GandCrab Ransomware: Wewnątrz modelu wypłat dla partnerów wynoszącego 70%

Na długo zanim ataki ransomware stały się cotygodniowym nagłówkiem, jedna rodzina złośliwego oprogramowania po cichu przepisała zasady cyberprzestępczości. GandCrab nie tylko wymuszał okupy od ofiar — zbudował cały biznes wokół wymuszeń, z umowami partnerskimi, wskaźnikami wydajności i obsługą klienta. Analitycy bezpieczeństwa z McAfee przeanalizowali, jak ta operacja faktycznie działała, a to, co odkryli, przypomina bardziej umowę franczyzową niż studium przypadku hakerskiego. Zrozumienie struktury GandCrab jest dziś ważne, ponieważ model ransomware jako usługi, który ten program pomógł spopularyzować, nadal jest dominującym formatem współczesnych ataków.

Co Wyróżniało GandCrab: Partnerski Model Biznesowy

Większość ludzi wyobraża sobie ransomware jako dzieło pojedynczego hakera instalującego złośliwy kod. GandCrab działał inaczej. Według analizy McAfee, twórcy GandCrab nie przeprowadzali ataków osobiście. Zamiast tego rekrutowali partnerów, którzy rozpowszechniali złośliwe oprogramowanie i zajmowali się faktycznymi infekcjami, podczas gdy główni operatorzy pobierali część zysków.

Ta część była znaczna: partnerzy zatrzymywali 70% wpłat z okupów, a pozostała część trafiała do twórców utrzymujących kod. Taki podział przychodów motywował partnerów do zwiększania wolumenu, a operatorom zapewniał stały strumień dochodów bez konieczności dotykania maszyn ofiar bezpośrednio.

Umowa wiązała się również z odpowiedzialnością. McAfee odkryło, że partnerzy, którzy osiągali słabe wyniki, byli wyrzucani z programu — to szczegół podkreślający, jak bardzo operacja była zbiznesowana. Niska wydajność oznaczała koniec współpracy, ta sama logika, która rządzi każdym zespołem sprzedażowym ocenianym według celów. Sam złośliwy program został również zaprojektowany tak, aby omijać maszyny znajdujące się w Rosji i innych krajach byłego ZSRR — to powszechny wzorzec wśród grup ransomware, które prawdopodobnie działają z tego regionu, prawdopodobnie po to, by uniknąć zwrócenia na siebie uwagi organów ścigania w kraju.

Techniczny Podręcznik: Szyfrowanie, Usuwanie Kopii Cieni i Dowód Odszyfrowania

Pod strukturą biznesową kryło się naprawdę skuteczne złośliwe oprogramowanie. GandCrab łączył szyfrowanie AES i RSA, nakładając na siebie kryptografię symetryczną i asymetryczną, tak aby ofiary nie mogły po prostu odwrócić procesu bez klucza prywatnego atakującego. Po zablokowaniu plików malware usuwał kopie cieni systemu Windows — wbudowane migawki kopii zapasowych, z których wielu użytkowników korzysta do przywracania plików po problemach z systemem. Usunięcie tych kopii zamykało jedną z najłatwiejszych ścieżek odzyskiwania dostępnych dla ofiar, które nie posiadały oddzielnych, offline'owych kopii zapasowych.

Aby udowodnić, że żądanie okupu jest uzasadnione, a nie blefem, operatorzy wbudowali mechanizm umożliwiający bezpłatne odszyfrowanie jednego pliku. Ten drobny gest służył konkretnemu celowi psychologicznemu: pokazywał, że zapłata faktycznie przywróci dostęp, przez co ofiary były bardziej skłonne zapłacić, zamiast skreślać swoje dane jako całkowitą stratę.

Wsparcie w Ciemnej Sieci i Wypłaty w Dash: Wymuszenia jako Obsługa Klienta

Być może najbardziej niezwykłym aspektem działania GandCrab było to, jak traktował ofiary po pojawieniu się noty z żądaniem okupu. Grupa oferowała całodobowe wsparcie w ciemnej sieci, prowadząc w praktyce infolinię dla osób szantażowanych. Ofiary zdezorientowane co do kroków płatności lub instrukcji odszyfrowania mogły uzyskać wskazówki — warstwa usług, która sprawiała, że cały proces przypominał niepokojąco blisko legalne wsparcie klienta.

Same płatności były kierowane przez Dash, a nie częściej omawiany Bitcoin. Dash oferuje szybsze czasy transakcji i dodatkowe funkcje prywatności, co czyniło go atrakcyjnym wyborem dla operacji, która musiała przetwarzać wypłaty w rozproszonej sieci partnerów, ograniczając jednocześnie możliwość śledzenia.

Co To Oznacza dla Twojego Zabezpieczenia Dziś

GandCrab to użyteczne studium przypadku właśnie dlatego, że model ransomware jako usługi, który udoskonalił, nigdy nie zniknął. Struktury partnerskie, wypłaty warstwowe i kanały wsparcia w ciemnej sieci pozostają standardowymi elementami współczesnych operacji ransomware. Raport Check Point o 2139 ofiarach ransomware w Q2 2026 pokazuje, jak bardzo ten napędzany przez partnerów model się rozrósł, potwierdzając, że podręcznik, który pomógł stworzyć GandCrab, nadal generuje prawdziwe ofiary na dużą skalę.

Dla zwykłych użytkowników i małych firm wnioski dotyczące obrony pozostają niezmienne. Ponieważ ransomware takie jak GandCrab usuwa kopie cieni, aby zablokować łatwe odzyskiwanie danych, offline'owe i chmurowe kopie zapasowe przechowywane oddzielnie od głównego systemu są niezbędne, a nie opcjonalne. Narzędzia zabezpieczające punkty końcowe, które wychwytują złośliwe zachowanie szyfrujące, zanim przetworzy ono całe pliki, dodają kolejną warstwę ochrony. Renomowany VPN sam w sobie nie zatrzyma ransomware, ale zmniejsza ekspozycję w sieciach publicznych i ogranicza rodzaj podsłuchiwania sieci, które czasami poprzedza ataki ukierunkowane, szczególnie dla pracowników zdalnych i personelu małych firm łączących się z różnych lokalizacji.

Praktyczne Wnioski

Regularnie twórz kopie zapasowe plików i przechowuj co najmniej jedną kopię offline lub w miejscu, do którego ransomware nie dotrze poprzez Twoją sieć. Aktualizuj systemy operacyjne i oprogramowanie zabezpieczające, ponieważ wiele infekcji ransomware nadal wykorzystuje znane, łatwe do załatania podatności. Podchodź sceptycznie do nieproszonych załączników i linków, ponieważ kampanie napędzane przez partnerów w dużej mierze opierają się na masowym phishingu w poszukiwaniu ofiar. Na koniec traktuj każde pojedyncze narzędzie zabezpieczające — czy to VPN, antywirus, czy rozwiązanie do tworzenia kopii zapasowych — jako jeden element warstwowej obrony, a nie kompletną odpowiedź. GandCrab udowodnił, że operatorzy ransomware myślą jak przedsiębiorcy; Twoja obrona powinna być równie przemyślana.