Rekrutacja afiliantów ransomware: rynek pracy za markami RaaS
Gdy pojawia się nowa marka ransomware, kod szyfrujący rzadko jest wiadomością. Czego marka potrzebuje najpierw, to afiliantów: operatorów, którzy przynoszą własne włamania do sieci korporacyjnych, sami prowadzą negocjacje i oddają marce część każdego okupu. Ślad rekrutacji, jaki zostawiają te marki - przypięte wątki na forach, strony z zasadami, kanały na Telegramie - to jedna z lepiej udokumentowanych części ekosystemu, a czyta się ją mniej jak dystrybucję malware, a bardziej jak rynek pracy.
Gdzie publikowane są ogłoszenia
Główną sceną jest garstka rosyjskojęzycznych forów: Exploit, XSS i RAMP. O ransomware na czołowych forach formalnie się nie mówi, więc reklamodawcy sięgają po szyfrowany język. Flashpoint udokumentował ten schemat już w 2021 roku: użytkownicy oferujący wykupienie dostępów VPN, Citrix i RDP „za procent zysku”, opisujący się jako „zespół doświadczonych pentesterów”; jeden powoływał się na wcześniejszą pracę z DarkSide jako na referencje. Badanie ReliaQuest z 2022 roku o lejku rekrutacyjnym opisuje przypięte wątki RaaS, w których słowo ransomware jest na Exploicie i XSS zakazane - grupy piszą, że „szukają pentesterów” - podczas gdy RAMP pozwala na pełne szczegóły. Gdy startował RansomHub, Recorded Future namierzyło jego pierwsze ogłoszenie u użytkownika o pseudonimie koley, który opublikował je na RAMP na początku lutego 2024 roku; w momencie analizy marka zgłaszała 45 ofiar w 18 krajach. Telegram przenosi dziś sporą część tego samego ruchu. Analiza Cyfirma opublikowana w lutym 2026 roku opisuje kanały ransomware, które „reklamują programy afiliacyjne, przedstawiają struktury prowizji, publikują ograniczenia dotyczące celów” - wykluczone regiony i branże - obok brokerów dostępu sprzedających punkty wejścia VPN, RDP i chmurowe. Wniosek raportu o podziale pracy: fora dają widoczność, a Telegram “zajmuje się wykonaniem”.Obiecany podział
Reklamowane podziały dają afiliantowi wyraźną większość. LockBit płacił w 2022 roku 80 procent każdego zebranego okupu, według ReliaQuest. Recorded Future opisuje 90 procent RansomHuba jako „górną granicę typowego na rynku RaaS przedziału 80-90%” - stawkę, która „może przyciągnąć doświadczonych afiliantów z innych platform”. W 2025 roku marka Anubis sformalizowała trzy tryby: klasyczny RaaS z udziałem 80 procent, usługę szantażu wyłącznie danymi oraz schemat zapewniania dostępu płacący 50 procent okupu temu, kto dostarczył wstępne wejście. Resztówka operatora opłaca pakiet: szyfrator i buildera, hosting leak-site'a, wsparcie negocjacji i nazwę marki, która dodaje presji w rozmowach z ofiarami. W pakiecie są też dodatki. Recorded Future odnotowuje, że Qilin wprowadził w połowie 2025 roku usługę „Call Lawyer” - doradztwo prawne dla afiliantów, jak zastraszać ofiary podczas negocjacji. LockBit w rekrutacyjnej ofensywie w 2022 roku oferował 1000 dolarów użytkownikom forów gotowych wytatuować sobie logo grupy; zrobiło to co najmniej trzech.Weryfikacja kandydatów
Rekrutacja jest filtrowana na kilku etapach. Część leak-site'ów prowadzi formularz „Contact Us”, który ReliaQuest nazywa „kryminalnym odpowiednikiem listu motywacyjnego”; inne podają wyłącznie zaszyfrowane kontakty, co „może służyć za wstępny test selekcyjny, odsiewając zielonych kandydatów”. Kto ten etap przejdzie, trafia na to, co raport opisuje jako najpewniej anonimową rozmowę, a odmowa przychodzi bez wyjaśnień. LockBit ominął ogłoszenia, publikując zamiast tego stronę zasad dla afiliantów na 2376 słów, opisującą dobór celów i procedurę aplikacji. Po stronie Telegrama, zauważa Cyfirma, rekruterzy szukają „pentesterów lub zaufanych partnerów” i bywa, że wymagają reputacji forumowej albo depozytu, zanim zaczną współpracować.Podkupowanie po takedownach
Składy afiliantów tasują się przy każdym ciosie wymiaru sprawiedliwości. Po przejęciu infrastruktury LockBitu i exit scamie ALPHV na początku 2024 roku BlackBasta runęła w lutym 2025 po wycieku logów czatów, a RansomHub pod koniec marca 2025 nagle się rozwiązał - według Recorded Future rozwiązanie „pozostawiło ofiary w połowie negocjacji, a afiliantów w zamieszaniu”. Afilianci musieli trafić gdzieś: członkowie BlackBasty mieli przejść do Akiry, z którą mieli już powiązania; Group-IB oceniła, że część afiliantów RansomHuba dołączyła do Qilina, wskazując na skok liczby zgłaszanych ofiar; DragonForce twierdziła, że wchłonęła infrastrukturę i afiliantów RansomHuba w ramach modelu „kartelu”, pozwalającego afiliantom zachować własną markę.„Nowa grupa zastępuje tę, która przestała działać, i często przyjmuje w swoje szeregi członków zlikwidowanej”. - Securelist (Kaspersky) o rynku malware-as-a-service, 2023