Przegląd najnowszych kampanii ransomware: jak atakują i które systemy są dziś najbardziej narażone

Co się zmieniło w krajobrazie ransomware w ostatnich latach

Od prostych kampanii do zorganizowanej przestępczości cyfrowej

Ransomware jeszcze kilka lat temu kojarzył się głównie z masowymi kampaniami: losowy e‑mail, przypadkowy użytkownik, kilka zaszyfrowanych komputerów. Dziś dominują ukierunkowane, dobrze zaplanowane operacje, które często wyglądają bardziej jak akcja „red teamu” niż „wirus z internetu”. Zmienił się zarówno poziom techniczny, jak i biznesowy całego ekosystemu.

Napastnicy przestali liczyć na tysiące małych okupów. Dzisiaj wolą jeden skuteczny atak na organizację, która nie może pozwolić sobie na przestój – szpital, producent działający w „just in time”, operator logistyczny czy urząd miasta. Kwoty żądań poszły w górę, podobnie jak profesjonalizacja narzędzi, procesów i podziału pracy.

Współczesna kampania ransomware przypomina projekt wdrożeniowy w dużej firmie IT: jest faza rozpoznania, „proof of concept”, eskalacja, a na koniec „go-live” w postaci masowego szyfrowania. Do tego dochodzi marketing (strony z wyciekami danych), obsługa klienta (helpdesk dla ofiar) i „finanse” (negocjacje okupu, rabaty, terminy).

Ransomware-as-a-Service – franczyza dla cyberprzestępców

Największą zmianą, która napędziła wzrost ataków, jest model ransomware-as-a-service (RaaS). Twórcy złośliwego oprogramowania nie muszą już sami włamywać się do firm. Tworzą „platformę”, którą udostępniają innym przestępcom – tak jak legalne SaaS-y udostępniają narzędzia biznesowe.

W modelu RaaS role są podzielone:

• Developerzy tworzą, aktualizują i utrzymują sam kod ransomware, panele zarządzania, infrastrukturę do negocjacji i wycieków danych.
• Operatorzy/afilianci specjalizują się w zdobywaniu dostępu do organizacji (phishing, RDP, luki w VPN-ach) i w przeprowadzeniu samego ataku.
• Pośrednicy dostępu (Initial Access Brokers, IAB) handlują gotowymi dostępami do sieci firm: konta VPN, RDP, domeny Active Directory.

Całość działa jak franczyza: afiliant płaci twórcom ransomware prowizję od każdego okupu. Dzięki temu osoba z podstawową wiedzą techniczną i budżetem na zakup „wejściówek” od IAB może przeprowadzić zaawansowaną kampanię, korzystając z gotowego zaplecza.

Profesjonalne „usługi” dla ofiar i wielokrotne wymuszenie

Gangi ransomware zaczęły budować wizerunek „racjonalnego partnera negocjacyjnego”. Pojawiły się:

• helpdeski przestępcze – czaty, na których ofiara kontaktuje się z „supportem” grupy, dostaje instrukcje, próbki odszyfrowywania, a nawet „gwarancje” co do usunięcia danych po zapłacie,
• „polityki prywatności” dla ofiar – opisy, że grupa „nie atakuje szpitali” lub „nie interesuje jej sektor edukacji” (co w praktyce często okazuje się pustą deklaracją),
• negocjatorzy – po obu stronach: gangi zatrudniają osoby z doświadczeniem w sprzedaży, a większe firmy – zewnętrzne firmy negocjacyjne.

Kluczową ewolucją jest przejście od samego szyfrowania do kradzieży danych. Klasyczne ransomware blokowało dostęp, ale jeśli firma miała przyzwoite kopie zapasowe, mogła obyć się bez płacenia. Dzisiejsze kampanie korzystają z modeli:

• double extortion – najpierw kradzież danych, potem szyfrowanie. Ofierze grozi się publikacją poufnych informacji (dane osobowe, dokumenty, projekty) w razie braku zapłaty.
• triple extortion – dodatkowo szantażowanie partnerów, klientów lub użytkowników końcowych: „Twoja firma nie chce zapłacić, więc uderzymy bezpośrednio w Twoich klientów”.

Dzięki temu mechanizmowi same backupy już nie wystarczają. Nawet jeśli firma odtworzy systemy, pozostaje problem wycieku i konsekwencji prawnych (RODO, tajemnica przedsiębiorstwa, utrata zaufania).

