Вымогатель как услуга (RaaS, Ransomware-as-a-Service) — преступная бизнес-модель, в которой разработчики программ-вымогателей сдают свою вредоносную программу и инфраструктуру «партнёрам», а те проводят атаки за долю выкупа.
Как работает RaaS
Операторы создают и поддерживают всю инфраструктуру:
- шифровальщик и дешифратор;
- платёжный портал и чат для переговоров;
- сайт утечек.
Партнёры (аффилиаты) проникают в сети жертв и запускают шифровальщик. Часто они покупают доступ у брокеров первичного доступа или используют учётные данные, украденные инфостилерами.
Выкуп делится, обычно партнёру достаётся 70–80%. У некоторых программ есть объявления о наборе, поддержка и правила — например, запрет атаковать определённые страны или отрасли.
Почему это важно для безопасности
RaaS превратил вымогательство в индустрию. Самым сильным разработчикам больше не нужно никого взламывать, а партнёры среднего уровня получают профессиональные инструменты. Известные программы — REvil, DarkSide, Conti, LockBit, BlackCat (ALPHV). Когда один бренд закрывают, партнёры переходят к другому, и число атак почти не снижается.
У правоохранителей есть заметные успехи:
- в феврале 2024 года операция Cronos изъяла инфраструктуру и сайт утечек LockBit и опубликовала ключи расшифровки;
- BlackCat развалился через «exit scam» после того, как, по сообщениям, получил выкуп 22 млн долларов от Change Healthcare.
Партнёры используют разные способы проникновения, поэтому атаки под одним брендом могут сильно отличаться.
Как защититься
- Закройте типовые точки входа: открытые RDP и VPN, необновлённые пограничные устройства, украденные учётные данные.
- Ищите признаки ручного проникновения до шифрования: новые админ-аккаунты, средства удалённого доступа, массовую выгрузку данных.
- Держите изолированные резервные копии и договор с командой реагирования на инциденты.
- Сообщайте об атаках в правоохранительные органы: после изъятия инфраструктуры иногда появляются бесплатные дешифраторы.
