Werving van ransomware-affiliates: de arbeidsmarkt achter RaaS-merken
Wanneer een nieuw ransomware-merk verschijnt, is de versleutelingscode zelden het nieuws. Wat een merk allereerst nodig heeft, zijn affiliates: operatoren die hun eigen indringingen in bedrijfsnetwerken meebrengen, hun eigen onderhandelingen voeren en het merk een deel van elke losprijs afstaan. Het wervingsspoor dat die merken achterlaten - vastgepinde forumdraadjes, regelpagina's, Telegram-kanalen - is een van de beter gedocumenteerde delen van het ecosysteem en leest minder als malwaredistributie dan als een arbeidsmarkt.
Waar de advertenties draaien
Het belangrijkste toneel is een handvol Russischtalige forums: Exploit, XSS en RAMP. Over ransomware praten is op de topfora officieel verboden, dus adverteerders grijpen naar gecodeerde taal. Flashpoint documenteerde het patroon in 2021: gebruikers die aanboden VPN-, Citrix- en RDP-toegangen “voor een percentage van de winst” te kopen, terwijl ze zichzelf omschreven als “een team van ervaren pentesters”; een van hen voerde eerder werk voor DarkSide aan als referentie. De studie van ReliaQuest uit 2022 naar de wervingstrekker beschrijft vastgepinde RaaS-draadjes waarin het woord ransomware op Exploit en XSS taboe is - groepen schrijven dat ze “pentesters zoeken” - terwijl RAMP alle details toestaat. Toen RansomHub van start ging, spoorde Recorded Future de eerste advertentie op tot een gebruiker genaamd koley, die hem begin februari 2024 op RAMP plaatste; ten tijde van de analyse claimde het merk 45 slachtoffers in 18 landen. Telegram vervoert inmiddels een groot deel van hetzelfde verkeer. Een analyse van Cyfirma uit februari 2026 beschrijft ransomware-kanalen die “affiliateprogramma's adverteren, commissiestructuren uiteenzetten, doelbeperkingen publiceren” - uitgesloten regio's en sectoren - naast access-brokers die VPN-, RDP- en cloud-ingangen verkopen. De samenvatting van het rapport over de arbeidsverdeling: forums leveren zichtbaarheid, Telegram “regelt de uitvoering”.De geboden regeling
De geadverteerde verdelingen geven de affiliate de duidelijke meerderheid. LockBit betaalde in 2022 80 procent van elke geïnde losprijs, volgens ReliaQuest. Recorded Future noemt de 90 procent van RansomHub “het hoge eind van de gebruikelijke bandbreedte van 80-90% in de RaaS-markt” - een tarief dat “waarschijnlijk ervaren affiliates van andere platforms aantrekt”. In 2025 formaliseerde het merk Anubis drie modi: klassiek RaaS met een aandeel van 80 procent, een afpersingsdienst die alleen data gijzelt en een toegangsregeling die 50 procent van de losprijs betaalt aan wie de eerste toegang leverde. Het restant van de operator betaalt het pakket: de encryptor en builder, de hosting van de leak-site, ondersteuning bij onderhandelingen en een merknaam die extra druk zet in gesprekken met slachtoffers. Extras horen bij de pitch. Recorded Future meldt dat Qilin medio 2025 een “Call Lawyer”-dienst introduceerde die affiliates juridisch advies biedt over hoe ze slachtoffers tijdens onderhandelingen kunnen intimideren. LockBit bood in zijn wervingscampagne van 2022 duizend dollar aan forumgebruikers die het groepslogo lieten tatoeëren; minstens drie deden dat.De zeef van kandidaten
De werving wordt op meerdere momenten gefilterd. Sommige leak-sites hebben een “Contact Us”-formulier dat ReliaQuest “de criminele tegenhanger van een motivatiebrief” noemt; anderen noemen alleen versleutelde contacten, wat “als voorselectietest kan dienen en de groenste kandidaten eruit filtert”. Wie die stap haalt, komt terecht bij wat het rapport beschrijft als waarschijnlijk een anoniem interview, en een afwijzing komt zonder toelichting. LockBit sloeg advertenties over en publiceerde in plaats daarvan een regelpagina voor affiliates van 2.376 woorden over doelkeuze en sollicitatieprocedure. Aan de Telegram-kant, meldt Cyfirma, zoeken wervers “pentesters of vertrouwde partners” en eisen soms een forumreputatie of een borgsom voordat ze meewerken.Werven na takedowns
De gelederen van affiliates worden herschud telkens wanneer rechtshandhaving toehaalt. Na de inbeslagname van LockBits infrastructuur en de exit scam van ALPHV begin 2024 stortte BlackBasta in februari 2025 in na een gelekte chatlog, en RansomHub ontbond zich eind maart 2025 abrupt - volgens Recorded Future liet die ontbinding “slachtoffers midden in de onderhandeling en affiliates in de war achter”. De affiliates gingen ergens heen: BlackBasta-leden zouden zijn verhuisd naar Akira, met wie ze al banden hadden; Group-IB achtte het aannemelijk dat een deel van de RansomHub-affiliates bij Qilin aansloot, wijzend op een piek in geclaimde slachtoffers; DragonForce beweerde de infrastructuur en affiliates van RansomHub te hebben opgenomen onder een “kartel”-model waarin affiliates hun eigen merk houden.“Een nieuwe groep vervangt de groep die is gestopt en neemt vaak de leden van de opgeheven groep op.” - Securelist van Kaspersky over de malware-as-a-service-markt, 2023