ترکیبی اعتبارنامه که بیش از یک میلیون جفت نام کاربری و رمز عبور را در بر می‌گرفت. او همچنین ابزارهای تقلب بازی GTA 5 و ابزارهای از کار انداختن سرور را توزیع می‌کرد.

تحریم ۱۰ عضو ترن د آراگوا بابت حملات به خودپردازها

خزانه‌داری آمریکا ده نفر از سران کارتل ونزوئلایی Tren de Aragua را بابت حملات «جک‌پاتینگ» به خودپردازها تحریم کرد. این گروه ۱٬۵۰۰ حمله انجام داده و بیش از ۴۰ میلیون دلار سرقت کرده است. اف‌بی‌آی بیش از ۱۰۰ مظنون را که با بدافزار Ploutus به خودپردازهای ایزوله حمله می‌کردند دستگیر و متهم کرده است.

آلمان ۹٬۳۰۰ شماره‌ی کلاهبرداری را مسدود کرد

مقامات آلمانی در چارچوب عملیات هراکلس ۹٬۳۰۰ شماره‌ی تلفن را که در کلاهبرداری‌های سرمایه‌گذاری سایبری استفاده می‌شد مسدود کردند؛ مجموع شماره‌های مسدودشده از دسامبر سال گذشته به حدود ۱۴ هزار رسیده است.

نشت اطلاعات یک عملیات کلاهبرداری

سرورهای بدپیکربندی، زیرساخت یک عملیات بزرگ کلاهبرداری سرمایه‌گذاری را افشا کردند که ساکنان آفریقای جنوبی را با دامنه‌هایی به سبک رسانه‌های خبری محلی هدف می‌گرفت و آن‌ها را به سرمایه‌گذاری در پلتفرم‌های مخرب ترغیب می‌کرد.

یک عملیات موفق بدافزار رمزارزی

یک مجرم سایبری بیش از ۱۰۰ هزار دلار از طریق استقرار سارق اطلاعات به دست آورد؛ بدافزاری که با تزریق کد در مرورگر، داده‌های نشست پلتفرم‌های رمزارزی را می‌دزدید و قابلیت دستکاری کلیپ‌بورد هم داشت.

بازگشت کمپین SleepyDuck

شرکت Pluto Security خوشه‌هایی از افزونه‌ی مخرب EtherDuck برای VSCode را در فروشگاه OpenVSX شناسایی کرد و فعالیت آن‌ها را به کمپین‌های پیشین SleepyDuck مرتبط دانست که توسعه‌دهندگان Solidity را هدف می‌گرفتند.

عامل‌های هوش مصنوعی اسرار شرکت‌ها را با تصویر فاش می‌کنند

شرکت Glow Security بیش از ۱۳ هزار تصویر را کشف کرد که عامل‌های هوش مصنوعی گرفته و در مخازن عمومی گیت‌هاب بارگذاری کرده بودند. این عامل‌ها که در محیط‌های امن نصب شده بودند، برای دور زدن محدودیت‌ها تصاویر صفحه را در گیت‌هاب آپلود می‌کردند و ناخواسته اسرار شرکتیِ شرکت‌های مسافرتی فهرست Fortune 500 و آزمایشگاه‌های بزرگ هوش مصنوعی را افشا کردند.

گروه Warlock همچنان فعال است

پژوهشگران Broadcom تشخیص دادند گروه باج‌افزاری چینی Warlock با وجود حملات سال ۲۰۲۵ به سازمان‌های تایوانی همچنان فعال است. این گروه سازمان‌های پرتغالی‌زبان و اسپانیایی‌زبان را در اروپا، آفریقا و آمریکای لاتین هدف می‌گیرد. پژوهشگران Warlock را به بازیگر مرتبط با چین نسبت می‌دهند که سیمانتک آن را Longlegs (یا Storm-2603) می‌نامد و پیش‌تر به خوشه‌های CL-CRI-1040، CamoFei و ChamelGang مرتبط شده بود.

