Киберпреступность переходит на SaaS-модель: аренда инструментов, доступа и инфраструктуры

[zender]

В наши дни экосистема киберпреступности всё больше функционирует как технологический сектор, основанный на подписке. Подобно модели «как услуга» легитимных облачных сервисов, решения «преступление как услуга» (CaaS) позволяют неопытным злоумышленникам арендовать ресурсы и доступ, необходимые для проведения атак.

Киберпреступные сети рекламируют масштабируемые услуги по требованию и модели оплаты по факту использования.

Хотя партнёрские программы ( RaaS ) давно используются группировками, занимающимися вирусами-вымогателями, практически все виды онлайн-преступлений теперь предлагаются за плату. В этой статье мы рассмотрим пять способов перехода киберпреступности на бизнес-модель с оплатой по подписке, а также их существенные отличия от прежних практик.

1. Фишинг как услуга продолжает расширять возможности ​

Фишинг как услуга (PhaaS) превратил мошенничество с использованием электронной почты из самостоятельного решения в отлаженные сервисы подписки. Традиционно киберпреступнику приходилось самостоятельно собирать фишинговые страницы, почтовые скрипты и списки рассылки или приобретать одноразовый набор для фишинга.

Сегодня существуют готовые фишинговые платформы, которые выполняют всё: от создания убедительных страниц до массовых рассылок, и всё это за регулярную плату. Некоторые подпольные разработчики даже интегрируют ИИ для повышения эффективности фишинга.

Например, SpamGPT — это сервис спама на базе искусственного интеллекта, который автоматизирует создание фишинговых писем, взлом почтовых аккаунтов и максимизацию скорости доставки, по сути, предоставляя злоумышленникам инструменты для проведения кампаний маркетингового уровня. Это означает, что потенциальный фишер может запустить профессионально выглядящую кампанию с минимальными усилиями.

SpamGPT — конструктор фишинговых кампаний на основе искусственного интеллекта

Ещё одним нововведением стало появление вредоносных конструкторов документов, таких как MatrixPDF , которые превращают обычные PDF-файлы в ловушки (добавляя поддельные оверлеи для входа, перенаправления и т. д.) для обхода фильтров электронной почты. Преступные группировки продают эти услуги и наборы по подписке, включая руководства пользователя и даже поддержку клиентов.


Это далеко от прежних времён копирования фишингового HTML-кода с Pastebin. Подписчики PhaaS получают регулярные обновления своих наборов, средства защиты от обнаружения и техническую помощь по подписке. Результат? Даже злоумышленники с нулевыми навыками веб-разработки могут постоянно внедрять обновлённые фишинговые схемы, просто оплатив подписку, что демонстрирует, как фишинг превратился в услугу, которая постоянно адаптируется и совершенствуется.

2. Боты Telegram превращают социальную инженерию в услугу ​

Платформы зашифрованного обмена сообщениями, такие как Telegram, стали рассадниками киберпреступности, фактически используя API Telegram в качестве основы для преступных инструментов, работающих по подписке. Одним из примеров является распространение ботов с одноразовыми паролями (OTP).

Эти боты осуществляют автоматизированное мошенничество с помощью звонков: они звонят целевой жертве, подделывая идентификатор вызывающего абонента банка, и используют голосовой скрипт, чтобы обманным путём заставить человека раскрыть код безопасности 2FA. Весь процесс — подмена звонка, голосовые подсказки и перехват кода — выполняется ботом. Начинающие мошенники могут арендовать эту функцию при необходимости.

Apollo OTP bot — социальная инженерия Telegram как услуга
Ценовая политика имитирует модель SaaS: один из найденных нами OTP-ботов стоит около 70 долларов в неделю за безлимитные звонки или около 150 долларов в месяц за премиум-тариф. Такого простого доступа к инструментам социальной инженерии с оплатой по факту использования ещё несколько лет назад не существовало. Тогда мошенникам приходилось вручную подделывать звонки, используя VoIP-сервисы или по очереди перехватывать вызовы у жертв социальных инженеров.

Помимо одноразовых ботов, каналы Telegram предлагают такие услуги, как массовая рассылка SMS-спама, подмена SIM-карт, боты для поддельных уведомлений и многое другое — часто на условиях аренды/подписки. Использование API Telegram обеспечивает анонимность и мгновенное развертывание.

3. Журналы похитителей информации стали облачными потоками данных ​

Киберпреступные торговые площадки превратили украденные данные в своего рода облачные платформы. Раньше украденные учётные данные могли продаваться в отдельных сообщениях на форумах или через пакетные дампы баз данных. Теперь специализированные платформы собирают миллионы журналов вредоносных программ для кражи информации и предоставляют их через веб-интерфейсы.

Например, на одном рынке киберпреступники могут искать и фильтровать украденные данные для входа по географическому признаку, операционной системе, семейству вредоносных программ или даже конкретным доменным именам, что очень похоже на выполнение запросов к облачной базе данных.