Jak działają najnowsze kampanie ransomware – schemat krok po kroku

Łańcuch ataku: od rekonesansu do szyfrowania

Większość współczesnych kampanii ransomware realizuje bardzo podobny łańcuch ataku. Różnią się narzędzia, ale logika jest zaskakująco stała: wejść cicho, rozejrzeć się, przejąć kontrolę nad czym się da, potem uderzyć jednym ciosem. Dobrze jest patrzeć na ransomware tak, jak na każdy inny zaawansowany atak typu APT.

Faza rozpoznania: szukanie słabych punktów organizacji

Na początku napastnicy zbierają informacje – tu nic nie dzieje się „przypadkiem”. Wykorzystują:

• skanowanie internetu pod kątem otwartych usług (RDP, VPN, panele administracyjne), starych wersji oprogramowania, niezałatanych serwerów WWW czy systemów pocztowych,
• OSINT – dane z LinkedIn, Biuletynów Informacji Publicznej, stron firmowych, ogłoszeń o pracę (informacje o używanych systemach, dostawcach IT, strukturze organizacji),
• publiczne bazy wycieków haseł – szukają kont powiązanych z domeną firmy, by sprawdzić, czy te same hasła nie działają nadal w usługach korporacyjnych.

Im lepiej poznają środowisko, tym łatwiej im dobrać metodę wejścia i przygotować spersonalizowane scenariusze phishingowe – np. wiadomość stylizowaną na komunikat od konkretnego dostawcy oprogramowania, z którego korzysta firma.

Initial access: phishing, RDP, VPN i luki w aplikacjach

Po fazie rekonesansu następuje zdobycie pierwszego przyczółka w sieci ofiary. Najpopularniejsze wektory wejścia to:

• ukierunkowany phishing (spear phishing) – atak na konkretne osoby lub działy, np. księgowość; e‑maile z fałszywymi fakturami, aneksami do umów, potwierdzeniami przelewów,
• kompromitacja zdalnego pulpitu (RDP) – słabe hasła, brak 2FA, wystawione RDP bez VPN, czasem dostęp kupiony od IAB na forach przestępczych,
• podatne VPN-y i bramy zdalnego dostępu – znane luki w popularnych rozwiązaniach (często z dostępnymi exploitami), brak aktualizacji, domyślne konfiguracje,
• luki w aplikacjach webowych – panele administracyjne systemów ERP, CRM, systemów backupu, serwerów pocztowych, systemów plików udostępnionych przez www.

Czasem pierwszym krokiem jest drobny błąd użytkownika: otwarta załączona „faktura”, która instaluje loader; w innym przypadku – bezpośredni dostęp do VPN dzięki słabemu hasłu działu IT. Z punktu widzenia napastnika ważne jest tylko jedno: stabilny dostęp, który nie wzbudza podejrzeń.

Lateral movement: przemieszczanie się w sieci jak administrator

Gdy napastnicy mają już pierwsze konto lub maszynę, zaczyna się etap „chodzenia po sieci”. Tu widać, jak bardzo kampanie ransomware upodobniły się do ataków APT. Zamiast egzotycznych narzędzi, grupy często korzystają z tego samego arsenału, co administratorzy:

• PowerShell – skrypty do zbierania informacji o domenie, kontach, udziałach sieciowych,
• PsExec, WMI – zdalne uruchamianie poleceń na innych maszynach w sieci,
• RDP wewnętrzny – łączenie się między serwerami i stacjami roboczymi,
• narzędzia do administracji domeną – jeśli uda się zdobyć konto z uprawnieniami domenowymi.

Celem jest eskalacja uprawnień – zdobycie konta administratora domeny lub co najmniej uprawnień do kluczowych serwerów: kontrolerów domeny, serwerów plików, serwerów backupu, hypervisorów. Zdarza się, że napastnik przez kilka tygodni lub miesięcy krąży po sieci, budując swoje przyczółki i zbierając informacje.

Neutralizacja obrony: wyłączanie AV/EDR i niszczenie kopii

Przed finałowym uderzeniem gangi ransomware wyciszają systemy ochronne. Typowe działania to:

• wyłączanie usług antywirusa lub EDR,
• odinstalowywanie agentów bezpieczeństwa, jeśli uprawnienia na to pozwalają,
• modyfikacja zasad GPO tak, by uniemożliwić start określonych procesów monitorujących,
• usuwanie lub uszkadzanie lokalnych kopii zapasowych (np. Shadow Copies na Windows),
• atak na serwery backupu: kasowanie repozytoriów, zmiana konfiguracji retencji, szyfrowanie lub uszkadzanie plików backupowych.

