Группа DragonForce, известная своими атаками с использованием программ-вымогателей, продолжает наращивать влияние в криминальной экосистеме. С момента первых сообщений о её деятельности в 2023 году DragonForce претерпела значительные изменения, перейдя от модели Ransomware as a Service (RaaS) к формату картеля, привлекающего как новых, так и опытных операторов. Это делает её одной из самых опасных групп в 2025 году.
Описание
Хотя название DragonForce может ассоциироваться с хактивистской группировкой из Малайзии, действовавшей в 2021 году, нынешний киберпреступный коллектив не имеет к ней прямого отношения. DragonForce использует инфраструктуру, связанную с Россией, что указывает на её возможную причастность к русскоязычному киберпреступному сообществу. Более того, участники RansomHub даже обвиняли DragonForce в связях с ФСБ.
Группа отличается от классических хактивистов, поскольку её основная мотивация - финансовая выгода, а не политические или идеологические цели. DragonForce тщательно выбирает жертв, анализируя их доходы, и выставляет требования от сотен тысяч до миллионов долларов. Например, в одном из случаев в 2024 году они потребовали $7 млн.
DragonForce активно развивает свою инфраструктуру, включая сайт утечек данных, где публикует информацию о жертвах. В марте 2025 года группа объявила о создании картеля, предлагая партнёрам не только 80% прибыли, но и готовые инструменты для атак, включая автоматизацию процессов, серверы для хранения данных и панели управления.
Кроме того, DragonForce демонстрирует агрессивную стратегию по устранению конкурентов. В мае 2025 года группа опубликовала сообщение, намекающее на причастность к исчезновению RansomHub, а ранее провела атаку на сайт утечек данных группы Mamona.
Технически DragonForce использует сложные методы шифрования, включая частичное и полное кодирование файлов, а также эксплуатирует уязвимости, такие как CVE-2024-21412 и CVE-2024-21887. Группа активно применяет Living Off the Land-техники, маскируясь под легитимные процессы, что затрудняет её обнаружение.
Эксперты предполагают, что DragonForce может стоять за недавним инцидентом с LockBit, чья инфраструктура была скомпрометирована с сообщением "Don't do crime CRIME IS BAD xoxo from Prague". Если это так, то DragonForce не просто зарабатывает, а стремится к доминированию в мире киберпреступности, устраняя конкурентов и укрепляя свою власть.
С учётом растущей активности и стратегических шагов DragonForce остаётся одной из ключевых угроз для организаций по всему миру.
Индикаторы компрометации
