Recrutamento de afiliados de ransomware: o mercado de trabalho por trás das marcas RaaS
Quando uma nova marca de ransomware aparece, o código de criptografia raramente é a notícia. O que uma marca precisa primeiro são afiliados: operadores que trazem as próprias intrusões em redes corporativas, conduzem as próprias negociações e entregam à marca uma fatia de cada resgate. O rastro de recrutamento que essas marcas deixam - tópicos fixados em fóruns, páginas de regras, canais do Telegram - é uma das partes mais bem documentadas do ecossistema, e lê-se menos como distribuição de malware do que como um mercado de trabalho.
Onde os anúncios circulam
O palco principal é um punhado de fóruns em língua russa: Exploit, XSS e RAMP. Falar de ransomware é formalmente proibido nos fóruns de primeiro escalão, então os anunciantes recorrem a linguagem cifrada. A Flashpoint documentou o padrão em 2021: usuários oferecendo comprar acessos VPN, Citrix e RDP “por uma porcentagem do lucro”, descrevendo-se como “uma equipe de pentesters experientes”; um deles citava trabalho anterior com a DarkSide como credencial. O estudo da ReliaQuest de 2022 sobre o funil de recrutamento descreve tópicos fixados de RaaS em que a palavra ransomware é proibida no Exploit e no XSS - os grupos dizem buscar “pentesters” -, enquanto o RAMP permite todos os detalhes. Quando o RansomHub foi lançado, a Recorded Future rastreou seu primeiro anúncio até um usuário chamado koley, que o publicou no RAMP no início de fevereiro de 2024; até a análise, a marca reivindicava 45 vítimas em 18 países. O Telegram agora carrega boa parte do mesmo tráfego. Uma análise da Cyfirma publicada em fevereiro de 2026 descreve canais de ransomware que “anunciam programas de afiliados, expõem estruturas de comissão, publicam restrições de alvos” - regiões e setores excluídos - ao lado de corretores de acesso que vendem pontos de entrada VPN, RDP e em nuvem. O resumo do relatório sobre a divisão do trabalho: os fóruns dão visibilidade, enquanto o Telegram “cuida da execução”.A fatia oferecida
Os percentuais anunciados dão ao afiliado a clara maioria. A LockBit pagava em 2022 80 por cento de cada resgate arrecadado, segundo a ReliaQuest. A Recorded Future descreve os 90 por cento do RansomHub como “a parte alta da faixa típica de 80-90% vista no mercado RaaS” - uma taxa “capaz de atrair afiliados experientes de outras plataformas”. Em 2025, a marca Anubis formalizou três modalidades: RaaS clássico com fatia de 80 por cento, um serviço de extorsão apenas de dados e um esquema de fornecimento de acesso que paga 50 por cento do resgate a quem conseguiu a entrada inicial. A fatia residual do operador paga o pacote: o criptografador e o builder, a hospedagem do site de vazamentos, o apoio na negociação e um nome de marca que acrescenta pressão nas conversas com as vítimas. Os benefícios fazem parte do discurso. A Recorded Future observa que a Qilin introduziu em meados de 2025 um serviço “Call Lawyer”, oferecendo aos afiliados consultoria jurídica sobre como intimidar vítimas durante as negociações. A LockBit, em sua ofensiva de recrutamento em 2022, ofereceu US$ 1.000 a usuários de fóruns dispostos a tatuar o logo do grupo; pelo menos três o fizeram.A triagem dos candidatos
O recrutamento é filtrado em várias etapas. Alguns sites de vazamento mantêm um formulário “Contact Us” que a ReliaQuest chama de “o equivalente criminoso de uma carta de apresentação”; outros listam apenas contatos criptografados, o que “pode servir como um teste prévio de seleção, eliminando os candidatos mais verdes”. Quem passa dessa fase chega ao que o relatório descreve como provavelmente uma entrevista anônima, e a rejeição vem sem explicação. A LockBit dispensou anúncios e publicou em vez disso uma página de regras para afiliados de 2.376 palavras cobrindo metodologia de alvos e processo de candidatura. No lado do Telegram, a Cyfirma observa que os recrutadores buscam “pentesters ou parceiros de confiança” e às vezes exigem reputação em fóruns ou um depósito antes de cooperar.A caça a afiliados após as quedas
As listas de afiliados se embaralham a cada golpe da aplicação da lei. Após a apreensão da infraestrutura da LockBit e o exit scam da ALPHV no início de 2024, a BlackBasta colapsou em fevereiro de 2025 após um vazamento de registros de chat, e a RansomHub se dissolveu abruptamente no fim de março de 2025 - na conta da Recorded Future, a dissolução “deixou as vítimas no meio da negociação e os afiliados em desarranjo”. Os afiliados foram para algum lugar: membros da BlackBasta teriam migrado para a Akira, com quem já tinham laços; a Group-IB avaliou que alguns afiliados da RansomHub se juntaram à Qilin, citando um pico de vítimas reivindicadas; a DragonForce alegou ter absorvido a infraestrutura e os afiliados da RansomHub sob um modelo de “cartel” que permite aos afiliados manter a própria marca.“Um novo grupo substitui aquele que deixou de operar e, muitas vezes, acolhe os membros do extinto.” - Securelist, da Kaspersky, sobre o mercado de malware como serviço, 2023