- Регистрация
- Окт 16, 2022
- Сообщения
- 1,236
- Реакции
- 215
- Награды
- 2
Падение RansomHub привело к значительной консолидации экосистемы программ-вымогателей в прошлом квартале, что стало благом для банд DragonForce и Qilin.
Источник: incamerastock через Alamy Stock Photo
DragonForce, «картель программ-вымогателей», в прошлом квартале получил широкую огласку благодаря очевидной интеграции RansomHub.
Это основано на отчёте Check Point Research о программах-вымогателях за второй квартал, опубликованном сегодня. В нём представлен более широкий анализ экосистемы программ-вымогателей. В отчёте отмечено значительное исчезновение известных групп, предлагающих программы-вымогатели как услугу (RaaS), таких как RansomHub, Babuk-Bjorka, Cactus, Lockbit и других; снижение числа жертв, чьи имена были опубликованы; и многочисленные изменения в методологии злоумышленников.
Некоторые из наиболее интересных выводов касались DragonForce , банды RaaS, которая продаёт «картельную» модель «white label». В рамках своей программы распределения доходов DragonForce позволяет партнёрам использовать инфраструктуру банды, работая под собственными названиями и брендом.
Судя по появлению новой группы под крылом и росту числа жертв за последние месяцы, становится ясно, что DragonForce находится на подъеме.
отметила Check Point Research в своём отчёте , что DragonForce заявила о более чем 250 жертвах на своём сайте утечек в даркнете, причём только за последний квартал их было 58. Хотя это и не соответствует цифрам, озвученным Цилинем (207) и Акирой (143), это свидетельствует о перестановках в составе участников группы после действий правоохранительных органов и консолидации группировки.
RansomHub, ранее известная банда, занимающаяся программами-вымогателями, исчезла в апреле. Вскоре после этого, по данным Check Point, DragonForce заявила, что «бывшая группировка перенесла свою деятельность на платформу DragonForce и присоединилась к инициативе Картеля». В подтверждение своих слов группировка опубликовала скриншот предполагаемой внутренней части RansomHub, а CPR отметила заметный рост числа жертв DragonForce в апреле и июне.
Группа продемонстрировала еще большую изысканность, ужесточив процедуру отбора.
«Параллельно с этим расширением DragonForce также отреагировала на усиление контроля со стороны правоохранительных органов, объявив о более строгих процедурах проверки своих партнёров. В апреле они подтвердили свои «этические» границы, прямо запретив атаки на объекты здравоохранения и заявив, что их цель — финансовая выгода, а не причинение вреда», — сообщает Check Point Research. «Как они выразились: „Мы здесь не для того, чтобы убивать, мы здесь для того, чтобы зарабатывать деньги“».
В отчете говорится, что это отражает тенденцию к отказу от вымогательства с использованием шифрования в пользу кражи данных, поскольку атаки с использованием шифрования и атак на системы здравоохранения регулярно привлекают больше внимания правоохранительных органов, чем, например, атака с целью кражи данных против некритичного поставщика услуг.
Сергей Шикевич, руководитель группы анализа угроз в Check Point Software, рассказал Dark Reading, что успех DragonForce обусловлен успехом компании в завоевании рыночной позиции благодаря картельной модели, а также акцентом на маркетинг. В исследовании отмечается, что в какой-то момент киберпреступный форум Ramp обновил свой логотип, включив в него название DragonForce.
«Dragonforce выбирает смелый и заметный публичный подход, чтобы добиться более быстрого и значительного роста», — говорит он.
CPR рассказала о том, как группы вирусов-вымогателей решили использовать инструменты LLM в своих операциях. По данным исследователей, FunkSec использует ИИ для разработки вредоносных программ, а Xanthorox ранее создала вариант вируса-вымогателя, созданный с помощью ИИ. Ещё один пример появился во втором квартале от Global Group (также известной как El Dorado и Blacklock). Хотя группа не является крупной (в прошлом квартале она зафиксировала 17 жертв), её предложение RaaS включает «поддержку переговоров на базе ИИ».
По теме: «Шелковый тайфун» связан с мощными наступательными инструментами и компаниями, поддерживаемыми КНР
«Это говорит о растущем интересе к использованию ИИ для точной настройки психологического давления, автоматизации взаимодействий и потенциального улучшения результатов вымогательства», — заявили исследователи.
