GandCrab-ransomware: binnenin zijn 70%-affiliate-uitbetalingsmodel

Lang voordat ransomware-aanvallen wekelijks in het nieuws waren, herschreef één malwarefamilie stilletjes de regels van cybercriminaliteit. GandCrab deed niet alleen aan afpersing van slachtoffers, het bouwde een volledig bedrijf rond afpersing, compleet met affiliatecontracten, prestatiemetrieken en klantenservice. Beveiligingsonderzoekers van McAfee onderzochten hoe de operatie daadwerkelijk functioneerde, en wat ze vonden leest minder als een hacking-case study en meer als een franchiseovereenkomst. Het begrijpen van de structuur van GandCrab is vandaag belangrijk omdat het ransomware-as-a-service-model dat het hielp populariseren nog steeds het dominante format is achter moderne aanvallen.

Wat GandCrab Anders Maakte: Een Affiliate-bedrijfsmodel

De meeste mensen stellen zich ransomware voor als het werk van een enkele hacker die kwaadaardige code plaatst. GandCrab opereerde anders. Volgens de analyse van McAfee voerden de ontwikkelaars achter GandCrab de aanvallen niet zelf uit. In plaats daarvan rekruteerden ze affiliates die de malware verspreidden en de daadwerkelijke infecties afhandelden, terwijl de kernoperators een deel van de opbrengst namen.

Dat deel was aanzienlijk: affiliates hielden 70% van de losgeldbetalingen, terwijl de rest terugvloeide naar de ontwikkelaars die de code onderhielden. Deze opbrengstverdeling stimuleerde affiliates om volume te draaien, en het gaf de operators een stabiele inkomstenstroom zonder dat ze een enkel slachtofferapparaat direct hoefden aan te raken.

De regeling bracht ook verantwoordelijkheid met zich mee. McAfee ontdekte dat affiliates die onderpresteerden uit het programma werden gezet, een detail dat benadrukt hoe zakelijk de operatie was geworden. Lage output betekende beëindiging, dezelfde logica die elke verkoopteam stuurt dat op quota wordt afgerekend. De malware zelf was ook gebouwd om machines in Rusland en andere voormalige Sovjetstaten over te slaan, een veelvoorkomend patroon bij ransomwaregroepen waarvan wordt aangenomen dat ze vanuit die regio opereren, waarschijnlijk om aandacht van wetshandhaving thuis te vermijden.

Het Technische Draaiboek: Encryptie, Verwijdering van Schaduwkopieën en Bewijs-van-ontsleuteling

Onder de bedrijfsstructuur zat een oprecht effectief stuk kwaadaardige techniek. GandCrab combineerde AES- en RSA-encryptie, waarbij symmetrische en asymmetrische cryptografie werd gelaagd zodat slachtoffers het proces niet simpelweg konden omkeren zonder de privésleutel van de aanvaller. Zodra bestanden waren vergrendeld, verwijderde de malware Windows-schaduwkopieën, de ingebouwde back-upsnapshots waar veel gebruikers op vertrouwen om bestanden te herstellen na een systeemprobleem. Het verwijderen van die kopieën sloot een van de gemakkelijkste herstelroutes af die beschikbaar waren voor slachtoffers die geen aparte offline back-ups hadden onderhouden.

Om te bewijzen dat het losgeldverzoek legitiem was en geen bluf, bouwden de operators een mechanisme in om één bestand gratis te ontsleutelen. Dit kleine gebaar diende een specifiek psychologisch doel: het toonde aan dat betalen de toegang daadwerkelijk zou herstellen, waardoor slachtoffers eerder geneigd waren door te zetten met betaling in plaats van hun gegevens als een totaal verlies af te schrijven.

Darkweb-ondersteuning en Dash-uitbetalingen: Afpersing als Klantenservice

Misschien wel het meest ongebruikelijke aspect van GandCrabs operatie was hoe het slachtoffers behandelde zodra het losgeldbericht verscheen. De groep bood darkweb-ondersteuning die 24/7 beschikbaar was, feitelijk een helpdesk runnend voor mensen die werden afgeperst. Slachtoffers die verward waren over betalingsstappen of ontsleutelinstructies konden begeleiding krijgen, een servicelaag die het hele proces verontrustend dicht bij legitieme klantondersteuning bracht.

Betalingen zelf werden geleid via Dash in plaats van het vaker besproken Bitcoin. Dash biedt snellere transactietijden en extra privacyfuncties, wat het een aantrekkelijke keuze maakte voor een operatie die uitbetalingen over een verspreid affiliatenetwerk moest verwerken terwijl traceerbaarheid werd beperkt.

Wat Dit Betekent voor Jouw Beveiligingsstack Vandaag

GandCrab is een nuttige case study juist omdat het ransomware-as-a-service-model dat het verfijnde nooit is verdwenen. Affiliatestructuren, gelaagde uitbetalingen en darkweb-ondersteuningskanalen blijven standaardkenmerken van ransomware-operaties vandaag. Het Check Point-rapport over 2.139 ransomware-slachtoffers in Q2 2026 laat zien hoezeer deze affiliate-gedreven aanpak is opgeschaald, en bevestigt dat het draaiboek dat GandCrab hielp opzetten nog steeds echte slachtoffers genereert op echt volume.

Voor gewone gebruikers en kleine bedrijven zijn de verdedigingslessen ongewijzigd. Omdat ransomware zoals GandCrab schaduwkopieën verwijdert om eenvoudig herstel te blokkeren, zijn offline en cloudback-ups die apart van je hoofdsysteem zijn opgeslagen essentieel, niet optioneel. Endpointbeveiligingshulpmiddelen die kwaadaardig encryptiegedrag vangen voordat het een volledige doorgang door je bestanden maakt, voegen een extra beschermingslaag toe. Een gerenommeerde VPN stopt ransomware niet op zichzelf, maar vermindert blootstelling op openbare netwerken en beperkt de soort netwerkspionage die soms voorafgaat aan gerichte aanvallen, vooral voor thuiswerkers en personeel van kleine bedrijven die vanaf verschillende locaties verbinding maken.

Concrete Aanbevelingen

Maak regelmatig back-ups van je bestanden en houd ten minste één kopie offline of in opslag die de ransomware niet via je netwerk kan bereiken. Houd besturingssystemen en beveiligingssoftware up-to-date, aangezien veel ransomware-infecties nog steeds gebruikmaken van bekende, patchbare kwetsbaarheden. Wees sceptisch over ongevraagde bijlagen en links, omdat affiliate-gedreven campagnes sterk afhankelijk zijn van phishing op volume om slachtoffers te vinden. Behandel tot slot elk enkel beveiligingshulpmiddel, of het nu een VPN, antivirus of back-upoplossing is, als één stuk van een gelaagde verdediging in plaats van een compleet antwoord. GandCrab bewees dat ransomware-operators denken als bedrijven; jouw verdediging zou net zo doordacht moeten zijn.