RaaS — это модель киберпреступного сервиса, при которой создатели программ-вымогателей предоставляют вредоносный код другим злоумышленникам за плату или долю от выкупа. Проще говоря, один участник пишет и обслуживает инструмент, другой проводит атаку.
Такая схема снизила порог входа в атаки с шифрованием данных и утечкой информации. Из-за этого программы-вымогатели распространяются быстрее, а число групп и отдельных исполнителей растет. Ниже — как устроен RaaS, чем он опасен и какие меры снижают риск инцидента.
Содержание статьи
Что означает ransomware as a service
Ransomware as a service переводится как «программа-вымогатель как услуга». Это преступная модель, в которой операторы разрабатывают и поддерживают вредоносное ПО, а аффилиаты используют его в своих атаках.
Логика здесь похожа на легальные облачные сервисы по подписке. Пользователь получает готовый инструмент, документацию, иногда панель управления и поддержку. Только в случае RaaS речь идет о вымогательстве, шифровании данных, краже файлов и требованиях выкупа.
Операторов RaaS часто называют разработчиками или администраторами платформы. Исполнителей атак — аффилиатами. Эти роли могут быть разделены: одни создают код, другие ищут жертв, получают доступ в сеть, запускают шифрование и ведут переговоры.
Как работает модель RaaS
RaaS работает по сервисной схеме: оператор готовит вредоносный набор, а аффилиат получает доступ к нему на платной или партнерской основе. После этого аффилиат использует набор для атаки на выбранную организацию.
На практике цепочка выглядит так: создается программа-вымогатель, инфраструктура для управления заражениями и механизм получения платежей. Затем этот набор размещают в закрытых каналах и на теневых площадках, где ищут исполнителей. После подключения аффилиат получает инструменты для развертывания атаки и иногда помощь по ходу инцидента.
Во многих схемах аффилиат получает не только сам вредоносный файл. Ему могут дать панель для отслеживания заражений, шаблоны записок с требованием выкупа, средства связи с жертвой и инструкции по работе с криптовалютными платежами.
Какие модели оплаты используют операторы
У RaaS нет одной схемы монетизации. Чаще всего применяют подписку, разовый платеж, партнерскую модель или раздел выкупа между сторонами.
- Ежемесячная подписка — аффилиат регулярно платит за доступ к инструментам и панели управления.
- Разовый платеж — код или набор продают один раз без постоянной абонентской платы.
- Партнерская программа — сочетается фиксированный платеж и доля от полученного выкупа.
- Раздел прибыли — входного платежа нет, оператор забирает часть каждой выплаты жертвы.
Для операторов такая модель удобна: им не нужно самим проводить каждую атаку. Для аффилиатов выгода тоже очевидна — не требуется писать собственный шифровальщик и строить инфраструктуру с нуля.
Что обычно входит в набор RaaS
Набор RaaS — это не один исполняемый файл, а комплект средств для атаки и вымогательства. Уровень сервиса у крупных операторов может быть очень высоким.
| Компонент | Зачем нужен |
| Вредоносный код | Шифрует данные, нарушает работу систем, иногда крадет файлы до шифрования |
| Панель управления | Позволяет следить за заражениями и управлять кампаниями |
| Средства связи | Используются для переговоров с жертвой и передачи инструкций по оплате |
| Платежная инфраструктура | Нужна для приема выкупа, обычно в криптовалюте |
| Поддержка | Помогает аффилиату на этапе запуска, шифрования и давления на жертву |
В некоторых случаях операторы добавляют закрытые форумы или каналы, где участники обмениваются тактиками, способами обхода защиты и результатами атак.
Почему RaaS стал серьезной угрозой
Главная причина роста RaaS — резкое снижение технического барьера. Чтобы начать атаку, исполнителю уже не всегда нужно уметь писать вредоносный код или поддерживать сложную инфраструктуру.
Это привело к разделению ролей в киберпреступной среде. Одни специализируются на разработке шифровальщиков. Другие — на первоначальном доступе в сеть. Третьи — на переговорах и давлении на жертву. Из-за такой специализации атаки запускаются быстрее.
Проблема усугубляется тем, что одна и та же программа может использоваться разными группами. Атрибуция становится менее точной: защитникам труднее быстро понять, кто именно стоит за инцидентом, какие у нападавших привычки и какие шаги ожидать дальше.
Чем RaaS отличается от одиночных атак вымогателей
При одиночной атаке одна группа часто сама пишет код, сама проникает в сеть и сама требует выкуп. В модели RaaS эти функции разделены между несколькими участниками.
Такое разделение повышает устойчивость преступной схемы. Задержание одного аффилиата не обязательно останавливает оператора. А если закрывают оператора, часть исполнителей может быстро перейти к другому набору или сменить название кампании.
Какие проблемы RaaS создает для специалистов по безопасности
RaaS усложняет защиту из-за неясной атрибуции, высокой скорости атак, устойчивости преступной инфраструктуры и новых методов давления на жертву. Инцидент может развиваться быстрее, чем раньше, а его источник бывает трудно установить сразу.
Если в классической схеме защитники анализируют действия одной группы, то в случае RaaS приходится учитывать несколько ролей. Первичный доступ могли получить одни злоумышленники, шифровальщик написать другие, а переговоры вести третьи. Это затрудняет расследование и подбор точных мер сдерживания.
Размытая атрибуция
Один и тот же вредоносный набор могут запускать разные аффилиаты. Поэтому совпадение по коду еще не всегда указывает на конкретную группу.
Для аналитиков это создает практическую проблему. По заметке с требованием выкупа, домену или образцу шифровальщика не всегда можно быстро понять, кто именно стоит за атакой, какие методы закрепления в сети использованы и где искать следы присутствия.
