Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Ransomware od dawna nie jest już wyłącznie narzędziem używanym przez pojedynczych cyberprzestępców. Dziś to dojrzały model operacyjny oparty na specjalizacji, podziale ról i współpracy wielu podmiotów, które wspólnie tworzą przestępczy łańcuch dostaw. Ujawnione dane z forum RAMP pokazują, jak wygląda zaplecze tego ekosystemu: od sprzedaży dostępu do środowisk ofiar, przez rekrutację afiliantów, po handel narzędziami i prowadzenie negocjacji w prywatnych kanałach.
RAMP, czyli Russian Anonymous Marketplace, pełnił funkcję cyfrowego rynku dla operatorów ransomware, brokerów dostępowych i sprzedawców danych. W praktyce forum było miejscem, w którym przestępcy mogli kupować i sprzedawać kluczowe elementy potrzebne do przeprowadzenia ataku na organizację.
W skrócie
Wyciek bazy danych forum RAMP ujawnił skalę i strukturę rosyjskojęzycznego rynku cyberprzestępczego działającego w modelu marketplace. Analiza objęła 1 732 wątki, 7 707 zarejestrowanych użytkowników, ponad 340 tys. rekordów IP, 1 899 prywatnych konwersacji oraz 3 875 wiadomości.
- Forum służyło do handlu wstępnym dostępem do sieci firmowych.
- Obecne były oferty ransomware-as-a-service oraz rekrutacja afiliantów.
- Sprzedawano skradzione dane, narzędzia ofensywne i komponenty malware.
- Najczęściej oferowane dostępy dotyczyły organizacji ze Stanów Zjednoczonych.
- Wśród celów dominowały instytucje publiczne, finanse, telekomunikacja, energetyka i ochrona zdrowia.
Kontekst / historia
RAMP funkcjonował od końca 2021 roku do początku 2026 roku i był dostępny zarówno jako ukryta usługa w sieci Tor, jak i poprzez publiczne lustro. Taka architektura zwiększała zasięg forum, ułatwiała onboarding nowych użytkowników i pozwalała utrzymać ciągłość działania.
Ujawnione materiały obejmują aktywność od listopada 2021 do stycznia 2024 roku, co pozwala prześledzić rozwój platformy od fazy wzrostu po etap dojrzałości. Dane wskazują, że po spowolnieniu aktywności w 2022 roku forum odnotowało wyraźne odbicie w 2023 roku. Można to wiązać z migracją użytkowników po działaniach organów ścigania wymierzonych w inne fora i grupy ransomware.
Na tle wielu krótkotrwałych forów cyberprzestępczych RAMP wyróżniał się uporządkowaną strukturą. Sekcje obejmowały sprzedaż dostępu do sieci, oferty malware, programy partnerskie ransomware, ogłoszenia o wyciekach danych oraz zlecenia dla wykonawców.
Analiza techniczna
Najważniejszym elementem działalności RAMP był handel wstępnym dostępem do środowisk ofiar. Zidentyfikowano 333 wątki oferujące wejście do sieci korporacyjnych, co pokazuje, że pierwszy etap ataku stał się odrębnym towarem sprzedawanym niezależnie od późniejszego wdrożenia ransomware.
Najczęściej oferowanym typem dostępu był RDP, ale z czasem widoczny był wzrost znaczenia VPN. Pod koniec analizowanego okresu liczba ofert związanych z VPN zbliżyła się do ofert RDP, co sugeruje zmianę taktyki operatorów i brokerów dostępowych. W ofertach pojawiały się popularne rozwiązania zdalnego dostępu i bramy korporacyjne, co wskazuje na wykorzystywanie znanych luk, błędnych konfiguracji oraz przejętych poświadczeń.
Forum było również istotnym elementem modelu ransomware-as-a-service. W dedykowanej sekcji wykryto 60 wątków związanych z rekrutacją afiliantów. Operatorzy rywalizowali między sobą warunkami współpracy, oferując coraz korzystniejsze podziały zysków. W niektórych przypadkach afilianci mogli zatrzymać nawet 90% wpływów z okupu, co znacząco obniżało barierę wejścia dla nowych uczestników cyberprzestępczego rynku.
Na RAMP pojawiały się nie tylko gotowe rodziny ransomware, ale również cracked buildery, wycieki kodu źródłowego oraz komercyjne narzędzia ofensywne legalnie wykorzystywane w testach bezpieczeństwa. To ważny sygnał dla obrońców: nawet mniej zaawansowani aktorzy mogą dziś składać własne kampanie z gotowych komponentów, bez konieczności budowania pełnego zaplecza technicznego.
