Ransomware & Ομάδες με Οικονομικά Κίνητρα

LockBit Black, LockBit 3.0

Ransomware-as-a-Service (οικονομικά υποκινούμενη)

Λειτουργία ransomware-as-a-service που ήταν, σε όγκο, η πιο ενεργή ομάδα ransomware παγκοσμίως πριν από διεθνή επιχείρηση επιβολής του νόμου τον Φεβρουάριο του 2024.

Το LockBit λειτουργούσε ένα μοντέλο συνεργατών που επέτρεπε σε ανεξάρτητες εγκληματικές ομάδες να χρησιμοποιούν το ransomware του έναντι ποσοστού από τις πληρωμές λύτρων, κάτι που του επέτρεψε να κλιμακωθεί και να διεκδικήσει πάνω από 2.000 θύματα και να αποσπάσει πάνω από 120 εκατ. $. Τον Φεβρουάριο του 2024, το FBI, η βρετανική National Crime Agency, η Europol και διεθνείς εταίροι εκτέλεσαν την Operation Cronos, κατασχέτοντας τους διακομιστές, τη σελίδα διαρροών και τον πηγαίο κώδικα του LockBit και διαβρώνοντας σκόπιμα την εμπιστοσύνη μεταξύ του LockBit και των περίπου 200 συνεργατών του. Οι επιθέσεις που αποδίδονται στο LockBit μειώθηκαν απότομα στη συνέχεια, αν και το μοντέλο ransomware-as-a-service που έκανε δημοφιλές συνεχίζεται μέσω διάδοχων ομάδων.

Στοχευόμενοι ΤομείςΜεταποίηση, υγεία, χρηματοοικονομικές υπηρεσίες, δημόσιος τομέας και επαγγελματικές υπηρεσίες, σε μεγάλο βαθμό αδιακρίτως κλάδου.

ALPHV, Noberus

Ransomware-as-a-Service (οικονομικά υποκινούμενη)

Λειτουργία ransomware-as-a-service ενεργή από τα τέλη του 2021 που κατέρρευσε σε φαινομενική απάτη εξόδου τον Μάρτιο του 2024, κλέβοντας την πληρωμή λύτρων ενός συνεργάτη αντί να πληρώσει.

Το BlackCat ήταν γνωστό για το ότι ήταν γραμμένο στη γλώσσα προγραμματισμού Rust, κάτι ασυνήθιστο για ransomware εκείνη την εποχή, και για επιθετικές τακτικές διπλού εκβιασμού. Μέχρι τον Σεπτέμβριο του 2023, το FBI εκτιμούσε ότι είχε παραβιάσει πάνω από 1.000 θύματα και είχε συγκεντρώσει σχεδόν 300 εκατ. $ σε πληρωμές λύτρων, δεύτερο μόνο μετά το LockBit. Μετά από επιχείρηση των αρχών των ΗΠΑ που διατάραξε την υποδομή του τον Δεκέμβριο του 2023, η λειτουργία έκανε απάτη εξόδου (exit scam) τον Μάρτιο του 2024, κρατώντας περίπου 22 εκατ. $ που προορίζονταν για έναν συνεργάτη αντί να τα καταβάλει. Η αρχική υπηρεσία δεν έχει επανέλθει· πολλοί από τους εκτιμώμενους 90+ συνεργάτες του πιστεύεται ότι μετακινήθηκαν σε διάδοχες λειτουργίες όπως οι RansomHub και Embargo.

Στοχευόμενοι ΤομείςΥγεία, χρηματοοικονομικές υπηρεσίες και άλλοι τομείς με δεδομένα υψηλής αξίας, στοχευμένοι ευκαιριακά.

Ransomware-as-a-Service (οικονομικά υποκινούμενη)

Κλειστή λειτουργία ransomware-as-a-service ενεργή από τον Απρίλιο του 2023 που έγινε μία από τις πιο παραγωγικές ομάδες ransomware παγκοσμίως σε έσοδα λύτρων το 2025.

Το Akira χρησιμοποιεί το συνηθισμένο μοντέλο διπλού εκβιασμού, κρυπτογραφώντας συστήματα ενώ παράλληλα κλέβει δεδομένα για να πιέσει προς πληρωμή. Δημόσιες αναφορές το κατατάσσουν μεταξύ των ομάδων ransomware με τα υψηλότερα έσοδα, και έχει δείξει σταθερή ικανότητα να προσαρμόζει στόχους και εργαλεία ως απάντηση στην πίεση των διωκτικών αρχών. Σύμφωνα με δημόσιες αναφορές, ο αριθμός των θυμάτων που δημοσιεύονται στον ιστότοπο διαρροών του συνεχίζει να αυξάνεται.

Στοχευόμενοι ΤομείςΜεταποίηση, επαγγελματικές υπηρεσίες, υγεία και εκπαίδευση, με μοτίβο εκμετάλλευσης ευπαθειών VPN και απομακρυσμένης πρόσβασης.

