شارك مصدر سري تفاصيل غير معروفة سابقًا حول مجموعة Desorden الفاعلة الناشئة حديثًا.

الجزء العلوي: أخضر

حول ديسوردن

• في سبتمبر 2021، بدأت مجموعة من ممثلي التهديدات ذات الدوافع المالية والتي يطلق عليها اسم «Desorden» في اختراق الشركات الآسيوية ومشاركة البيانات المخترقة في منتدى شهير للجرائم الإلكترونية باللغة الإنجليزية.
• تم نشر أول مشاركة للمجموعة في المنتدى في 30 سبتمبر 2021. أعلن المنشور عن قاعدة بيانات الشركة الماليزية التابعة لشركة لوجستية عالمية مقرها في هونغ كونغ. تضمن المنشور عينة من البيانات كدليل على ادعاءات المجموعة ومصداقيتها.
• منذ المنشور الأول، أعلنت المجموعة باستمرار عن بيانات العديد من الشركات الآسيوية. اعتبارًا من يناير 2022، أي منذ 4 أشهر، منذ أن أصبحت المجموعة نشطة، قاموا بمشاركة بيانات 10 شركات.

اضطراب طريقة العمل

قام مصدر سري، على اتصال مباشر مع مجموعة Desorden، بمشاركة معلومات حول دوافع المجموعة والتكتيكات والتقنيات والإجراءات المفضلة لديهم (TTPs).

الدوافع والتعاون

• في الوقت الحالي، ليس لدى المجموعة أي مصلحة في اختراق الاتحاد السوفيتي السابق أو الدول الأوروبية.
• تخطط المجموعة بعناية وتختار ضحاياها، وهم في الأساس تكتلات في آسيا ذات إيرادات عالية.
• يزعمون أنهم مجموعة قرصنة «مقابل أجر» ولا يُعرفون بأنهم مجموعة رانسوم وير، على الرغم من أنهم يعملون كمجموعة واحدة.
• تتطلع المجموعة إلى تجنيد المتسللين الذين يمكنهم استغلال نقاط الضعف في المؤسسة وإنشاء نصوص جديدة.
• تشارك Desorden في صفقات مع العديد من مجموعات برامج الفدية التي لا تركز على آسيا. في ما يبدو وكأنه اتفاق للتقسيم والتغلب، تبيع Desorden نقاط الضعف والوصول، إلى الشركات في أوروبا وأمريكا الشمالية، إلى مجموعات برامج الفدية التي تركز على تلك المناطق.

التكتيكات والتقنيات والإجراءات (TTPs)

• تبدأ المجموعة هجومًا من خلال إجراء استطلاع أولاً للبنية التحتية والتقنيات المستخدمة من قبل المنظمة المستهدفة.
• استنادًا إلى الاستطلاع، قاموا بتطوير نصوص برمجية مخصصة لأداة الحزم المتقدمة (APT) للتسلل إلى المؤسسة. تستخدم المجموعة أيضًا Python و PowerShell و C #، بناءً على متطلباتها.
• لا تقوم المجموعة بقفل بيانات الضحية بالعملات المشفرة، كما تفعل مجموعات برامج الفدية. وبدلاً من ذلك، يقومون بسحب المعلومات الحساسة من الضحية، ويهددون بنشر البيانات إذا لم تستجب الشركة لمطالب الفدية الخاصة بهم.
• يُزعم أن المجموعة تعمل بسرية مع الضحايا لجمع الفدية.
  • إذا دفعت الضحية الفدية المطلوبة، فإنها لا تعلن عن الخرق أو بيانات الشركة.
  • إذا لم تستجب الضحية في البداية، فإنها تقوم بنشر الخرق، دون الكشف عن بياناتها، في محاولة للضغط على الضحية لدفع الفدية.
  • ومع ذلك، إذا رفضت الشركة دفع الفدية حتى بعد هذه المحاولات، فإنها تتخلص من بياناتها أو تبيعها في منتديات الجرائم الإلكترونية.

الملف الشخصي للضحية لديسوردن

منذ سبتمبر 2021، شاركت Desorden أو أعلنت عن قواعد بيانات 10 منظمات ذات إيرادات عالية تعمل أو تتخذ من آسيا مقراً لها.

• شركة التوظيف
• متجر متعدد الأقسام
• سلسلة السينما

:

:

:

معلومات التعريف الشخصي وبيانات اعتماد تسجيل الدخول

معلومات التعريف الشخصي وتفاصيل NRIC وبيانات اعتماد تسجيل الدخول

غير متاح

• شركة الخدمات اللوجستية
• خدمة الناقل

:

:

200 جيجابايت من بيانات العملاء والشركاء

قاعدة بيانات العملاء

• سلسلة فنادق
• مجموعة المطاعم

:

:

400 جيجابايت من معلومات تحديد الهوية الشخصية والبيانات المالية وبيانات الشركات

80 غيغابايت من معلومات تحديد الهوية الشخصية والبيانات المالية والمعاملات

• شركة الإلكترونيات

• سلسلة سوبر ماركت

• شركة الإلكترونيات