Lab · Module 11 Investigation Lab

Ransomware Negotiation & Chat Log Analysis

โปรไฟล์คนร้ายจากบทสนทนาเรียกค่าไถ่ — เวลาทำงาน, time zone และกลกดดัน

🎯 ภารกิจของผู้เรียน

ดาวน์โหลดบทสนทนาการเจรจา คัดลอก Prompt ไปวางใน AI พร้อมแนบไฟล์ แล้วตรวจสอบว่า AI สรุปเวลาทำงาน/time zone ของคนร้าย, กลกดดัน และร่องรอยเชื่อมโยงเหตุการณ์เก่าได้ครบหรือไม่

⚖️ กรอบการใช้งานอย่างรับผิดชอบ

ผลวิเคราะห์นี้คือ ข่าวกรองเชิงพฤติกรรม (behavioral intelligence) เพื่อกำหนดกลยุทธ์การเจรจาและทิศทางสืบสวนเท่านั้น ไม่ใช่ การชี้ตัวบุคคลหรือหลักฐานพิสูจน์ทางศาล การอนุมาน time zone เป็นเพียงสมมติฐานที่ต้องยืนยันด้วยหลักฐานอิสระต่อไป

✅ ตัวอย่าง: โปรไฟล์ Threat Actor จากบทสนทนาเรียกค่าไถ่โรงพยาบาล 📥 Download Mock Data

📋 สถานการณ์ (Scenario)

กลุ่ม Ransomware เจาะระบบเครือข่ายโรงพยาบาลและเปิดช่องเจรจา ผู้สืบสวนบันทึกบทสนทนาทั้งหมดระหว่างทีม IR ของเหยื่อกับคนร้าย ภารกิจคือสร้างโปรไฟล์เวลาทำงานและ time zone ที่เป็นไปได้ของคนร้าย ตรวจจับร่องรอยทางภาษา/พฤติกรรม และระบุกลกดดันในการเจรจา เพื่อใช้กำหนดกลยุทธ์และการ attribution

📊 ตัวอย่างข้อมูลดิบ (Mock Raw Data) — snake_case schema

message_time_utc,sender,language_flag,message_text,btc_demand,linked_onion
2026-03-01 06:02,actor,en,your files are encrypted contact us within 72h,50.0,vic7kx.onion
2026-03-01 06:05,victim,en,we need proof of decryption,,
2026-03-01 06:40,actor,en,here is one file decrypted as proof,50.0,vic7kx.onion
2026-03-01 09:15,actor,en,price is final do not waste our time,50.0,vic7kx.onion
2026-03-01 14:50,victim,en,we can only pay 10 this week,,
2026-03-01 15:01,actor,en,ok we reduce to 35 because you cooperate,35.0,vic7kx.onion
2026-03-02 06:03,actor,en,final warning we will leak data on dls,35.0,leak9z.onion
2026-03-02 06:30,actor,en,we also hit your branch last year same crew,35.0,leak9z.onion

📝 Prompt สำหรับผู้เรียน (คัดลอกไปใช้กับ AI)

You are a cyber threat intelligence analyst supporting ransomware negotiation. Analyze the attached negotiation transcript and report:
1. The actor's likely working hours and probable time zone, inferred from the timestamp distribution of their messages.
2. Negotiation pressure tactics used and the points at which the actor showed flexibility (cite the demand changes).
3. Any self-disclosed linkage to prior incidents or infrastructure (e.g., reuse of onion addresses, claims of past attacks).
4. Behavioral and linguistic tells useful for attribution.
Present an actor profile with a negotiation-strategy recommendation, suitable for the incident command team. Frame every conclusion as investigative intelligence and a working hypothesis, not as identification of a named individual or judicial proof.