Exodus Market — поисковая лента журналов похитителей информации
Этот рынок даркнета прошёл путь от продажи отдельных взломов RDP до масштабной торговли журналами кражи информации, что стало более прибыльным предложением, похожим на подписку. Доступ к этим платформам часто ограничен, и покупателям приходится платить членские взносы или депозиты, фактически подписываясь на поток свежих украденных данных.

4. Брокеры доступа превращают сетевые нарушения в товар ​

Не так давно киберпреступнику, пытавшемуся взломать корпоративную сеть, приходилось выполнять сложную работу самостоятельно: находить уязвимость, фишинговать инсайдера или кропотливо взламывать сеть. Сегодня посредники по первичному доступу (IAB) превратили доступ к сети в товар, который покупается и продается оптом.

Эти брокеры специализируются на проникновении в организации (через украденные учетные данные VPN, скомпрометированные RDP-серверы, бэкдоры веб-шеллов и т. д.) и поддержании наличия готового доступа. Затем они продают или сдают этот доступ в аренду другим злоумышленникам, например, группировкам, занимающимся вирусами-вымогателями, часто через полуофициальные торговые площадки. Этот бизнес настолько развился, что некоторые брокеры предлагают многоуровневые тарифы и пакеты подписки для постоянных клиентов.

Темы IAB — начальные списки доступа и уровни
Злоумышленник может платить за постоянный поток новых точек доступа к сети, фактически подписываясь на поток взломанных устройств. Ведущие брокеры ведут свою деятельность как профессиональные сервисы: они проверяют и классифицируют каждый доступ (по уровню привилегий, администратор домена или обычный пользователь и т. д.), предоставляют покупателям скриншоты или доказательства и даже предлагают поддержку клиентов или замену в случае закрытия доступа.

В отличие от старого метода, когда каждая жертва взламывала систему самостоятельно, IAB позволяют злоумышленникам просто подписаться на возможности взлома. Превращение первоначального доступа в товар означает, что потенциальный злоумышленник может войти в систему, а не взломать её, превращая сетевые взломы в масштабируемый сервис по запросу для других киберпреступников.

5. Расширенные инструменты доступны за низкую абонентскую плату. ​

Пожалуй, самым явным признаком изменения подхода к киберпреступности к подписке является возможность аренды продвинутых хакерских инструментов по выгодным ценам. Доступ к высококлассному вредоносному ПО, которое раньше требовало серьёзных вложений или опыта программирования, теперь можно получить с помощью недорогого ежемесячного тарифа.

новый троян удаленного доступа (RAT) Atroposia . Возьмем в качестве примера

Этот многофункциональный RAT, предлагающий скрытое управление рабочим столом, кражу учётных данных, атаки без файлов и т.д., продаётся по принципу SaaS. Создатели Atroposia берут около 200 долларов США в месяц за доступ к вредоносной программе и её веб-панели управления. На более длительные периоды предоставляются скидки (три месяца за 500 долларов США, шесть месяцев за 900 долларов США), что соответствует цене подписки на легальное ПО. За эту цену неквалифицированный злоумышленник получает инструмент, готовый к использованию, разработка или покупка которого раньше обошлись бы гораздо дороже.

Atroposia RAT — подписной набор инструментов для удаленного доступа
Авторы вредоносных программ теперь также предлагают сборщики и наборы эксплойтов (для таких вещей, как вредоносные документы Office или пользовательские загрузчики) по модели подписки, гарантируя клиентам всегда доступ к последней версии.

Конечным результатом стало то, что барьер для сложных атак резко снизился.

Вместо того, чтобы вкладывать огромные суммы в разработку вредоносного ПО на заказ или тратить месяцы на разработку и тестирование новой RAT, злоумышленник может арендовать современные инструменты, такие как MatrixPDF (для эксплойтов на основе PDF-файлов) или Atroposia RAT, за небольшие ежемесячные деньги. Раньше только хорошо обеспеченные или высококвалифицированные преступники могли использовать такие передовые методы, тогда как теперь простота киберпреступности стала настоящим преимуществом.

Новая экономика подписки киберпреступников ​

К сожалению, киберпреступность превратилась в полностью развитую сферу услуг.

Эта модель подписки преобразовала то, что раньше было разрозненным ландшафтом, включая фишинговые наборы, журналы похитителей информации и продажи доступа, в доступный и востребованный набор инструментов. Злоумышленникам больше не нужно писать код, размещать инфраструктуру или даже понимать используемое вредоносное ПО. Они просто платят ежемесячную плату и работают как клиенты в теневой SaaS-экосистеме.

Чтобы оставаться впереди, экспертам по кибербезопасности и защитникам необходимо мыслить одинаково: прежде всего, система.

Это означает автоматизацию сценариев обнаружения, регулярную ротацию учётных данных и применение принципа наименьших привилегий по умолчанию — не время от времени, а постоянно. Чем более масштабируемой, повторяемой и адаптивной становится защита, тем сложнее злоумышленникам добиться успеха.