کاهش استفاده از ClickFix

حمله‌های کپی-پیست مخرب ClickFix امسال ۱۲ درصد از رخدادهای دسترسی اولیه را تشکیل داده‌اند؛ در حالی که این رقم سال گذشته ۴۷ درصد بود. مایکروسافت ثبت کرده که ۹۶ درصد از موارد شناسایی ClickFix پیش از استقرار بدافزار رخ داده است.

نیم‌میلیون اعتبارنامه در گیت‌هاب

شرکت Truffle Security در اسکن ماه ژوئیه ۵۴۳٬۶۹۹ اعتبارنامه‌ی افشاشده را در مخازن عمومی گیت‌هاب یافت که همه‌ی آن‌ها هنوز معتبر بودند. بیش از ۲۰۰ هزار اعتبارنامه پس از اعمال حفاظت‌های گیت‌هاب نشت کرده‌اند.

گزارش‌های فنی بدافزار

پلتفرم فیشینگ Milk Dragon

پژوهشگران Milk Dragon (با نام دیگر NaiLong) را تحلیل کردند؛ یک کیت فیشینگ از نوع «مرد میانی» (AitM) که از اکتبر سال گذشته در دسترس است و عمدتاً تبلیغات بازارگاه فیسبوک و تیک‌تاک را هدف می‌گیرد.

PamStealer

تیم امنیتی Iru تحلیلی از PamStealer منتشر کرد؛ سارق اطلاعات تازه‌ی macOS که در ماه اوت ظاهر شد.

worm با نام DirtyBlanket

نُه بسته‌ی npm که خود را ماژول‌های Express جا می‌زنند، worm تازه‌ی لینوکسی DirtyBlanket را توزیع می‌کنند.

درهای پشتی تازه‌ی DragonForce

پژوهشگران Lab52 دو درِ پشتی تازه‌ی باج‌افزار DragonForce را کشف کردند که از پروتکل‌های TURN و MQTT برای پنهان‌کردن ترافیک فرماندهی و کنترل استفاده می‌کنند. Seqrite هم هم‌زمان تحلیلی از نحوه‌ی عملکرد آن منتشر کرد.

APT، جاسوسی سایبری و عملیات اطلاعاتی

اوکراین: مهاجمان از هوش مصنوعی برای فیشینگ استفاده می‌کنند

آژانس امنیت سایبری اوکراین در ارزیابی تهدیدات نیمه‌ی نخست سال گزارش داد عامل‌های تهدید به‌طور مداوم از هوش مصنوعی برای ساخت طعمه‌های فیشینگ استفاده می‌کنند.

گروه UAT-11587 جنوب شرق آسیا را هدف گرفته است

یک گروه APT مشکوک چینی از سپتامبر سال گذشته سازمان‌های دولتی و سیاست‌گذار در جنوب و جنوب شرق آسیا را هدف گرفته است. اپراتورها کمپین‌های فیشینگ هدفمند اجرا کرده‌اند و درِ پشتی تازه‌ای به زبان Rust با نام Antino مستقر می‌کنند.

گروه TA419 متخصصان هوش مصنوعی را هدف گرفته است

یک گروه جاسوسی سایبری چینی عملیات گسترده‌ی فیشینگ هدفمند علیه متخصصان هوش مصنوعی در اندیشکده‌ها، دانشگاه‌ها و مؤسسات حقوقی آمریکا اجرا کرده است. اپراتورهای کمپین خود را جای اقتصاددانان و سیاست‌گذاران حوزه‌ی AI جا می‌زدند. Proofpoint این را دومین APT چینی اخیر می‌داند که بخش هوش مصنوعی آمریکا را هدف گرفته است.

مونته‌نگرو عضو یک APT ایرانی را مسترد کرد

مونته‌نگرو با استرداد امیر براتی، هکر ایرانی، به آمریکا موافقت کرد. او در ژوئن در شهر کوتور بازداشت شد و مقام‌های آمریکایی مدعی‌اند عضو گروه Silent Librarian است؛ APT ایرانی که در سرقت پژوهش‌های دانشگاهی تخصص دارد.