Clop, TA505

Εκβιασμός δεδομένων (οικονομικά υποκινούμενη)

Ομάδα γνωστή για μαζική εκμετάλλευση ευπαθειών σε λογισμικό μεταφοράς αρχείων και επιχειρήσεων για κλοπή δεδομένων σε κλίμακα, συχνά χωρίς καθόλου κρυπτογράφηση.

Η χαρακτηριστική προσέγγιση του Cl0p είναι η εκμετάλλευση μίας ευπάθειας σε ευρέως χρησιμοποιούμενο επιχειρηματικό λογισμικό για την παραβίαση δεκάδων ή εκατοντάδων οργανισμών σε μία εκστρατεία, και στη συνέχεια ο εκβιασμός τους με κλεμμένα δεδομένα αντί για κρυπτογράφηση συστημάτων. Η μαζική εκμετάλλευση ευπάθειας του MOVEit Transfer το 2023 επηρέασε χιλιάδες οργανισμούς. Δημόσιες αναφορές έχουν έκτοτε συνδέσει το Cl0p με νέες εκστρατείες του ίδιου τύπου, μεταξύ άλλων κατά λογισμικού διαχείρισης κύκλου ζωής προϊόντων που χρησιμοποιούν οι κατασκευαστές, και παραμένει μία από τις πιο δραστήριες ομάδες εκβιασμού σε αριθμό θυμάτων που δημοσιεύει στον ιστότοπο διαρροών του.

Στοχευόμενοι ΤομείςΚάθε οργανισμός που χρησιμοποιεί το συγκεκριμένο επιχειρηματικό λογισμικό που εκμεταλλεύεται μαζικά σε μια εκστρατεία, σε μεταποίηση, χρηματοοικονομικά και επαγγελματικές υπηρεσίες.

Carbon Spider, Sangria Tempest

Οικονομικά υποκινούμενη

Οικονομικά υποκινούμενη ομάδα ενεργή από περίπου το 2013, ιστορικά γνωστή για στόχευση συστημάτων point-of-sale και, πιο πρόσφατα, για συνδέσεις με πολλαπλές λειτουργίες συνεργατών ransomware.

Το FIN7 αρχικά εστίαζε στην κλοπή δεδομένων καρτών πληρωμής από συστήματα point-of-sale λιανικής και φιλοξενίας, χρησιμοποιώντας spear-phishing για την αρχική πρόσβαση. Στη μακρά επιχειρησιακή του ιστορία έχει αναδιοργανωθεί επανειλημμένα υπό διαφορετικές ταυτότητες εταιρειών-βιτρίνας και έχει συνδεθεί από ερευνητές με ανάπτυξη ransomware μέσω συνεργασιών με πολλαπλά brands ransomware-as-a-service με την πάροδο των ετών. Η μακροβιότητα και η επανειλημμένη ανανέωσή του το καθιστούν μία από τις πιο επίμονες οικονομικά υποκινούμενες ομάδες απειλών που παρακολουθεί ο κλάδος της ασφάλειας.

Στοχευόμενοι ΤομείςΛιανικό εμπόριο, φιλοξενία, εστιατόρια, και όλο και περισσότερο ευρύτερο φάσμα τομέων.

UNC3944, Octo Tempest, Muddled Libra

Οικονομικά υποκινούμενη / εκβιασμός

Οικονομικά υποκινούμενη ομάδα γνωστή για εξελιγμένη κοινωνική μηχανική, ιδίως προσποίηση τμήματος τεχνικής υποστήριξης και SIM swapping, που έχει εξελιχθεί σε άμεση ανάπτυξη ransomware.

Σε αντίθεση με τους περισσότερους χειριστές ransomware, η βασική δεξιότητα του Scattered Spider είναι η χειραγώγηση ανθρώπων, όχι η εκμετάλλευση λογισμικού: τηλεφωνήματα σε τμήματα τεχνικής υποστήριξης με τα μέλη να υποδύονται εργαζομένους για να επαναφέρουν διαπιστευτήρια και να παρακάμψουν το MFA, ή SIM-swapping του αριθμού τηλεφώνου του στόχου για υποκλοπή κωδικών ταυτοποίησης. Κοινή συμβουλευτική FBI/CISA (ενημερωμένη τον Ιούλιο του 2025) τεκμηρίωσε τη στροφή της ομάδας προς τη χρήση του ransomware DragonForce και την απευθείας στόχευση περιβαλλόντων VMware ESXi. Παρά τις πολλαπλές συλλήψεις φερόμενων μελών το 2024 και το 2025, η αποκεντρωμένη δομή της την κράτησε επιχειρησιακά ανθεκτική, και δημόσιες αναφορές δείχνουν ότι η δραστηριότητά της συνεχίζεται.

Στοχευόμενοι ΤομείςΤεχνολογία, τηλεπικοινωνίες, χρηματοοικονομικές υπηρεσίες, και όλο και περισσότερο κρίσιμες υποδομές και λιανικό εμπόριο.