باج‌افزار INC به یکی از بزرگ‌ترین تهدیدهای RaaS در سال ۲۰۲۶ تبدیل شد؛ بیش از ۸۳۰ قربانی از سال ۲۰۲۳

پژوهشگران امنیت سایبری اعلام کرده‌اند که گروه باج‌افزاری INC از زمان ظهور خود در اوت ۲۰۲۳ تاکنون بیش از ۸۳۰ سازمان و شرکت را قربانی کرده و در سال ۲۰۲۶ به یکی از فعال‌ترین عملیات‌های «باج‌افزار به‌عنوان سرویس» (RaaS) تبدیل شده است.

بر اساس گزارش منتشرشده توسط Acronis، پس از ضربه‌های واردشده به گروه‌های باج‌افزاری مطرحی مانند LockBit و BlackCat، بسیاری از وابستگان این گروه‌ها به INC پیوسته‌اند و همین موضوع به رشد سریع این عملیات کمک کرده است. بیش از ۶۵ درصد قربانیان شناسایی‌شده در ایالات متحده قرار دارند و صنایع حقوقی، تولیدی، ساخت‌وساز، فناوری و سلامت بیشترین سهم را در میان اهداف این گروه داشته‌اند.

بازنویسی بدافزار با Rust و توسعه قابلیت‌ها محققان می‌گویند نسخه‌های ویندوز و لینوکس/ESXi باج‌افزار INC به‌طور کامل با زبان برنامه‌نویسی Rust بازنویسی شده‌اند. این تغییر علاوه بر تسهیل توسعه چندسکویی، تحلیل و مهندسی معکوس بدافزار را برای کارشناسان امنیتی دشوارتر می‌کند.

همچنین مهاجمان از ابزارهای جدیدی برای سرقت اعتبارنامه‌ها استفاده می‌کنند که قادر به استخراج اطلاعات احراز هویت از نسخه‌های جدید سامانه‌های پشتیبان‌گیری Veeam Backup & Replication هستند.

ظهور خانواده‌های جدید باج‌افزاریپ فروش کدهای باج‌افزار INC در انجمن‌های زیرزمینی طی سال ۲۰۲۴، زمینه‌ساز ظهور خانواده‌های باج‌افزاری جدیدی مانند Lynx Ransomware و Sinobi Ransomware شده است. بررسی‌ها نشان می‌دهد این خانواده‌ها اشتراکات کدنویسی قابل توجهی با INC دارند.

روش‌های نفوذ و اجرای حمله تحلیل‌ها نشان می‌دهد اپراتورهای INC برای نفوذ به سازمان‌ها از روش‌های متعددی استفاده می‌کنند، از جمله:

حملات فیشینگ هدفمند (Spear Phishing) خرید دسترسی از کارگزاران دسترسی اولیه (IAB) سوءاستفاده از آسیب‌پذیری‌های تجهیزات و سرویس‌های اینترنتی

از جمله آسیب‌پذیری‌های مورد استفاده در حملات اخیر می‌توان به موارد زیر اشاره کرد: Citrix NetScaler (CVE-2023-3519 و CVE-2025-5777) Fortinet EMS (CVE-2023-48788) SimpleHelp (CVE-2024-57727)

پس از دستیابی به دسترسی اولیه، مهاجمان با استخراج اطلاعات احراز هویت، استفاده از ابزارهای قانونی سیستم مانند RDP و PsExec برای حرکت جانبی، و بهره‌گیری از تکنیک BYOVD جهت غیرفعال‌سازی راهکارهای امنیتی، کنترل بیشتری بر شبکه قربانی به دست می‌آورند.

در ادامه ابزارهایی نظیر Cobalt Strike، AnyDesk، ScreenConnect و TeamViewer برای ارتباط و مدیریت از راه دور سیستم‌های آلوده مورد استفاده قرار می‌گیرند. داده‌های سرقت‌شده نیز پیش از رمزگذاری نهایی، از طریق ابزار Rclone به خارج از شبکه منتقل می‌شوند؛ رویکردی که در قالب مدل «اخاذی دوگانه» (Double Extortion) انجام می‌شود.

جایگاه INC در میان گروه‌های باج‌افزاری طبق آمار منتشرشده توسط ZeroFox، گروه INC در سه‌ماهه نخست سال ۲۰۲۶ با بیش از ۱۲۰ حمله ثبت‌شده، چهارمین گروه فعال باج‌افزاری جهان بوده است. در این رتبه‌بندی، گروه‌های Qilin Ransomware، Akira Ransomware و The Gentlemen در رتبه‌های بالاتر قرار دارند.

جمع‌بندی رشد سریع INC نشان می‌دهد که گروه‌های باج‌افزاری برای دستیابی به موفقیت گسترده لزوماً به ابزارهای بسیار پیچیده یا تکنیک‌های پیشرفته نیاز ندارند. استفاده مؤثر از آسیب‌پذیری‌های وصله‌نشده، ابزارهای رایج مدیریت از راه دور و روش‌های شناخته‌شده نفوذ، همچنان می‌تواند سازمان‌ها را در معرض خطر جدی قرار دهد. کارشناسان توصیه می‌کنند سازمان‌ها با به‌روزرسانی مستمر سامانه‌ها، تقویت امنیت دسترسی‌ها و پایش مداوم زیرساخت‌ها، ریسک مواجهه با چنین تهدیداتی را کاهش دهند.