Тем временем, хакерская группа Qilin получила серьёзный импульс из-за закрытия сайта RansomHub, занимающегося утечкой данных , поскольку её партнёрам требовалась новая банда для сотрудничества. «Многие из них, похоже, перенесли свою деятельность в Qilin, — сообщает Check Point Research, — который почти удвоил свою активность во втором квартале 2025 года, подскочив с 35 жертв в месяц в среднем до почти 70».
«Qilin — одна из самых авторитетных групп RaaS с устойчивой историей опубликованных жертв, начиная с 2022 года. Она предлагает своим партнёрам комплексный инструментарий через специальную административную панель, включая шифратор, инфраструктуру переговоров и службы поддержки», — говорится в отчёте. «После исчезновения RansomHub Qilin активно воспользовалась этой возможностью, активизировав набор пользователей на форуме Ramp и представив ряд усовершенствованных функций. К ним относятся новые интегрированные возможности DDoS-атак и консультации по переговорам, направленные на максимальное давление на жертв на этапе вымогательства».
Такое «давление», которое предлагает Qilin, включает в себя юридическую помощь в проверке украденных данных, полученных аффилированными лицами, в целях выявления проблем с регулированием, о которых можно сообщить соответствующим правоохранительным органам.
Dark Reading спросил Шикевича о растущей консолидации групп, создающих угрозы (во многом похожих на реальные компании), и о том, может ли это свидетельствовать о взрослении экосистемы киберпреступности. «Между реальным миром и киберпреступностью есть много общего, но в киберпреступном мире ситуация сложнее», — говорит Шикевич. «С одной стороны, некоторые пытаются консолидироваться, с другой — из-за арестов правоохранительными органами и других факторов мы наблюдаем исчезновение крупных брендов и относительно раздробленную экосистему без явных лидеров».
Источник: incamerastock через Alamy Stock Photo
DragonForce, «картель программ-вымогателей», в прошлом квартале получил широкую огласку благодаря очевидной интеграции RansomHub.
Это основано на отчёте Check Point Research о программах-вымогателях за второй квартал, опубликованном сегодня. В нём представлен более широкий анализ экосистемы программ-вымогателей. В отчёте отмечено значительное исчезновение известных групп, предлагающих программы-вымогатели как услугу (RaaS), таких как RansomHub, Babuk-Bjorka, Cactus, Lockbit и других; снижение числа жертв, чьи имена были опубликованы; и многочисленные изменения в методологии злоумышленников.
Некоторые из наиболее интересных выводов касались DragonForce , банды RaaS, которая продаёт «картельную» модель «white label». В рамках своей программы распределения доходов DragonForce позволяет партнёрам использовать инфраструктуру банды, работая под собственными названиями и брендом.
Судя по появлению новой группы под крылом и росту числа жертв за последние месяцы, становится ясно, что DragonForce находится на подъеме.
Сквозь огонь и пламя
Компания DragonForce, дебютировавшая в 2023 году, быстро приобрела известность благодаря своей партнёрской модели, акценту на маркетинг и взаимодействие с общественностью, а также ряду громких атак. Ранее в этом году банда взяла на себя ответственность за атаки на несколько крупных британских ритейлеров , а в мае Sophos подробно рассказала о том, как DragonForce взломала систему удалённого мониторинга и управления (RMM) поставщика управляемых услуг (MSP) в рамках атаки на цепочку поставок.отметила Check Point Research в своём отчёте , что DragonForce заявила о более чем 250 жертвах на своём сайте утечек в даркнете, причём только за последний квартал их было 58. Хотя это и не соответствует цифрам, озвученным Цилинем (207) и Акирой (143), это свидетельствует о перестановках в составе участников группы после действий правоохранительных органов и консолидации группировки.
RansomHub, ранее известная банда, занимающаяся программами-вымогателями, исчезла в апреле. Вскоре после этого, по данным Check Point, DragonForce заявила, что «бывшая группировка перенесла свою деятельность на платформу DragonForce и присоединилась к инициативе Картеля». В подтверждение своих слов группировка опубликовала скриншот предполагаемой внутренней части RansomHub, а CPR отметила заметный рост числа жертв DragonForce в апреле и июне.
