Программа-вымогатель как услуга ( RaaS ) — это бизнес-модель киберпреступности , в которой операторы программ-вымогателей пишут программное обеспечение, а филиалы платят за запуск атак с использованием этого программного обеспечения. [1] Филиалам не обязательно обладать собственными техническими навыками, они полагаются на технические навыки операторов. [2]
«Программы-вымогатели как услуга» — это киберпреступный вариант бизнес-модели « программное обеспечение как услуга ». [3]
Партнеры могут выбирать из различных моделей дохода, включая ежемесячные подписки, партнерские программы, единовременные лицензионные сборы и распределение чистой прибыли. Самые продвинутые операторы RaaS предоставляют порталы, которые позволяют их абонентам отслеживать статус заражений, платежей и зашифрованных файлов. Этот уровень поддержки и функциональности аналогичен законным продуктам SaaS. [4]
Рынок RaaS высококонкурентен: операторы проводят маркетинговые кампании и разрабатывают веб-сайты, имитирующие законные компании. Глобальный доход от атак программ-вымогателей в 2020 году составил около 20 миллиардов долларов, что подчеркивает значительный финансовый успех RaaS. [3]
Центр анализа угроз Microsoft (MSTIC) считает, что RaaS отличается от предыдущих форм программ-вымогателей, поскольку у него больше нет жесткой связи между инструментами, начальным вектором проникновения и выбором полезной нагрузки. [5] Они считают, что у них есть двойная угроза: шифрование данных, их эксфильтрация и угроза публикации. [5]
Злоумышленники, использующие программы-вымогатели, используют различные методы для вымогательства денег у жертв. Некоторые из основных методов включают в себя:
При двойной атаке с использованием программы-вымогателя злоумышленники сначала шифруют данные жертвы. Затем они угрожают публично обнародовать украденные данные, если выкуп не будет выплачен. Это оказывает дополнительное давление на жертву, заставляя ее платить выкуп во избежание утечки конфиденциальных данных. [6]
Согласно анализу компании Zscaler , занимающейся кибербезопасностью , в 2021 году 19 семейств программ-вымогателей применили методы двойного или множественного вымогательства. К 2022 году это число выросло до 44 семейств, использующих эту технику. Такие группы, как Babuk и SnapMC, стали пионерами программ-вымогателей с двойным вымогательством. Позже его переняли и другие актеры, такие как RansomHouse, BianLian и Karakurt. [6]
Множественное вымогательство является разновидностью двойного вымогательства. Помимо шифрования данных и угроз их утечки, злоумышленники также проводят DDoS-атаки на веб-сайт или инфраструктуру жертвы. Это добавляет еще один элемент давления на жертв, чтобы они заплатили. [6]
При атаке «чистого вымогательства» или «программы-вымогателя без шифрования» злоумышленники крадут конфиденциальные данные, но не шифруют файлы. Они угрожают опубликовать украденные данные в Интернете, если выкуп не будет выплачен. Такой подход позволяет злоумышленникам пропустить сложную техническую работу по разработке шифраторов. [6]
Такие группы, как LAPSUS$ и Clop, использовали чистые методы вымогательства в громких атаках. Поскольку системы жертв не заблокированы, этот метод обычно вызывает меньше нарушений и привлекает меньше внимания со стороны властей. Однако финансовые последствия для целевых организаций по-прежнему могут быть серьезными. [6]
Несколько хорошо известных примеров комплектов RaaS включают Hive, DarkSide, REvil (также известный как Sodinokibi), Dharma и LockBit . Эти операторы постоянно развиваются и создают новые версии программ-вымогателей, чтобы максимизировать их эффективность. [7]
Примеры комплектов RaaS включают Locky , Goliath, Shark, Stampado, Jokeroo и Encryptor. [1]
Hive привлек внимание в апреле 2022 года, когда они нацелились на клиентов Microsoft Exchange Server. Министерство юстиции США конфисковало два сервера, принадлежащие Hive, нарушив их работу. [3]
DarkSide в первую очередь предназначался для компьютеров под управлением Windows , но распространился и на системы Linux . Они получили известность после инцидента с Colonial Pipeline, когда организация заплатила почти 5 миллионов долларов филиалу DarkSide. [3]
REvil связан с PINCHY SPIDER и стал известен тем, что потребовал один из самых крупных выкупов в истории: 10 миллионов долларов. [3]