Ransomware affiliate toplama: RaaS markalarının ardındaki iş gücü piyasası
Yeni bir ransomware markası ortaya çıktığında haber genellikle şifreleme kodu olmaz. Markanın öncelikle ihtiyacı olan şey affiliatedir: kendi sızmalarını kurumsal ağlara getiren, kendi pazarlıklarını yürüten ve her fidyeden markaya pay veren operatörler. Bu markaların bıraktığı işe alım izi - forumlarda sabitlenmiş konular, kural sayfaları, Telegram kanalları - ekosistemin en iyi belgelenmiş kısımlarından biridir ve malware dağıtımından çok bir iş gücü piyasası gibi okunur.
İlanların yayınlandığı yerler
Ana sahne bir avuç Rusça forum: Exploit, XSS ve RAMP. Üst kademe forumlarda ransomware konuşmak resmi olarak yasak; bu yüzden reklam verenler şifreli dile başvuruyor. Flashpoint bu deseni 2021'de belgelemişti: VPN, Citrix ve RDP erişimlerini “kârın bir yüzdesi karşılığında” satın almayı teklif eden ve kendilerini “deneyimli pentesterlerden oluşan bir ekip” olarak tanımlayan kullanıcılar; biri referans olarak DarkSide ile geçmiş çalışmalarına atıfta bulunuyordu. ReliaQuest'in 2022 tarihli işe alım hunisi çalışması, Exploit ve XSS'te ransomware kelimesinin yasak olduğu sabitlenmiş RaaS konularını - gruplar “pentester arıyoruz” yazıyor - RAMP'ın ise tüm ayrıntılara izin verdiğini anlatıyor. RansomHub fırlatıldığında Recorded Future ilk ilanı, Şubat 2024'ün başında RAMP'ta yayınlayan koley adlı bir kullanıcıya kadar izledi; analizin yapıldığı tarihte marka 18 ülkede 45 kurban iddia etmiş durumdaydı. Telegram artık aynı trafiğin büyük bölümünü taşıyor. Cyfirma'nın Şubat 2026'da yayımladığı bir analiz, “affiliate programlarına reklam veren, komisyon yapılarını açıklayan, hedef kısıtlamaları yayınlayan” ransomware kanallarını - hariç tutulan bölgeler ve sektörler - VPN, RDP ve bulut giriş noktaları satan erişim brokerlerinin yanına koyuyor. Raporun iş bölümü özeti: forumlar görünürlük sağlar, Telegram “uygulamayı yürütür”.Önerilen pay
Reklam edilen paylar açık çoğunluğu affiliate'a bırakıyor. ReliaQuest'e göre LockBit 2022'de toplanan her fidyenin yüzde 80'ini ödüyordu. Recorded Future, RansomHub'ın yüzde 90'ını “RaaS piyasasında görülen tipik %80-90 aralığının üst ucu” olarak tanımlıyor - “diğer platformlardan deneyimli affiliate'leri çekmesi muhtemel” bir oran. 2025'te Anubis markası üç modu resmileştirdi: yüzde 80 payla klasik RaaS, yalnızca veriye dayalı bir şantaj hizmeti ve ilk girişi sağlayan kişiye fidyenin yüzde 50'sini ödeyen bir erişim sağlama düzeni. Operatörün arta kalan payı paketi karşılıyor: şifreleyici ve builder, leak sitesi barındırma, pazarlık desteği ve kurban görüşmelerine baskı katan marka adı. Ekstra olanaklar da teklifin parçası. Recorded Future, Qilin'in 2025 ortasında affiliate'lere pazarlıklar sırasında kurbanları korkutma konusunda hukuki danışmanlık sunan “Call Lawyer” adlı bir hizmet başlattığını aktarıyor. LockBit 2022'deki işe alım hamlesinde grup logosunu dövme yaptırmaya hazır forum kullanıcılarına 1.000 dolar teklif etti; en az üçü yaptırdı.Adayların elenmesi
İşe alım birkaç aşamada süzülüyor. Bazı leak sitelerinde ReliaQuest'in “suçlular açısından bir ön yazı karşılığı” dediği bir “Contact Us” formu var; diğerleri yalnızca şifreli iletişim yolları listeliyor, bu da “ön eleme testi işlevi görerek acemi adayları eleyebiliyor”. Bu aşamayı geçenler, raporun büyük olasılıkla anonim bir görüşme olarak tanımladığı aşamaya geçiyor ve ret, açıklamasız geliyor. LockBit ilan vermek yerine hedef seçimini ve başvuru sürecini kapsayan 2.376 kelimelik bir affiliate kural sayfası yayımladı. Telegram tarafında ise Cyfirma, avcıların “pentester veya güvenilir ortak” aradığını ve iş birliğinden önce bazen forum itibarı ya da depozito istediğini not ediyor.Çöküşlerden sonra transfer yarışı
Affiliate kadroları her yaptırım darbesinde yeniden karışıyor. 2024 başında LockBit'in altyapısına el konulmasının ve ALPHV'nin exit scam'inin ardından BlackBasta, Şubat 2025'te sızdırılan sohbet kayıtlarının ardından çöktü; RansomHub ise Mart 2025 sonunda aniden dağıldı - Recorded Future'ın anlatımıyla bu dağılma “kurbanları pazarlığın ortasında, affiliate'leri ise darmadağın bıraktı”. Affiliate'ler bir yere gitti: BlackBasta üyelerinin daha önce bağı olduğu Akira'ya geçtiği değerlendirildi; Group-IB, RansomHub affiliate'lerinin bir bölümünün kurban iddialarındaki artışı göstererek Qilin'e katılmış olabileceğini öne sürdü; DragonForce ise RansomHub'ın altyapısını ve affiliate'lerini, affiliate'lerin kendi markasını korumasına izin veren bir “kartel” modeliyle bünyesine kattığını iddia etti.“Yeni bir grup, faaliyeti durdurulan grubun yerini alır ve çoğu zaman dağılan grubun üyelerini bünyesine katar.” - Kaspersky'nin Securelist'i, malware-as-a-service pazarı üzerine, 2023