Część nowoczesnych rodzin ransomware zawiera twardo zaszyte listy procesów i usług do wyłączania: od popularnych antywirusów po oprogramowanie bazodanowe i backupowe. Chodzi o maksymalne utrudnienie odtworzenia środowiska oraz o przyspieszenie szyfrowania (brak blokad na otwartych plikach).

Finał ataku: masowe szyfrowanie i wyciek danych

W końcowej fazie napastnicy często uruchamiają scalony atak na wiele maszyn jednocześnie, czasem z poziomu kontrolera domeny. Skrypt lub złośliwy agent dystrybuowany jest na dziesiątki czy setki stacji roboczych i serwerów, szyfrując:

• serwery plików i udziały sieciowe,
• serwery baz danych i aplikacyjne,
• maszyny wirtualne, a w nowszych kampaniach – bezpośrednio pliki VM na hypervisorach,
• lokalne dyski użytkowników, zwłaszcza tam, gdzie przechowywane są wrażliwe dokumenty.

Równolegle działa komponent odpowiedzialny za wyciek danych: wcześniej wykradzione archiwa, bazy danych czy dokumenty są przesyłane na serwery kontrolowane przez gang (często w chmurze – np. na skompromitowane konta lub serwery VPS w „przyjaznych” jurysdykcjach). Po zakończeniu szyfrowania na maszynach pojawiają się noty okupu – pliki tekstowe/HTML z instrukcjami, jak wejść na stronę w sieci Tor, by zacząć negocjacje.

Najpopularniejsze grupy i rodziny ransomware – charakterystyczne techniki

Styl działania wybranych współczesnych gangów

Nie ma sensu budować „mitologii” wokół grup ransomware, ale znajomość ich typowych taktyk pomaga szybciej rozpoznać z czym ma się do czynienia. Najbardziej aktywne rodziny w ostatnich latach korzystają z podobnych fundamentów, jednak różnią się preferowanym wektorem wejścia, celami i poziomem agresji w negocjacjach.

Wśród często obserwowanych rodzin i ekosystemów pojawiają się między innymi:

• LockBit – długo jeden z najbardziej rozpoznawalnych ekosystemów RaaS, znany z agresywnego modelu double extortion oraz bogatej infrastruktury wycieku danych.
• BlackCat/ALPHV – ransomware napisany w Rust, ataki na różne platformy (Windows, Linux, ESXi), silny nacisk na publikacje wycieków.
• Cl0p – znany z ataków na łańcuch dostaw i masowego wykorzystywania luk w popularnym oprogramowaniu (np. serwery transferu plików, rozwiązania do wymiany danych), silnie nastawiony na kradzież danych.
• Royal / BlackSuit – kampanie ukierunkowane na średnie i duże organizacje, częste wykorzystanie telefonicznego i mailowego nękania ofiar.

Warto patrzeć na te nazwy bardziej jak na marki niż na stałe, niezmienne organizacje. Ekipy rozpadają się, łączą, zmieniają nazwy po głośnych zatrzymaniach lub wewnętrznych sporach. Dla obrońców liczy się przede wszystkim arsenał techniczny i modus operandi, a nie logo na stronie wyciekowej.

Typowe taktyki: łańcuch dostaw, 0‑daye, dostawcy IT

Najgroźniejsze kampanie z ostatnich lat rzadko ograniczają się do prostego phishingu. Coraz częściej widać ataki na:

• łańcuch dostaw – infekcja oprogramowania lub infrastruktury zaufanego dostawcy, a potem „rozlanie się” do jego klientów (np. kompromitacja aktualizacji oprogramowania, serwerów dystrybucyjnych, wtyczek),
• dostawców IT i MSP – przejęcie kont administracyjnych firmy świadczącej usługi IT dla wielu małych/średnich firm, a następnie wykorzystanie ich narzędzi zdalnego zarządzania do rozprzestrzeniania ransomware,
• 0‑daye – luki bez dostępnych jeszcze poprawek, szczególnie w popularnych komponentach infrastruktury (VPN, serwery pocztowe, systemy do transferu plików).

Presja psychologiczna i ekonomiczna: negocjacje jako produkt

Dla wielu gangów ransomware szyfrowanie to dopiero początek gry. Głównym „produktem” jest dobrze przemyślana presja psychologiczna i ekonomiczna. Gdy środowisko stoi, a kopie zapasowe są niepewne, zaczyna się etap negocjacji – zwykle przez komunikator w sieci Tor lub szyfrowany czat.

