Един единствен наръчник, множество ransomware марки

Microsoft Threat Intelligence проследява ransomware affiliate, който нарича Storm-2570, от април 2025 г., и поведението на групата привлича внимание по необичайна причина: последователност. Вместо да се придържа към едно ransomware семейство, Storm-2570 е наблюдаван да разгръща payload-и, свързани с най-малко четири отделни ransomware-as-a-service (RaaS) марки, включително Qilin, DragonForce, Anubis и BERT. Това, което свързва тези привидно различни атаки, е повтарящ се набор от инструменти и техники след компрометиране, които изследователите на Microsoft са идентифицирали при различните разгръщания, независимо коя ransomware марка в крайна сметка криптира финалния payload.

Това е важно, защото отразява как всъщност работи ransomware екосистемата през 2026 г. Affiliates като Storm-2570 не са лоялни към един ransomware оператор. Те са техници под наем, които проникват в мрежи, използвайки последователна методология, и след това избират (или им се възлага) която и да е RaaS марка, която пасва на задачата. Microsoft публикува Defender hunting заявки специално, за да помогне на екипите по сигурност да засекат отпечатъците на Storm-2570 рано, преди самият ransomware payload изобщо да се задейства.

Защо affiliates, а не само ransomware марките, имат значение

Повечето отразяване на ransomware се фокусира върху финалния payload: инструмента за криптиране, бележката за откуп, сайта за изтичане. Но това често е последната стъпка от много по-дълго проникване. Affiliates като Storm-2570 са тези, които вършат действителната работа по проникването: получаване на първоначален достъп, движение настрани, ескалиране на привилегии и деактивиране на защити, преди да предадат на която и да е ransomware марка, с която са свързани тази седмица.

Този affiliate модел помага да се обясни защо ransomware атаки, свързани с напълно различни „марки“, могат да изглеждат поразително сходни под повърхността. Той също обяснява защо някои от най-известните ransomware активности напоследък водят началото си от една и съща експлоатирана инфраструктура. По-ранното ни отразяване на ransomware банди, насочени към уязвимости в Palo Alto и Fortinet VPN и уязвимостта CVE-2026-0257 в Palo Alto защитни стени, подхранваща атаки на Qilin илюстрират модела: устройства за отдалечен достъп, изложени на интернет, по-специално VPN шлюзове и защитни стени, остават предпочитана входна точка за affiliates, захранващи множество RaaS операции, сред които и Qilin.

Веднъж попаднали вътре, affiliates като Storm-2570 са наблюдавани да се опитват да попречат на защитата на крайните точки, включително манипулиране на сигурностни контроли като Microsoft Defender, в опит да работят неоткрити по-дълго. Това удължено време на присъствие е точно това, което позволява на едно проникване да ескалира от един компрометиран акаунт до пълно мрежово ransomware събитие.

По-голямата ransomware картина

Storm-2570 не действа във вакуум. Ransomware активността като цяло продължава да нараства, като скорошни индустриални доклади, включително докладът на Black Kite за 2026 г., проследяващ над 7 500 жертви, показват колко широко разпространен е станал проблемът. Други RaaS операции, отразени на този сайт, от базирания на Rust Cicada3301 ransomware до експлоатацията на Confluence сървъри от Feral Wolf, показват последователна тема в ransomware пейзажа: атакуващите са все по-търпеливи, методични и съсредоточени върху експлоатирането на известни, често непатчнати уязвимости в бизнес софтуер и устройства, вместо да разчитат единствено на фишинг.

Какво означава това за вас

Ако управлявате IT за малък или среден бизнес, моделът на Storm-2570 е напомняне, че защитата от ransomware започва много преди криптирането. VPN и защитни стени, изложени към публичния интернет, трябва да бъдат патчнати своевременно и наблюдавани внимателно, тъй като те често са първата опорна точка, от която affiliate се нуждае. Многофакторна автентикация за отдалечен достъп и административни акаунти, сегментиране на мрежата, така че едно компрометирано устройство да не може да достигне до всичко, и наблюдение за опити за деактивиране или манипулиране на вашите инструменти за сигурност на крайните точки са все практични стъпки с голямо въздействие.

За индивидуалните потребители и работещите от разстояние изводът е по-личен, но не по-малко важен. Ако се свързвате към работна мрежа чрез VPN, поддържайте клиента обновен и никога не отлагайте сигурностните пачове на устройството, което използвате за отдалечен достъп. Избягвайте изтеглянето на кракнат софтуер или неофициални VPN приложения, тъй като компрометираните крайни точки са често срещан начин атакуващите да получат първоначалния достъп, върху който affiliates като Storm-2570 по-късно надграждат. Личният VPN може да помогне за защита на собствения ви трафик в ненадеждни мрежи, но не е заместител на поддържането на устройствата и идентификационните ви данни в безопасност.

Практически изводи

Бизнесите трябва да одитират всички VPN и защитни стени, изложени на интернет, за неизпълнени пачове, да наложат MFA навсякъде, където е възможен отдалечен достъп, и да гарантират, че инструментите за защита на крайните точки са конфигурирани да сигнализират при опити за манипулиране, вместо да се провалят тихо. Прегледът на целостта на резервните копия и тестването на процедурите за възстановяване сега, преди да възникне инцидент, остава един от най-ефективните начини да се намали въздействието на всяко ransomware разгръщане, независимо коя RaaS марка стои зад него. Индивидуалните потребители трябва да поддържат софтуера и VPN клиентите си актуални, да използват силни уникални пароли с MFA, където се предлага, и да третират всяко неочаквано предупреждение от сигурностния софтуер като заслужаващо незабавно разследване, вместо да го пренебрегват.