آسیب‌پذیری‌ها، پژوهش امنیتی و باگ‌بانتی

به‌روزرسانی‌های امنیتی

این شرکت‌ها و پروژه‌ها به‌روزرسانی منتشر کردند: Cisco، FreeBSD، Gitea، KiteWorks، OpenSSL، TanStack، TeamViewer، Tor Browser و WatchGuard.

zero-day تازه در Cisco SD-WAN

سیسکو به‌روزرسانی فریم‌ور برای یک zero-day فعال در Catalyst SD-WAN منتشر کرد؛ آسیب‌پذیری‌ای که با ارسال درخواست HTTP مخرب، احراز هویت API را دور می‌زند و دسترسی API در سطح مدیر می‌دهد.

zero-dayهای Zammad پشت هک DIVD

هکرها با بهره‌برداری از zero-dayهای پلتفرم پشتیبانی Zammad به سازمان غیرانتفاعی امنیت سایبری هلندی DIVD نفوذ کردند. این آسیب‌پذیری‌ها امکان ربودن نشست، ارتقای سطح دسترسی و اجرای کد از راه دور را فراهم می‌کردند. DIVD با توجه به سرعت حمله گمان می‌کند مهاجم از ابزارهای هوش مصنوعی استفاده کرده است.

بهره‌برداری از باگ Zimbra در فضای واقعی

عامل‌های تهدید سرورهای Zimbra را از طریق یک آسیب‌پذیری تزریق فرمان که در ژوئیه وصله شده بود هک کردند و صندوق‌های ایمیل را سرقت کردند. مهاجمان وب‌شل‌های جاوا مستقر کردند تا اعتبارنامه‌ها و ایمیل‌های قدیمی را خارج کنند. مایکروسافت این حملات را بدون انتساب به گروه خاصی مستند کرده است.

جعل هویت در iCloud اپل

پژوهشگران امنیتی دو روش جعل ایمیل iCloud اپل را شناسایی کردند که وصله‌کردنشان چهار سال طول کشید.

ارتقای سطح دسترسی محلی در لینوکس

شرکت XBOW تحلیلی درباره‌ی CVE-2026-72018 منتشر کرد؛ یک آسیب‌پذیری ارتقای سطح دسترسی محلی در لینوکس که تابستان ۲۰۲۶ کشف شد.

دو برابر شدن افشا و بهره‌برداری از آسیب‌پذیری‌ها

گوگل گزارش داد افشا و بهره‌برداری از آسیب‌پذیری‌ها طی یک سال دو برابر شده و دلیل آن ورود ابزارهای هوش مصنوعی است. به گفته‌ی گوگل، هوش مصنوعی به‌شکل قابل‌اتکایی آسیب‌پذیری‌های پراهمیت از جمله مسیرهای اجرای کد از راه دور را پیدا می‌کند.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

• Cisco — گزارش Relentless Defense
• Dr.Web — مرور تهدیدات
• Gen Digital — شبکه‌های پراکسی خانگی
• Google — روند کشف و بهره‌برداری از آسیب‌پذیری‌ها در عصر AI
• Microsoft — گزارش دفاع دیجیتال ۲۰۲۶
• Pew Research — شبکه‌های اجتماعی و دموکراسی
• Point Wild — روند بدافزارهای مک
• Swimlane — مسیر شغلی در SOCهای مجهز به AI
• Truffle Security — اعتبارنامه‌های افشاشده در گیت‌هاب
• WaterISAC — رخدادهای بخش آب
• Wordfence — گزارش فصلی تهدیدات وردپرس

ویدئوهای کنفرانس

ویدئوهای ارائه‌های کنفرانس BSides Belfast 2026 روی یوتیوب منتشر شد.

منبع

Risky Bulletin — Authorities dismantle KillSec group, arrest members across Europe