Atakujący często zachowują się jak dział „obsługi klienta premium”:

• udowadniają, że posiadają dane – pokazują fragmenty baz, dokumentów, exporty z systemów HR lub finansowo‑księgowych,
• „tłumaczą” wysokość okupu – odnosząc ją do obrotów czy zysku firmy, aby kwota wyglądała „racjonalnie”,
• oferują „zniżki” przy szybkim przelewie albo podniesienie ceny, jeśli rozmowy się przeciągają,
• obiecują „wsparcie techniczne” w odszyfrowaniu środowiska, włącznie z pseudo‑manualami czy skryptami naprawczymi.

Coraz częściej pojawia się też triple extortion: oprócz groźby nieodszyfrowania danych i wycieku do sieci, gang przeprowadza dodatkową presję – np. rozsyła maile do klientów lub partnerów biznesowych ofiary z informacją o incydencie, czasem dzwoni do kadry kierowniczej czy zarządu. Celem jest jedno: zwiększyć koszt „niezrobienia przelewu”.

W praktyce wygląda to czasem bardzo przyziemnie: dyrektor finansowy odbiera prywatny telefon z zagranicznego numeru, a po drugiej stronie ktoś spokojnym głosem czyta fragment jego korespondencji mailowej, pytając, czy „firma na pewno nie chce rozwiązać sprawy po cichu”.

Wektory ataku, które dziś „pracują” najczęściej

Phishing 2.0: od masowych kampanii do hiper‑personalizacji

Klasyczny phishing – masowe maile z „fakturą” – nie zniknął. Zmieniła się jednak jakość. Zamiast tysięcy przypadkowych adresów, napastnicy wolą kilkudziesięciu dobrze dobranych odbiorców w konkretnej organizacji.

Do przygotowania takich wiadomości wykorzystują m.in.:

• dane z LinkedIn i mediów społecznościowych – kto do kogo raportuje, jakie projekty prowadzi, z jakimi dostawcami współpracuje,
• informacje z BIP i rejestrów przetargów – jaki system ERP, jaką platformę e‑zamówień czy jakie rozwiązanie chmurowe kupiła instytucja,
• szablony realnych korespondencji – przejęte konta mailowe służą do „przeklejenia” stylu językowego i wątków rozmów.

Efekt? Mail z prośbą o „pilne potwierdzenie nowej specyfikacji” wygląda tak samo jak sto poprzednich, tylko w tym jednym załącznik zawiera loader ransomware albo link prowadzi do fałszywej strony logowania z kradzieżą haseł.

Ataki na zdalny dostęp: RDP, VPN i panele administracyjne

Drugą, niezmiennie silną nogą współczesnego ransomware są systemy zdalnego dostępu. Wszystko, co wystaje do Internetu i pozwala dostać się głębiej w sieć, jest traktowane jak bilet wstępu.

Najczęściej spotykane scenariusze to:

• RDP „wystawione” bez pośredniczącego VPN – brute force, słabe hasła, brak blokad po błędnych logowaniach,
• VPN z lukami lub bez MFA – stare wersje popularnych rozwiązań, łatwe do odgadnięcia kombinacje login+hasło, certyfikaty współdzielone przez wielu administratorów,
• panele administracyjne (systemy kopii zapasowych, panel ESXi, Veeam, narzędzia RMM) wystawione bez ograniczeń IP – często z domyślnymi kontami albo hasłami „tymczasowymi”, które nigdy nie zostały zmienione.

Do tego dochodzi rosnąca rola dostawców zdalnej obsługi IT. Jeżeli firma MSP ma jedno konto administracyjne z dostępem do kilkudziesięciu klientów, to przejęcie takiego konta bywa dla gangu „skrótem klawiszowym” do wielu środowisk naraz.

Luki w popularnym oprogramowaniu: od serwerów pocztowych po narzędzia do transferu plików

Kampanie ransomware coraz chętniej wykorzystują masowo eksploatowane podatności. Po opublikowaniu opisu luki i PoC zdarza się, że w ciągu kilku dni widać skanowanie Internetu przez boty powiązane z gangami.

Pod ostrzałem są przede wszystkim:

• serwery pocztowe i bramy – luki typu RCE i SSRF, które pozwalają przejąć uprawnienia systemowe lub wykraść skrzynki,
• systemy do wymiany/transferu plików – popularne platformy używane do dużych transferów między firmami lub do udostępniania danych klientom,
• aplikacje webowe „szyte na miarę” – portale klienta, systemy zgłoszeniowe, panele B2B, często z brakiem twardych testów bezpieczeństwa.

