Недавно выявленная операция по вымогательству, называющая себя Moondancer, начала активно набирать криминальных партнеров с особым акцентом на Латинскую Америку, согласно данным мониторинга угроз, на которые ссылается Brinztech. Группа организована как синдикат вымогателей-как-услуга (RaaS), что означает, что она создает и поддерживает вредоносное программное обеспечение, передавая фактические атаки сети платных партнеров. Примечательно, что Moondancer публично заявила, что не будет атаковать организации здравоохранения — это маркетинговый ход, который становится все более распространенным среди операторов вымогателей, пытающихся создать видимость сдержанности, даже набирая преступников для взлома других типов сетей.

Хотя Moondancer еще только формируется и подробности остаются ограниченными, ее кампания по набору партнеров соответствует модели, которая определяла эволюцию вымогательства на протяжении многих лет: вместо того чтобы одна группа проводила каждую атаку, операторы RaaS действуют скорее как криминальные франшизы, предоставляя инструменты, инфраструктуру и схемы разделения платежей независимым партнерам, которые выполняют непосредственный взлом.

Как работает набор партнеров в RaaS

Группы RaaS обычно рекламируются на подпольных форумах или в закрытых каналах, предлагая партнерам долю от выкупов за успешное проникновение в цель, развертывание шифровальной нагрузки и переговоры с жертвами. Основная группа, стоящая за вредоносным ПО, в данном случае Moondancer, обеспечивает техническую основу: инструменты шифрования, сайты утечек для оказания давления на жертв, а иногда даже поддержку клиентов для партнеров.

Такое разделение труда отчасти объясняет, почему вымогательство так масштабно выросло. Оно снижает порог входа для менее технически подготовленных преступников, позволяя основным разработчикам сосредоточиться на улучшении своих инструментов и избегать прямого воздействия во время атак. Недавние отчеты отслеживали эту же динамику по всему ландшафту угроз, включая отчет Black Kite за 2026 год, показывающий, что вымогатели поразили 7 551 жертву по всему миру в прошлом году — масштаб, достижимый только благодаря такой модели с участием партнеров.

Почему в центре внимания Латинская Америка

Решение Moondancer направить свою кампанию по набору партнеров именно на Латинскую Америку согласуется с более широкими тенденциями в выборе регионах расширения группами вымогателей. Злоумышленники часто тяготеют к регионам, где киберзащита еще созревает, где сотрудничество местных правоохранительных органов по киберпреступлениям может быть медленнее, или где языковая и культурная близость дает партнерам преимущество в создании убедительных фишинговых приманок и переговорах с местными жертвами.

Эта региональная направленность отражает модели, наблюдаемые в других местах. Активность вымогателей растет во всем мире: атаки выросли на 87% в годовом исчислении, а испанские компании в одиночку сталкиваются в среднем с 2 068 атаками в неделю. Группы, ищущие новые территории и менее насыщенные пулы жертв, все чаще выходят за пределы Северной Америки и Западной Европы, а растущая цифровая экономика Латинской Америки делает ее привлекательной целью именно для такого расширения.

Публичный отказ от атак на здравоохранение также заслуживает внимания. Группы вымогателей сталкивались с серьезной репутационной и правоохранительной реакцией после атак на больницы, нарушавших уход за пациентами в прошлом. Явно исключая здравоохранение, Moondancer, по-видимому, пытается снизить интенсивность внимания международных правоохранительных органов, одновременно создавая криминальное предприятие, которое может затронуть бизнес, местные органы власти и другие организации по всему региону.

Что это значит для вас

Если вы управляете бизнесом или ИТ-инфраструктурой в Латинской Америке, это событие — сигнал пересмотреть свою защиту от вымогателей сейчас, а не после инцидента. Атаки с привлечением партнеров, как правило, быстро наращиваются, как только группа RaaS выстраивает свою сеть, поскольку больше партнеров означает просто больше попыток взлома, происходящих параллельно.

Для отдельных пользователей риск менее прямой, но все же актуален. Партнеры вымогателей часто получают первоначальный доступ через фишинговые письма, скомпрометированные учетные данные удаленного доступа или вредоносные загрузки — те же методы, что используются в других кампаниях вредоносного ПО, включая недавние, например поддельный установщик CCleaner, распространяющий шпионское ПО GhostDesk. Проявление осторожности с загрузками и нежелательными ссылками остается одной из самых эффективных личных защит от превращения в точку входа для более крупного организационного взлома.

Практические выводы

Организациям в Латинской Америке, а также в любых других местах, где может в конечном итоге проявиться активность Moondancer, следует уделить приоритетное внимание нескольким конкретным шагам. Убедитесь, что точки удаленного доступа, включая VPN и RDP-подключения, требуют многофакторной аутентификации, поскольку скомпрометированные учетные данные остаются одним из самых распространенных векторов входа для вымогателей с участием партнеров. Храните офлайн-резервные копии критически важных данных, протестированные заранее, поскольку работающий план восстановления устраняет большую часть рычагов давления, на которые опирается требование выкупа. Обучите персонал распознаванию фишинговых попыток и отслеживайте необычную активность учетных записей, которая может указывать на то, что партнер уже получил доступ.

Появление вымогателей Moondancer — напоминание о том, что бизнес-модель RaaS продолжает порождать новых игроков, каждый из которых ищет недостаточно охваченные регионы и новых жертв. Оставаться в курсе этих изменений и применять базовые меры безопасности до того, как произойдет атака, остается самым надежным способом не стать частью следующего заголовка.