Новооткрита ransomware операция, наричаща себе си Moondancer, е започнала активно да набира криминални сътрудници с особен фокус върху Латинска Америка, според мониторинг на заплахите, цитиран от Brinztech. Групата е структурирана като синдикат за ransomware-като-услуга (RaaS), което означава, че тя изгражда и поддържа зловредния софтуер, докато възлага действителните атаки на мрежа от платени партньори. Прави впечатление, че Moondancer публично е заявила, че няма да се насочва към здравни организации — ход за брандиране, който става все по-често срещан сред ransomware операторите, опитващи се да проектират образ на сдържаност, дори докато набират престъпници, които да проникват в други видове мрежи.

Въпреки че Moondancer все още се оформя и детайлите остават ограничени, нейната кампания за набиране на хора следва модел, който от години определя еволюцията на ransomware: вместо една група да извършва всяка атака, RaaS операторите действат по-скоро като престъпни франчайзи, предоставяйки инструменти, инфраструктура и договорености за разпределение на плащанията на независими сътрудници, които извършват самата хакерска дейност.

Как работи набирането на сътрудници при Ransomware-като-услуга

RaaS групите обикновено рекламират в подземни форуми или канали с покани, предлагайки дял от откупите на сътрудници, които успешно пробият защитата на дадена цел, разположат криптиращия товар и водят преговори с жертвите. Основната група зад зловредния софтуер, в този случай Moondancer, осигурява техническата основа: инструментите за криптиране, сайтовете за изтичане на данни за оказване на натиск върху жертвите, а понякога дори и обслужване на клиенти за сътрудниците.

Това разделение на труда е част от причината ransomware да се разраства толкова драматично. То понижава прага за навлизане за по-слабо технически квалифицирани престъпници, като същевременно позволява на основните разработчици да се фокусират върху подобряването на своите инструменти и избягването на пряко излагане по време на атаки. Скорошни репортажи проследиха същата динамика в целия пейзаж на заплахите, включително доклада на Black Kite за 2026 г., показващ, че ransomware е ударил 7 551 жертви по света миналата година — мащаб, постижим само чрез този модел, управляван от сътрудници.

Защо Латинска Америка е в полезрението

Решението на Moondancer да насочи кампанията си за набиране на хора специално към Латинска Америка е в съответствие с по-широките тенденции в избора на региони за разрастване от страна на ransomware групите. Нападателите често гравитират към области, където защитата на киберсигурността все още се развива, където сътрудничеството на местните правоприлагащи органи по случаи на киберпрестъпления може да е по-бавно, или където езиковата и културната близост дава на сътрудниците предимство при създаването на убедителни фишинг примамки и преговори с местни жертви.

Този регионален фокус отразява модели, наблюдавани и другаде. Ransomware активността се е покачвала в глобален мащаб, като атаките са скочили със 87% на годишна база, а само испанският бизнес е изправен пред средно 2 068 атаки на седмица. Групите, търсещи свежи територии и по-малко пренаситени групи от жертви, все по-често поглеждат отвъд Северна Америка и Западна Европа, а растящата цифрова икономика на Латинска Америка я прави привлекателна цел точно за този вид разрастване.

Публичният отказ от насочване към здравни цели също заслужава внимание. Ransomware групите са се сблъсквали със значителна репутационна и правоприлагаща реакция след атаки срещу болници, които в миналото са нарушавали грижите за пациентите. Изрично изключвайки здравеопазването, Moondancer изглежда се опитва да намали интензитета на вниманието от страна на международните правоприлагащи органи, като същевременно изгражда престъпно предприятие, което може да засегне бизнеси, местни власти и други организации в региона.

Какво означава това за вас

Ако управлявате бизнес или ИТ инфраструктура в Латинска Америка, това развитие е сигнал да преразгледате защитата си срещу ransomware сега, а не след като инцидентът се случи. Атаките, извършвани чрез набрани сътрудници, обикновено нарастват бързо, след като RaaS групата изгради мрежата си, тъй като повече сътрудници просто означава повече опити за пробиви, извършвани паралелно.

За отделните потребители рискът е по-малко пряк, но все пак релевантен. Ransomware сътрудниците често получават първоначален достъп чрез фишинг имейли, компрометирани идентификационни данни за отдалечен достъп или зловредни изтегляния — същите техники, използвани в други зловредни кампании, включително скорошни като фалшивия инсталатор на CCleaner, разпространяващ шпионския софтуер GhostDesk. Проявата на предпазливост при изтегляния и нежелани връзки остава една от най-ефективните лични защити срещу превръщането ви във входна точка за по-голямо организационно пробиване.

Практически стъпки

Организациите в Латинска Америка — и навсякъде другаде, където евентуално може да се появи активност на Moondancer — трябва да приоритизират няколко конкретни стъпки. Уверете се, че точките за отдалечен достъп, включително VPN и RDP връзките, изискват многофакторно удостоверяване, тъй като компрометираните идентификационни данни остават един от най-честите вектори за навлизане при ransomware, управляван от сътрудници. Поддържайте офлайн, тествани резервни копия на критични данни, тъй като работещият план за възстановяване премахва голяма част от лоста, на който разчита искането за откуп. Обучавайте персонала да разпознава фишинг опити и следете за необичайна активност в акаунтите, която може да показва, че сътрудник вече е получил опора.

Появата на ransomware Moondancer е напомняне, че бизнес моделът RaaS продължава да произвежда нови участници, всеки от които търси недообслужени региони и свежи жертви. Да бъдете информирани за тези промени и да действате по отношение на основната сигурност, преди да се случи атака, остава най-надеждният начин да избегнете превръщането си в част от следващото заглавие.