Вербування афіліатів ransomware: ринок праці за брендами RaaS
Коли з'являється новий бренд-вимагач, код шифрування рідко стає новиною. Насамперед бренду потрібні афіліати: оператори, які приносять власні проникнення в корпоративні мережі, самі ведуть переговори та віддають бренду частку з кожного викупу. Слід вербування, який залишають такі бренди, - закріплені треди на форумах, сторінки правил, канали в Telegram - одна з найкраще задокументованих частин екосистеми, і читається вона не як поширення шкідливого ПЗ, а як ринок праці.
Де публікують оголошення
Головна сцена - кілька російськомовних форумів: Exploit, XSS і RAMP. Про шифрувальників на топових форумах офіційно говорити заборонено, тож рекламодавці вдаються до умовної мови. Flashpoint задокументував цю схему ще 2021 року: користувачі пропонували викупити доступи VPN, Citrix і RDP «за відсоток від прибутку», описуючи себе як «команду досвідчених пентестерів»; один посилався на минулу роботу з DarkSide як на рекомендацію. Дослідження ReliaQuest 2022 року про воронку вербування описує закріплені RaaS-треди, де слово ransomware на Exploit і XSS під забороною - групи пишуть, що «шукають пентестерів», - тоді як RAMP дозволяє будь-які деталі. Коли запускався RansomHub, Recorded Future простежив його перше оголошення до користувача на ім'я koley, який розмістив його на RAMP на початку лютого 2024 року; на момент аналізу бренд заявляв про 45 жертв у 18 країнах. Telegram тепер несе значну частину того самого трафіку. Аналіз Cyfirma, опублікований у лютому 2026 року, описує канали вимагачів, які «рекламують афіліатські програми, викладають комісійні схеми, публікують обмеження щодо цілей» - виключені регіони та галузі - поруч із брокерами доступу, що продають точки входу VPN, RDP і хмарні. Підсумок звіту про поділ праці: форуми дають видимість, а Telegram «займається виконанням».Обіцяна частка
Рекламовані частки залишають афіліату явну більшість. LockBit у 2022 році, за даними ReliaQuest, платив 80 відсотків зібраного викупу. Recorded Future описує 90 відсотків RansomHub як «верхню межу типового для ринку RaaS діапазону 80-90 %» - ставку, яка «цілком може переманити досвідчених афіліатів з інших платформ». У 2025 році бренд Anubis формалізував три режими: класичний RaaS із часткою 80 відсотків, сервіс шантажу лише даними та схему надання доступу, що платить 50 відсотків викупу тому, хто добув первинний вхід. Залишкова частка оператора оплачує пакет: шифрувальник і білдер, хостинг leak-сайту, підтримку переговорів та ім'я бренду, що додає тиску в розмовах із жертвами. Частиною пропозиції стали й бонуси. Recorded Future зазначає, що Qilin у середині 2025 року запровадив сервіс «Call Lawyer» - юридичні консультації афіліатам, як залякувати жертв під час переговорів. LockBit у вербувальній кампанії 2022 року пропонував 1000 доларів користувачам форумів, готовим набити татуювання з логотипом групи; щонайменше троє це зробили.Перевірка кандидатів
Вербування фільтрується на кількох етапах. Частина leak-сайтів має форму «Contact Us», яку ReliaQuest називає «кримінальним еквівалентом супровідного листа»; інші вказують лише зашифровані контакти, що «може слугувати попереднім тестом на придатність, відсіюючи недосвідчених кандидатів». Ті, хто пройшов цей етап, переходять до того, що звіт описує як імовірно анонімну співбесіду, а відмова приходить без пояснень. LockBit обійшовся без оголошень, натомість опублікувавши сторінку правил для афіліатів на 2376 слів про вибір цілей і порядок подання заявок. У Telegram, зазначає Cyfirma, вербувальники шукають «пентестерів або довірених партнерів» і часом вимагають репутацію на форумах або заставу, перш ніж співпрацювати.Переманювання після тейкдаунів
Склади афіліатів перетасовуються з кожним ударом правоохоронців. Після захоплення інфраструктури LockBit і exit scam ALPHV на початку 2024 року BlackBasta розвалилася в лютому 2025-го після витоку листування, а RansomHub наприкінці березня 2025-го раптово саморозпустився - за словами Recorded Future, роспуск «залишив жертв посеред переговорів, а афіліатів - у розгубленості». Афіліатам довелося діватися кудись: учасники BlackBasta, за оцінками, перейшли до Akira, з якою мали давні зв'язки; Group-IB припустила, що частина афіліатів RansomHub приєдналася до Qilin, вказуючи на сплеск заявлених жертв; DragonForce заявила, що поглинула інфраструктуру та афіліатів RansomHub у межах моделі «картелю», яка дозволяє афіліатам зберігати власний бренд.«Нова група змінює ту, що припинила роботу, і часто приймає до своїх лав учасників вибулої». - Securelist («Лабораторія Касперського») про ринок malware-as-a-service, 2023