Группа продемонстрировала еще большую изысканность, ужесточив процедуру отбора.
«Параллельно с этим расширением DragonForce также отреагировала на усиление контроля со стороны правоохранительных органов, объявив о более строгих процедурах проверки своих партнёров. В апреле они подтвердили свои «этические» границы, прямо запретив атаки на объекты здравоохранения и заявив, что их цель — финансовая выгода, а не причинение вреда», — сообщает Check Point Research. «Как они выразились: „Мы здесь не для того, чтобы убивать, мы здесь для того, чтобы зарабатывать деньги“».
В отчете говорится, что это отражает тенденцию к отказу от вымогательства с использованием шифрования в пользу кражи данных, поскольку атаки с использованием шифрования и атак на системы здравоохранения регулярно привлекают больше внимания правоохранительных органов, чем, например, атака с целью кражи данных против некритичного поставщика услуг.
Сергей Шикевич, руководитель группы анализа угроз в Check Point Software, рассказал Dark Reading, что успех DragonForce обусловлен успехом компании в завоевании рыночной позиции благодаря картельной модели, а также акцентом на маркетинг. В исследовании отмечается, что в какой-то момент киберпреступный форум Ramp обновил свой логотип, включив в него название DragonForce.
«Dragonforce выбирает смелый и заметный публичный подход, чтобы добиться более быстрого и значительного роста», — говорит он.
ИИ и Цилинь
Два других интересных раздела отчета касаются Qilin и использования искусственного интеллекта в программах-вымогателях.CPR рассказала о том, как группы вирусов-вымогателей решили использовать инструменты LLM в своих операциях. По данным исследователей, FunkSec использует ИИ для разработки вредоносных программ, а Xanthorox ранее создала вариант вируса-вымогателя, созданный с помощью ИИ. Ещё один пример появился во втором квартале от Global Group (также известной как El Dorado и Blacklock). Хотя группа не является крупной (в прошлом квартале она зафиксировала 17 жертв), её предложение RaaS включает «поддержку переговоров на базе ИИ».
По теме: «Шелковый тайфун» связан с мощными наступательными инструментами и компаниями, поддерживаемыми КНР
«Это говорит о растущем интересе к использованию ИИ для точной настройки психологического давления, автоматизации взаимодействий и потенциального улучшения результатов вымогательства», — заявили исследователи.
Тем временем, хакерская группа Qilin получила серьёзный импульс из-за закрытия сайта RansomHub, занимающегося утечкой данных , поскольку её партнёрам требовалась новая банда для сотрудничества. «Многие из них, похоже, перенесли свою деятельность в Qilin, — сообщает Check Point Research, — который почти удвоил свою активность во втором квартале 2025 года, подскочив с 35 жертв в месяц в среднем до почти 70».
«Qilin — одна из самых авторитетных групп RaaS с устойчивой историей опубликованных жертв, начиная с 2022 года. Она предлагает своим партнёрам комплексный инструментарий через специальную административную панель, включая шифратор, инфраструктуру переговоров и службы поддержки», — говорится в отчёте. «После исчезновения RansomHub Qilin активно воспользовалась этой возможностью, активизировав набор пользователей на форуме Ramp и представив ряд усовершенствованных функций. К ним относятся новые интегрированные возможности DDoS-атак и консультации по переговорам, направленные на максимальное давление на жертв на этапе вымогательства».
Такое «давление», которое предлагает Qilin, включает в себя юридическую помощь в проверке украденных данных, полученных аффилированными лицами, в целях выявления проблем с регулированием, о которых можно сообщить соответствующим правоохранительным органам.
Dark Reading спросил Шикевича о растущей консолидации групп, создающих угрозы (во многом похожих на реальные компании), и о том, может ли это свидетельствовать о взрослении экосистемы киберпреступности. «Между реальным миром и киберпреступностью есть много общего, но в киберпреступном мире ситуация сложнее», — говорит Шикевич. «С одной стороны, некоторые пытаются консолидироваться, с другой — из-за арестов правоохранительными органами и других факторов мы наблюдаем исчезновение крупных брендов и относительно раздробленную экосистему без явных лидеров».