Jeżeli w dodatku taki system jest spięty z AD lub innym centralnym repozytorium kont, pojedyncza luka w panelu B2B może szybko zmienić się w kompromitację całej domeny.

Które systemy i środowiska są najbardziej narażone dzisiaj

Środowiska Windows i Active Directory – „magnes” dla ransomware

Największy odsetek udanych kampanii nadal rozgrywa się w klasycznych środowiskach: Windows + Active Directory. To tam zwykle znajdują się:

• centralne serwery plików z dokumentacją całej firmy,
• systemy domenowe i polityki GPO, które można wykorzystać do masowego rozsyłania malware,
• kontrolery domeny, dzięki którym po przejęciu można praktycznie „stać się” administratorem wszystkiego.

Grupy ransomware bardzo dobrze znają typową architekturę AD: kontrolery w jednej podsieci, serwery plików w innej, stacje robocze w kolejnych. Wiedzą też, gdzie najczęściej leżą błędy: stare konta serwisowe z hasłami niezmienianymi od lat, uprawnienia Domain Admin nadane „na chwilę” i zostawione na stałe, serwery terminali z pełnymi prawami do udziałów sieciowych.

Hypervisory i wirtualizacja: atak w jedną maszynę, efekt na dziesiątki

Jeszcze kilka lat temu większość gangów skupiała się na stacjach roboczych i pojedynczych serwerach. Dziś bardzo atrakcyjnym celem są hypervisory (ESXi, Hyper‑V, inne systemy wirtualizacji). Jeżeli uda się przejąć hosta, szyfrowanie vmdk czy innych plików dysków wirtualnych jednym ruchem wyłącza całe klastry systemów.

Atakujący:

• szukają paneli zarządzania hypervisorami dostępnych z sieci produkcyjnej lub nawet z Internetu,
• korzystają z luk w API lub modułach zarządzających,
• używają „legalnych” funkcji – np. skryptów do snapshotów czy migracji maszyn – do przygotowania środowiska pod szyfrowanie.

Wiele organizacji boleśnie przekonało się, że „ochrona serwerów” to za mało, jeśli hypervisor traktowany jest jak zwykły serwer aplikacyjny i nie ma osobnej segmentacji ani twardszej kontroli dostępu.

Systemy Linux i urządzenia sieciowe – cel, którego wcześniej nie doceniano

Dynamiczny rozwój ransomware w Rust, Go i C++ sprawił, że Linux przestał być „bezpiecznym z definicji” tłem. Coraz więcej gangów posiada wersje swoich ładunków dla:

• serwerów aplikacyjnych opartych na Linuksie (np. systemy ERP, platformy e‑commerce),
• kontenerów i klastrów Kubernetes – szyfrowane są wolumeny danych, pliki konfiguracyjne, a czasem same obrazy,
• urządzeń NAS i SAN z wbudowanym „okrojonym” Linuksem.

Równolegle rośnie liczba incydentów, w których celem stają się urządzenia sieciowe – routery, firewalle, VPN‑y, load balancery. Nawet jeśli nie są bezpośrednio szyfrowane, ich przejęcie daje atakującym możliwości podsłuchu ruchu, pivotu w głąb sieci czy wyłączenia krytycznych usług, co dodatkowo potęguje paraliż organizacji.

Systemy kopii zapasowych i magazyny danych

Jeżeli celem ransomware jest zniszczenie zdolności do odtworzenia środowiska, naturalnym celem stają się systemy backupu. Gangi dobrze wiedzą, jak nazywają się popularne produkty i ich usługi, w logach i konfiguracji zostawiają często ślady szukania:

• serwerów backupu i repozytoriów,
• magazynów typu NAS wykorzystywanych do przechowywania kopii,
• połączeń z chmurą (S3, Azure Blob, Google Cloud Storage) obsługiwanych z lokalnych serwerów backupowych.

Częsty scenariusz: napastnik z uprawnieniami domenowymi uzyskuje dostęp do konsoli backupu, wyłącza zadania, skraca retencję, usuwa stare snapshoty, a na końcu szyfruje lub usuwa to, co pozostało. Dopiero po takich działaniach włącza się właściwy moduł ransomware na serwerach i stacjach.

Środowiska hybrydowe i chmura publiczna

Firmy coraz częściej działają w modelu hybrydowym: część systemów w on‑prem, część w chmurze. To dla gangów interesujące z dwóch powodów. Po pierwsze, zwi