Analiza prywatnych wiadomości pokazała, że publiczne wpisy stanowiły głównie warstwę marketingową. Faktyczne ustalenia dotyczące ceny, jakości dostępu, typu ofiary i dalszych działań były prowadzone poza widokiem publicznym. Taki model przypomina klasyczne procesy sprzedażowe i potwierdza wysoki stopień profesjonalizacji tego środowiska.
Konsekwencje / ryzyko
Wyciek danych z RAMP potwierdza, że współczesne kampanie ransomware należy analizować jako złożony łańcuch dostaw usług przestępczych. Jeden podmiot zdobywa dostęp, drugi dostarcza malware, trzeci prowadzi atak, a kolejny negocjuje okup lub odpowiada za publikację skradzionych danych. Taki model zwiększa skalę działalności i utrudnia skuteczne zakłócanie całego ekosystemu.
Z perspektywy organizacji szczególnie niepokojące jest ukierunkowanie ofert na podmioty o wysokiej wartości operacyjnej i finansowej. Wśród ofiar pojawiały się administracja publiczna, banki, operatorzy telekomunikacyjni, firmy energetyczne, placówki medyczne i sektor przemysłowy. To organizacje bardziej podatne na presję czasu, przestoje i skutki regulacyjne, a więc potencjalnie bardziej skłonne do zapłaty okupu.
Rosnąca dostępność gotowych narzędzi ofensywnych oraz ofert sprzedaży dostępu sprawia, że próg wejścia do cyberprzestępczości stale maleje. W praktyce oznacza to wzrost liczby aktorów zdolnych do przeprowadzenia skutecznego ataku, nawet jeśli nie dysponują oni własnym zespołem programistów ani rozbudowaną infrastrukturą.
Rekomendacje
Organizacje powinny traktować ransomware jako proces obejmujący rekonesans, uzyskanie dostępu, eskalację uprawnień, ruch boczny, eksfiltrację danych i szyfrowanie. Skuteczna obrona musi więc obejmować cały łańcuch ataku, a nie wyłącznie końcowy etap uruchomienia szyfratora.
- Ograniczaj ekspozycję usług zdalnych, zwłaszcza RDP, VPN, paneli administracyjnych i bram dostępowych wystawionych do Internetu.
- Wdrażaj silne uwierzytelnianie wieloskładnikowe oraz segmentację sieci dla systemów dostępnych zdalnie.
- Priorytetowo zarządzaj podatnościami w systemach brzegowych i skracaj czas wdrażania poprawek.
- Monitoruj tożsamości, konta uprzywilejowane i anomalie logowania, szczególnie w systemach IAM.
- Rozwijaj zdolności threat intelligence, w tym wykrywanie ofert sprzedaży dostępu do własnej organizacji.
- Testuj kopie zapasowe, procedury izolacji segmentów oraz scenariusze incident response związane z wyciekiem danych i wymuszeniem okupu.
Kluczowe znaczenie ma także przygotowanie operacyjne zespołów bezpieczeństwa. Procedury reagowania powinny obejmować nie tylko odtworzenie systemów, ale również analizę śladów kompromitacji, ocenę skali eksfiltracji danych i koordynację działań prawnych oraz komunikacyjnych.
Podsumowanie
Ujawnione dane z forum RAMP dostarczają rzadkiego i szczegółowego wglądu w funkcjonowanie współczesnego rynku ransomware. Obraz, który się z nich wyłania, to nie przypadkowa aktywność pojedynczych przestępców, lecz dobrze zorganizowany ekosystem oparty na specjalizacji, podziale zysków i komercjalizacji cyberataków.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: skuteczna obrona przed ransomware musi zaczynać się na długo przed próbą szyfrowania danych. Największą wartość ma wczesne wykrycie sprzedaży dostępu, przejętych poświadczeń i anomalii w usługach zdalnych, zanim operator ataku przejdzie do kolejnych etapów kompromitacji.
Źródła
- RAMP Uncovered: Anatomy of Russia’s Ransomware Marketplace — https://securityaffairs.com/191171/cyber-crime/ramp-uncovered-anatomy-of-russias-ransomware-marketplace.html
- Inside RAMP: What a leaked database reveals about Russia’s ransomware marketplace — https://www.comparitech.com/news/inside-ramp-what-a-leaked-database-reveals-about-russias-ransomware-marketplace/