勒索软件附属招募：RaaS品牌背后的劳动力市场
当一个勒索软件品牌出现时，新闻点很少是加密代码本身。品牌首先需要的是附属成员（affiliate）：带来自己入侵成果、自行开展谈判、并向品牌上缴每笔赎金分成的操作者。这些品牌留下的招募痕迹——论坛置顶帖、规则页面、Telegram频道——是生态系统中记录最完善的部分之一，读起来与其说是恶意软件分销，不如说是一个劳动力市场。
广告投放在哪里
主要舞台是少数俄语论坛：Exploit、XSS和RAMP。顶级论坛正式禁止勒索软件话题，于是广告主改用暗语。Flashpoint在2021年记录了这一模式：有用户提出以“利润分成”的方式收购VPN、Citrix和RDP访问权限，并自称“经验丰富的渗透测试团队”，其中一人还以曾与DarkSide合作为资历。 ReliaQuest 2022年对招募漏斗的研究描述了置顶的RaaS帖子：在Exploit和XSS上“勒索软件”一词是禁区——这些团体只说“寻找渗透测试人员”——而RAMP则允许完整细节。RansomHub上线时，Recorded Future将其首则广告追溯到2024年2月初在RAMP上发布广告、名为koley的用户；截至分析时，该品牌已在18个国家宣称45名受害者。 如今Telegram承载了其中大部分流量。Cyfirma在2026年2月发布的分析描述了勒索软件频道如何“宣传附属计划、列明佣金结构、公布目标限制”（排除特定地区和行业），旁边还有出售VPN、RDP和云入口的访问中介。报告对分工的总结是：论坛负责曝光，Telegram“负责执行”。开出的分成
广告中的分成让附属成员拿走明显的大头。据ReliaQuest，LockBit在2022年支付已收赎金的80%。Recorded Future称RansomHub的90%“处于RaaS市场常见的80-90%区间的高端”——这一费率“很可能吸引其他平台的老练附属成员”。2025年，Anubis品牌将三种模式正式化：80%分成的经典RaaS、纯数据勒索服务，以及向提供初始入侵途径者支付50%赎金的访问供应模式。 操作者剩下的分成用于支付整套服务：加密器与生成器、泄露站点托管、谈判支持，以及一个能在与受害者的对话中施加压力的品牌名。附加福利也是宣传的一部分。Recorded Future提到，Qilin在2025年年中推出了“Call Lawyer”服务，为附属成员提供如何在谈判期间恐吓受害者的法律咨询。LockBit在2022年的招募攻势中甚至出价1000美元，奖励愿意把团体标志纹在身上的论坛用户；至少有三人照做了。筛选申请者
招募设有层层筛选。一些泄露站点设有“Contact Us”表单，ReliaQuest称之为“罪犯版的求职信”；另一些只列出加密联系方式，这“可以充当预筛测试，把生手淘汰掉”。过了这一关的申请者进入报告所描述的大概率匿名的面谈，被拒者不会得到任何反馈。LockBit干脆不打广告，而是发布了一份2376字的附属规则页面，涵盖目标选择和申请流程。在Telegram方面，Cyfirma指出招募者会寻找“渗透测试人员或可信伙伴”，有时还要求论坛声誉或保证金才肯合作。打击行动后的互挖
每次执法落地，附属名册都会重新洗牌。继2024年初LockBit基础设施被查封、ALPHV上演exit scam之后，BlackBasta在2025年2月因聊天记录泄露而崩溃，RansomHub则在2025年3月底突然解散——用Recorded Future的话说，解散“让受害者卡在谈判中途，附属成员一片混乱”。附属成员总得去个地方：据评估，BlackBasta成员转投了本就有旧交情的Akira；Group-IB判断部分RansomHub附属成员加入了Qilin，理由是受害者声称数量激增；DragonForce则声称以“卡特尔”模式吸纳了RansomHub的基础设施和附属成员，该模式允许附属成员保留自己的品牌。“一个新团体会取代停止运作的团体，并且常常接纳垮台团体的成员。”——卡巴斯基Securelist谈恶意软件即服务市场，2023年