Nově identifikovaná ransomware operace, která si říká Moondancer, začala aktivně získávat kriminální partnery se specifickým zaměřením na Latinskou Ameriku, podle monitoringu hrozeb, který cituje Brinztech. Skupina je strukturována jako syndikát ransomware-as-a-service (RaaS), což znamená, že vyvíjí a udržuje škodlivý software, zatímco samotné útoky outsourcuje síti placených partnerů. Pozoruhodné je, že Moondancer veřejně prohlásil, že nebude cílit na zdravotnické organizace – jde o brandingový krok, který je mezi operátory ransomware stále běžnější, protože se snaží působit dojmem zdrženlivosti, i když zároveň získávají zločince k pronikání do jiných typů sítí.

I když je Moondancer stále novou skupinou a podrobnosti zůstávají omezené, jeho náborová kampaň zapadá do vzorce, který definuje vývoj ransomware po léta: spíše než aby jedna skupina prováděla každý útok, operátoři RaaS fungují spíše jako zločinecké franšízy, které poskytují nástroje, infrastrukturu a systémy rozdělení plateb nezávislým partnerům, kteří provádějí samotné hackování.

Jak funguje nábor v rámci ransomware-as-a-service

Skupiny RaaS obvykle inzerují na undergroundových fórech nebo v kanálech pouze s pozváním a nabízejí partnerům podíl z výkupného za úspěšné proniknutí do cíle, nasazení šifrovacího payloadu a vyjednávání s oběťmi. Hlavní skupina stojící za malwarem, v tomto případě Moondancer, poskytuje technickou páteř: šifrovací nástroje, únikové weby pro nátlak na oběti a někdy dokonce i zákaznickou podporu pro partnery.

Tato dělba práce je jedním z důvodů, proč se ransomware tak dramaticky rozšířil. Snižuje práh vstupu pro méně technicky zdatné zločince a zároveň umožňuje hlavním vývojářům soustředit se na vylepšování svých nástrojů a vyhýbání se přímému odhalení během útoků. Nedávné zprávy sledují stejnou dynamiku napříč prostředím hrozeb, včetně zprávy Black Kite za rok 2026, která ukazuje, že ransomware zasáhl 7 551 obětí po celém světě v loňském roce – měřítko, kterého lze dosáhnout pouze díky tomuto modelu založenému na partnerech.

Proč je v hledáčku Latinská Amerika

Rozhodnutí Moondanceru cílit svou náborovou kampaň konkrétně na Latinskou Ameriku je v souladu s širšími trendy v tom, jak si ransomware skupiny vybírají své expanzní regiony. Útočníci často tíhnou k oblastem, kde systémy kybernetické obrany stále dozrávají, kde může být spolupráce místních orgánů činných v trestním řízení u kybernetických případů pomalejší, nebo kde jazyková a kulturní blízkost dává partnerům výhodu při vytváření přesvědčivých phishingových návnad a vyjednávání s místními oběťmi.

Toto regionální zaměření odráží vzorce pozorované jinde. Aktivita ransomware celosvětově roste, přičemž útoky vzrostly o 87 % meziročně a samotné španělské firmy čelí v průměru 2 068 útokům týdně. Skupiny hledající nová území a méně nasycené fondy obětí se stále častěji dívají za hranice Severní Ameriky a západní Evropy a rostoucí digitální ekonomika Latinské Ameriky z ní činí atraktivní cíl právě pro tento typ expanze.

Veřejné prohlášení o vyhýbání se zdravotnickým cílům je rovněž pozoruhodné. Ransomware skupiny v minulosti čelily významnému poškození pověsti a tlaku orgánů činných v trestním řízení poté, co útoky na nemocnice narušily péči o pacienty. Tím, že Moondancer zdravotnictví výslovně vylučuje, se zjevně snaží snížit intenzitu pozornosti mezinárodních orgánů činných v trestním řízení, zatímco stále buduje zločinecký podnik, který může zasáhnout firmy, místní samosprávy a další organizace v regionu.

Co to znamená pro vás

Pokud provozujete firmu nebo spravujete IT infrastrukturu v Latinské Americe, je tento vývoj signálem, abyste přehodnotili svou ransomware obranu nyní, spíše než až po incidentu. Útoky prováděné najatými partnery mají tendenci rychle narůstat, jakmile si skupina RaaS vybuduje svou síť, protože více partnerů jednoduše znamená více pokusů o průnik probíhajících paralelně.

Pro jednotlivé uživatele je riziko méně přímé, ale stále relevantní. Ransomware partneři často získávají počáteční přístup prostřednictvím phishingových e-mailů, kompromitovaných přihlašovacích údajů ke vzdálenému přístupu nebo škodlivých stažení – stejných technik používaných v jiných malware kampaních, včetně nedávných, jako je falešný instalátor CCleaner šířící spyware GhostDesk. Opatrnost při stahování a klikání na nevyžádané odkazy zůstává jedním z nejúčinnějších osobních obranných mechanismů proti tomu, abyste se stali vstupním bodem pro větší organizační narušení.

Konkrétní doporučení

Organizace v Latinské Americe a kdekoli jinde, kde se může Moondancer případně objevit, by měly upřednostnit několik konkrétních kroků. Zajistěte, aby vzdálené přístupové body, včetně VPN a RDP připojení, vyžadovaly vícefaktorové ověřování, protože kompromitované přihlašovací údaje zůstávají jedním z nejčastějších vstupních vektorů pro ransomware prováděný partnery. Udržujte offline, otestované zálohy kritických dat, protože fungující plán obnovy odstraňuje velkou část páky, na kterou se výkupné spoléhá. Proškolte zaměstnance, aby rozpoznávali phishingové pokusy, a sledujte neobvyklou aktivitu účtů, která by mohla naznačovat, že se partner už dostal do systému.

Vznik ransomware Moondancer je připomínkou toho, že obchodní model RaaS neustále produkuje nové hráče, z nichž každý hledá nedostatečně obsloužené regiony a nové oběti. Zůstat informovaní o těchto posunech a jednat podle základní bezpečnostní hygieny dříve, než dojde k útoku, zůstává nejspolehlivějším způsobem, jak se vyhnout tomu, abyste se stali součástí dalšího titulku.