Вербовка аффилиатов ransomware: рынок труда за брендами RaaS
Когда появляется новый бренд-вымогатель, сам код шифрования редко становится новостью. Прежде всего бренду нужны аффилиаты: операторы, которые приносят собственные проникновения в корпоративные сети, сами ведут переговоры и отдают бренду долю с каждого выкупа. След вербовки, который оставляют такие бренды, - закрепленные треды на форумах, страницы правил, каналы в Telegram - одна из лучше всего задокументированных частей экосистемы, и читается она не как распространение вредоносного ПО, а как рынок труда.
Где публикуются объявления
Главная сцена - несколько русскоязычных форумов: Exploit, XSS и RAMP. О вымогательском ПО на топовых форумах официально говорить запрещено, поэтому рекламодатели прибегают к условному языку. Flashpoint задокументировал эту схему еще в 2021 году: пользователи предлагали купить доступы VPN, Citrix и RDP «за процент от прибыли», описывая себя как «команду опытных пентестеров»; один ссылался на прошлую работу с DarkSide как на рекомендацию. Исследование ReliaQuest 2022 года о воронке вербовки описывает закрепленные RaaS-треды, где слово ransomware на Exploit и XSS под запретом - группы пишут, что «ищут пентестеров», - тогда как RAMP допускает любые детали. Когда запускался RansomHub, Recorded Future проследил его первое объявление до пользователя по имени koley, разместившего его на RAMP в начале февраля 2024 года; к моменту анализа бренд заявил о 45 жертвах в 18 странах. Теперь значительная часть того же трафика переехала в Telegram. Анализ Cyfirma, опубликованный в феврале 2026 года, описывает каналы вымогателей, которые «рекламируют аффилиатские программы, излагают комиссионные схемы, публикуют ограничения по целям» - исключенные регионы и отрасли - рядом с брокерами доступа, продающими точки входа VPN, RDP и облачные. Итог отчета о разделении труда: форумы дают видимость, а Telegram «занимается исполнением».Обещанная доля
Рекламируемые доли оставляют аффилиату явное большинство. LockBit в 2022 году, по данным ReliaQuest, платил 80 процентов собранного выкупа. Recorded Future описывает 90 процентов RansomHub как «верхнюю границу типичного для рынка RaaS диапазона 80-90 %» - ставку, которая «вполне может переманить опытных аффилиатов с других платформ». В 2025 году бренд Anubis формализовал три режима: классический RaaS с долей 80 процентов, сервис шантажа только данными и схему предоставления доступа, платящую 50 процентов выкупа тому, кто добыл первоначальный вход. Остаточная доля оператора оплачивает пакет: шифровальщик и билдер, хостинг leak-сайта, поддержку переговоров и имя бренда, добавляющее давления в разговорах с жертвами. Части предложения стали и бонусы. Recorded Future отмечает, что Qilin в середине 2025 года ввел сервис «Call Lawyer» - юридические консультации аффилиатам о том, как запугивать жертв во время переговоров. LockBit в своей вербовочной кампании 2022 года предлагал 1000 долларов пользователям форумов, готовым набить татуировку с логотипом группы; как минимум трое сделали это.Проверка кандидатов
Вербовка фильтруется на нескольких этапах. На некоторых leak-сайтах есть форма «Contact Us», которую ReliaQuest называет «криминальным эквивалентом сопроводительного письма»; другие указывают лишь зашифрованные контакты, что «может служить предварительным тестом на пригодность, отсекая неопытных кандидатов». Прошедшие этот этап переходят к тому, что отчет описывает как вероятное анонимное собеседование, а отказ приходит без объяснений. LockBit обошелся без объявлений, вместо них опубликовав страницу правил для аффилиатов на 2376 слов с правилами выбора целей и порядком подачи заявок. В Telegram, отмечает Cyfirma, вербовщики ищут «пентестеров или доверенных партнеров» и порой требуют репутацию на форумах или залог перед сотрудничеством.Переманивание после тейкдаунов
Составы аффилиатов перетасовываются с каждым ударом силовиков. После захвата инфраструктуры LockBit и exit scam ALPHV в начале 2024 года BlackBasta рухнула в феврале 2025-го после утечки переписки, а RansomHub в конце марта 2025-го внезапно самораспустился - по словам Recorded Future, роспуск «оставил жертв посреди переговоров, а аффилиатов - в растерянности». Аффилиатам пришлось деваться куда-то: участники BlackBasta, по оценкам, перешли в Akira, с которой у них были старые связи; Group-IB предположила, что часть аффилиатов RansomHub примкнула к Qilin, указывая на всплеск заявленных жертв; DragonForce заявила, что поглотила инфраструктуру и аффилиатов RansomHub в рамках модели «картеля», позволяющей аффилиатам сохранять собственный бренд.«Новая группа сменяет ту, что прекратила работу, и часто принимает в свои ряды участников выбывшей». - Securelist («Лаборатории Касперского») о рынке malware-as-a-service, 2023