Вредоносное ПО как услуга (MaaS) — криминальная бизнес-модель, при которой разработчики сдают в аренду или продают другим преступникам готовые вредоносы, инфраструктуру и поддержку, обычно по подписке.
Как работает MaaS
MaaS копирует модель SaaS легитимных компаний. Разработчик создаёт и сопровождает вредонос, а доступ к нему продаёт на подпольных форумах и в Telegram-каналах. Клиенты обычно получают:
- билдер для генерации свежих, уникально упакованных образцов;
- веб-панель для управления заражёнными машинами и выгрузки украденных данных;
- хостинг для командных серверов, часто на абузоустойчивом хостинге;
- обновления для обхода антивирусов, документацию и техподдержку.
Цены варьируются от ежемесячной подписки до пожизненной лицензии. Родственная модель — Ransomware as a Service, где партнёры делятся с разработчиками прибылью вместо фиксированной оплаты.
Почему MaaS важен
MaaS снижает порог входа: преступники без навыков программирования могут вести сложные кампании. Самые популярные предложения — инфостилеры вроде RedLine и Lumma, загрузчики, трояны удалённого доступа и банковские вредоносы для Android. Украденные в таких кампаниях учётные данные перепродаются и часто приводят к атакам шифровальщиков и утечкам данных. Правоохранительные органы всё чаще бьют по самим сервисам: операция Magnus в 2024 году нарушила работу RedLine и META, а в 2025 году Microsoft и международные партнёры изъяли тысячи доменов, использовавшихся Lumma.
Как защищаться от угроз MaaS
- Использовать EDR и поддерживать детектирование в актуальном состоянии: клиенты MaaS постоянно переупаковывают образцы.
- Предотвращать кражу учётных данных: не хранить пароли в браузерах на рабочих устройствах и требовать MFA.
- Обучать пользователей распознавать поддельные загрузки, взломанные программы и вредоносную рекламу — основные каналы распространения.
- Отслеживать утёкшие учётные данные и сессионные токены и быстро их отзывать.
