Группа DragonForce, известная своими атаками с использованием программ-вымогателей, продолжает наращивать влияние в криминальной экосистеме. С момента первых сообщений о её деятельности в 2023 году DragonForce претерпела значительные изменения, перейдя от модели Ransomware as a Service (RaaS) к формату картеля, привлекающего как новых, так и опытных операторов. Это делает её одной из самых опасных групп в 2025 году.
Описание
Хотя название DragonForce может ассоциироваться с хактивистской группировкой из Малайзии, действовавшей в 2021 году, нынешний киберпреступный коллектив не имеет к ней прямого отношения. DragonForce использует инфраструктуру, связанную с Россией, что указывает на её возможную причастность к русскоязычному киберпреступному сообществу. Более того, участники RansomHub даже обвиняли DragonForce в связях с ФСБ.
Группа отличается от классических хактивистов, поскольку её основная мотивация - финансовая выгода, а не политические или идеологические цели. DragonForce тщательно выбирает жертв, анализируя их доходы, и выставляет требования от сотен тысяч до миллионов долларов. Например, в одном из случаев в 2024 году они потребовали $7 млн.
DragonForce активно развивает свою инфраструктуру, включая сайт утечек данных, где публикует информацию о жертвах. В марте 2025 года группа объявила о создании картеля, предлагая партнёрам не только 80% прибыли, но и готовые инструменты для атак, включая автоматизацию процессов, серверы для хранения данных и панели управления.
Кроме того, DragonForce демонстрирует агрессивную стратегию по устранению конкурентов. В мае 2025 года группа опубликовала сообщение, намекающее на причастность к исчезновению RansomHub, а ранее провела атаку на сайт утечек данных группы Mamona.
Технически DragonForce использует сложные методы шифрования, включая частичное и полное кодирование файлов, а также эксплуатирует уязвимости, такие как CVE-2024-21412 и CVE-2024-21887. Группа активно применяет Living Off the Land-техники, маскируясь под легитимные процессы, что затрудняет её обнаружение.
Эксперты предполагают, что DragonForce может стоять за недавним инцидентом с LockBit, чья инфраструктура была скомпрометирована с сообщением "Don't do crime CRIME IS BAD xoxo from Prague". Если это так, то DragonForce не просто зарабатывает, а стремится к доминированию в мире киберпреступности, устраняя конкурентов и укрепляя свою власть.
С учётом растущей активности и стратегических шагов DragonForce остаётся одной из ключевых угроз для организаций по всему миру.
Индикаторы компрометации
SHA256
- 01f1e82d4c2b04a4652348fb18bb480396db2229c4fd22d2be1ea58e6bf4a570
- 312ca1a8e35dcf5b80b1526948bd1081fed2293b31d061635e9f048f3fe5eb83
- 5c54bd1aa2abf024f53490b7d93101496b5842a5a81a51955fe7f1d5e4281409
- 7126b9932dc0cdfe751340edfa7c4a14b69262eb1afd0530e6d1fdb2e25986dd
- 88169b1d4778ed6c5fda97375efb5b9171ea52649c8715bb449801c39bce4ad4
- ba1be94550898eedb10eb73cb5383a2d1050e96ec4df8e0bf680d3e76a9e2429
- d4de7d7990114c51056afeedb827d880549d5761aac6bdef0f14cb17c25103b3
- e1b147aa2efa6849743f570a3aca8390faf4b90aed490a5682816dd9ef10e473
