Хакерів-вимагачів Embargo пов’язали з групою BlackCat

Група вимагачів Embargo стала одним із ключових тіньових гравців у RaaS-секторі. З квітня 2024 року хакери отримали у вигляді викупів криптовалюту на понад $34 млн, йдеться у звіті TRM Labs.

За даними дослідників, група надає злочинцям інструменти для проведення атак в обмін на частку від суми викупу. При цьому Embargo зберігає контроль над ключовими операціями, включно з маніпуляціями з інфраструктурою та переговорами щодо платежів.

«Embargo використовує високотехнологічні та агресивні програми-вимагачі. Водночас вони уникають брендування і не застосовують привертаючі увагу тактики, як-от потрійне вимагання чи переслідування жертв. Така стриманість, ймовірно, допомогла уникнути виявлення правоохоронцями та знизити увагу з боку ЗМІ», — заявили в TRM Labs.

Мішенями кіберзлочинців часто стають організації у сфері охорони здоров’я, бізнес-послуг і виробництва, для яких простої обходяться особливо дорого.

Серед відомих жертв — мережа аптек American Associated Pharmacies, Memorial Hospital and Manor у Джорджії та Weiser Memorial Hospital в Айдахо. Сукупні вимоги викупу до них сягнули $1,3 млн.

Зазвичай Embargo отримує початковий доступ через незахищені вразливості у ПЗ, соціальну інженерію, а також фішингові листи та шкідливі вебсайти.

Зв’язок із BlackCat

Аналітики TRM Labs припускають, що Embargo може бути перейменованою групою BlackCat, яка поширювала програму-шифрувальник ALPHV.

У 2024 році хакери оголосили про закриття проєкту, заявивши, що ФБР нібито вилучило їхню інфраструктуру. Однак правоохоронці цю інформацію не підтвердили. Тоді з’явилися чутки про можливий екзіт-скам, а один з учасників звинуватив команду у викраденні $22 млн із отриманих викупів.

Дослідники виявили технічні збіги між групами: використання мови програмування Rust, керування схожими сайтами для витоку даних та ончейн-зв’язки через кластери гаманців.

Embargo використовує мережу проміжних адрес, високоризикових бірж і підсанкційних платформ, зокрема Cryptex.net, щоб приховати походження коштів. При цьому хакери рідко застосовують криптоміксери та кросчейн-мости.

Дослідники виявили близько $18,8 млн злочинних доходів групи, які тривалий час залишаються без руху. Імовірно, така тактика допомагає зменшити увагу до їхньої діяльності.

Нагадаємо, у липні 2025 року колишнього співробітника компанії DigitalMint, яка допомагає жертвам програм-вимагачів, запідозрили у змові з хакерами.