Разделение труда между злоумышленниками
RaaS усилил специализацию. Отдельно действуют брокеры доступа, отдельно — разработчики, отдельно — аффилиаты, которые запускают атаку внутри сети.
Брокеры доступа продают или передают точки входа в уже скомпрометированные системы. Это ускоряет старт атаки. Исполнителю не нужно тратить недели на поиск уязвимого сервиса или на фишинговую подготовку, если готовый доступ уже есть.
Более устойчивые схемы вымогательства
RaaS-сети легче переживают потери. Если одна часть структуры выходит из игры, остальная продолжает работу под другим названием, с другой инфраструктурой или на базе нового набора.
Поэтому закрытие одной группы не означает исчезновение методов и участников. Наработки, связи и каналы распространения могут перейти в другой проект.
Давление через утечки данных
Современные атаки часто строятся не только на шифровании. Злоумышленники сначала копируют чувствительные данные, а потом угрожают публикацией.
Для жертвы это отдельный риск. Даже если резервные копии позволяют восстановить системы, угроза раскрытия персональных данных, коммерческой информации или внутренних документов сохраняется. Из-за этого давление на организацию усиливается.
Какие известные варианты RaaS чаще всего упоминаются
Среди наиболее известных операторов и семейств RaaS часто называют Tox, LockBit, DarkSide, REvil, Ryuk, Hive, Black Basta, CL0P и Eldorado. Список меняется, потому что группы закрываются, дробятся, переименовываются и возвращаются под новыми названиями.
Ниже приведены варианты, которые регулярно фигурировали в отчетах и расследованиях в разные годы.
Tox
Tox обычно упоминают как один из ранних примеров модели RaaS. Он стал заметным ориентиром для последующих сервисных схем в вымогательстве.
LockBit
LockBit долго оставался одним из самых распространенных вариантов RaaS. Его часто связывали с фишингом и активной работой с аффилиатами.
Эта группа привлекала внимание еще и тем, что пыталась расширять сеть исполнителей через вербовку и партнерские схемы.
DarkSide
DarkSide получил широкую известность после атаки на Colonial Pipeline в 2021 году. Позже деятельность группы прекратилась, а затем появился связанный по происхождению набор BlackMatter.
REvil или Sodinokibi
REvil, также известный как Sodinokibi, был связан с крупными инцидентами 2021 года. Эта группа долгое время считалась одной из самых заметных на рынке вымогателей как услуги.
Ryuk
Ryuk тоже входил в число крупных операций до прекращения активности. После этого на сцене появились другие семейства, связанные с участниками прежних кампаний.
Hive
Hive стал особенно заметен в 2022 году. Его активность затрагивала в том числе финансовые организации и здравоохранение.
Black Basta
Black Basta быстро набрал известность после появления в 2022 году. Для него были характерны целевые атаки и двойное вымогательство, когда жертве угрожают и шифрованием, и публикацией данных.
CL0P
CL0P широко обсуждался в 2023 году после эксплуатации уязвимости в MOVEit. Инциденты с этим названием затронули данные большого числа людей.
Eldorado
Eldorado появился в публичном поле в 2024 году после объявления на форуме, связанном с вымогателями. За короткий срок его начали связывать с атаками на организации в США и Европе.
Как снизить риск атак RaaS
Защита от RaaS строится на базовых мерах кибербезопасности: подготовка к инцидентам, контроль доступа, резервное копирование, обучение сотрудников и быстрое обнаружение аномалий. Отдельного универсального средства против RaaS нет.
Сервисная модель упростила жизнь нападающим, но не отменила их зависимость от типичных точек входа: фишинга, уязвимых сервисов, слабой сегментации сети, компрометации учетных записей и ошибок в настройке доступа.
Какие меры дают наибольший эффект
Наиболее полезны меры, которые мешают атаке на ранней стадии, ограничивают перемещение внутри сети и ускоряют восстановление. Особенно важны резервные копии, многофакторная аутентификация и мониторинг аномалий.
- Подготовить план реагирования на инцидент. В нем должны быть роли, порядок изоляции систем, каналы связи и сценарии принятия решений.
- Включить обнаружение аномалий. Резкое удаление резервных копий, массовое шифрование файлов и нетипичные действия учетных записей нужно видеть сразу.
- Сократить поверхность атаки. Для этого проводят оценку уязвимостей и своевременно устанавливают исправления.
- Обучать сотрудников. Фишинг, социальная инженерия и вредоносные ссылки по-прежнему остаются частыми точками входа.
- Ужесточить контроль доступа. Нужны многофакторная аутентификация, сегментация сети и принцип минимальных привилегий.
- Поддерживать автономные резервные копии. Копии должны храниться так, чтобы атакующий не мог быстро удалить или зашифровать их вместе с основной средой.
- Подключать правоохранительные органы и профильных специалистов. Это помогает в локализации инцидента и расследовании.
Почему резервные копии не решают всю проблему
Бэкапы снижают ущерб от шифрования, но не устраняют риск утечки. Если злоумышленники уже скопировали чувствительные данные, восстановление систем не отменяет сам факт компрометации информации.
Поэтому защита от RaaS не сводится к одной мере. Нужны и предотвращение проникновения, и контроль прав доступа, и быстрый анализ аномалий, и понятный порядок действий после обнаружения атаки.
Краткий вывод
RaaS — это рынок услуг для программ-вымогателей, где разработчики и исполнители атак разделяют роли, доход и риски. Такая модель ускорила распространение вымогательства, усложнила атрибуцию и повысила значение базовых мер защиты.
Для организаций главный практический вывод прост: критичны раннее обнаружение, сегментация, резервные копии, жесткий контроль доступа и готовый план реагирования. Эти меры не исключают атаку полностью, но заметно снижают шанс тяжелого сценария.
