Siber güvenlik araştırmacıları, Qilin fidye yazılımı operasyonunun yöneticisini St. Petersburg’da yaşayan 36 yaşındaki bir Rus adamla ilişkilendirdi. Bulgular, tarihsel siber suç forumu hesapları, sızdırılmış hükümet kayıtları ve grubun liderliğiyle ilişkili çevrimiçi kimlikler üzerine yapılan bir soruşturmadan ortaya çıktı.
Araştırmacılar tarafından tanımlanan kişi, iddiaya göre Haise lakabıyla faaliyet gösteren Aleksey Mikhailovich Yakovtsev olarak tanımlanıyor. Birkaç siber güvenlik istihbarat şirketi bu bağlantıyı destekleyen kanıtlar sunsa da, kolluk kuvvetleri onun Qilin’deki rolünü kamuoyuna açıklamadı.
Qilin, son üç ayda en az 365 mağdur kuruluşu ele geçirerek en aktif fidye yazılımı hizmet olarak operasyonlarından biri haline geldi. 2022’den beri aktif olan grup, kurumsal ağları ele geçirmek ve büyük bir şantaj karşılığında fidye yazılımı yaymak için bağlı kuruluşlarını işe alıyor.
Bağlı kuruluşların toplanan fidye ödemelerinin en az %80’ini aldığı bildiriliyor. Operasyon genellikle çift şantaj kullanıyor; sistemleri şifrelemeden önce gizli bilgileri çalıyor ve mağdurlar ödeme yapmayı reddederse çalınan materyali yayınlamakla tehdit ediyor.
According to KrebsOnSecurity , Haise soruşturması, şüpheli yöneticinin Qilin ile ilişkilendirilmeden önce kullandığı iddia edilen eski çevrimiçi kimliklerle başladı. Araştırmacılar, Haziran 2022’de Rus siber suç forumu RAMP’a gönderilen bir başvuruda, Haise’i önceki faaliyetlerle ilişkilendiren bir Telegram kullanıcı adı içerdiğini keşfetti.
Intel 471 tarafından toplanan istihbarata göre, RAMP’tan gelen mesajlar Haise’ye Alexbigboss44 Telegram hesabı üzerinden geçiyordu. Aynı kullanıcı adı daha önce Exploit ve XSS yeraltı forumlarında Rjun olarak bilinen bir kişiyle bağlantılı olarak da ortaya çıkmıştı.
Flashpoint’in ek araştırmaları, bu hesapları ele geçirilmiş çevrimiçi hesaplar, çalınan bilgiler, sahte reklamlar ve kurumsal sistemlere ticari erişimle ilişkilendirdi.
Siber güvenlik platformu IntelHawk, tarihsel kimlikleri inceledi ve 2018 ile 2019 yıllarında iddia edilen ödeme kartı dolandırıcılığı ve trafik manipülasyonundan, kötü amaçlı yazılım, botnetler ve ödeme altyapısını içeren daha karmaşık siber suç faaliyetlerine doğru ilerleme gösterdi.
Soruşturma daha sonra Rjun’u birkaç Rus yeraltı forumunda hesap kaydetmek için kullanılan bir e-posta adresine bağladı. Araştırmacılar, daha önce sızdırılmış veritabanlarını araştırdı ve aynı adresin Rusya’nın hükümet hizmetleri portalı Gosuslugi ile ilgili kayıtlarda da göründüğünü buldu.
Bu kayıtlara göre, e-posta adresi Yakovtsev’e aitti. Rus eğitim veritabanlarından elde edilen ek bilgiler, Murmansk’ta okula gittiğini ve bilgisayar ile bilgi sistemleri alanında yüksek lisans derecesi aldığını gösteriyordu.
Soruşturmacılar ayrıca tarihsel Telegram tanımlayıcılarını ve seyahat kayıtlarını inceleyerek şüpheli yöneticinin çevrimiçi hesapları ile Yakovtsev arasındaki başka bağlantıları tespit etti.
Bulgular, kullanıcı adlarının, iletişim bilgilerinin ve hesap bilgilerinin farklı platformlarda yeniden kullanılmasının anonimliği koruma girişimlerini nasıl zayıflatabileceğini gösteriyor. Bireyler yeni çevrimiçi kimlikler benimseseler bile, tarihsel kayıtlar önceki faaliyetleriyle bağlantılarını koruyabilir.
Ancak deliller dolaylı olarak kalmaktadır. Soruşturma, birkaç çevrimiçi hesap ile kişisel kayıtlar arasında bağlantılar kurmuştur ancak Yakovtsev’in Qilin’i işlettiğine dair yargısal bir karar oluşturmaz.
Araştırmacılar ayrıca Yakovtsev ile iletişime geçme girişimlerinin başarısız olduğunu bildirdi. Mevcut seyahat kayıtları Rusya içinde iç uçuşları gösteriyor ancak uluslararası seyahat ettiğini kanıtlamadı.