عملية جديدة لبرمجيات الفدية كخدمة تُدعى VanHelsing ظهرت في 7 مارس 2025، مدعية بسرعة على الأقل ثلاث ضحايا. تدعم هجمات على أنظمة Windows وLinux وBSD وARM وESXi، مع الشركاء التابعين يحتفظون بنسبة 80% من الفديات بعد إيداع 5000 دولار. يحظر المجموعة استهداف كيانات في رابطة الدول المستقلة.
يمثل VanHelsing تطورًا متطورًا في نشر برمجيات الفدية، تم ملاحظته لأول مرة في 7 مارس 2025. يعمل كمنصة برمجيات الفدية كخدمة (RaaS)، مما يخفض الحواجز أمام الشركاء التابعين من خلال طلب إيداع قدره 5000 دولار فقط للوصول إلى أدواته وبنيته التحتية. يحتفظ الشركاء التابعون بنسبة 80% من الفديات المجموعة، مما يعزز التوسع السريع والهجمات الواسعة النطاق.
تُميز التوافق الواسع للعملية، حيث تستهدف أنظمة Windows وLinux وBSD وهياكل ARM وبيئات الافتراضية ESXi. يوسع هذا الدعم المتعدد المنصات قاعدة الضحايا المحتملين بشكل كبير خارج التهديدات النموذجية المركزة على Windows. في غضون أسبوعين من إطلاقه، ادعى VanHelsing على الأقل ثلاثة اختراقات ناجحة، مع مفاوضات فدية تصل إلى 500000 دولار في حالة واحدة.
تقنيًا، برمجية الفدية هي ثنائي C++ مصمم للمرونة والصمود. ينشئ mutex باسم “Global\VanHelsing” لتجنب التنفيذات المتزامنة، قابل للتجاوز عبر المعامل –Force. يتم تعيين أولوية العملية عالية للتشفير الأسرع، قابلة للتعديل باستخدام –no-priority للاختباء. يستخدم التشفير مفاتيح عشوائية فريدة وnonces لكل ملف، آمنة باستخدام شيفرة التدفق ChaCha20 ومفتاح عام Curve25519 مدمج، مما يضمن أن الفك يتطلب المفتاح الخاص للمتشغلين.
للكفاءة، يتم تشفير الملفات الكبيرة —مثل تلك التي تزيد عن 1 جيجابايت أو أصول قواعد البيانات— بنسبة 30% فقط، معالجة في قطع بحجم 1 ميجابايت. يقسم وضع –Silent العمليات إلى مراحل: التشفير أولاً، ثم إعادة تسمية الملفات بامتداد .vanhelsing، مما يقلل من مخاطر الكشف من أدوات الأمان في نقاط النهاية.
يعزز الحركة الجانبية تهديده، مع فحص خوادم SMB، تعداد المشاركات (تجنب الحرجة مثل NETLOGON وsysvol)، واستخدام psexec.exe المضمن للتنفيذ عن بعد. يحذف نسخ الظل لأحجام Windows عبر استفسارات WMI لتعطيل الاسترداد. اثنتان من المتغيرات، المجمعة بفارق خمسة أيام، تشيران إلى تطوير مستمر بناءً على التغذية الراجعة والاستجابات الدفاعية.
تركز التخفيف على النسخ الاحتياطي غير المتصل، تقسيم الشبكة، ومراقبة السلوكيات مثل حذف نسخ الظل وتدفق SMB غير طبيعي.