DragonForce - это не только название программы-вымогателя, но и экосистема, где одни участники предоставляют инструменты, а другие проводят атаки. Разбор одного из проверенных образцов показал: он шифрует локальные файлы и доступные сетевые папки, удаляет теневые копии, останавливает выбранные программы и добавляет к зашифрованным данным приписку .df_win. Самостоятельно, как сетевой червь, этот образец не распространяется. Он не крадёт учётные данные, не собирает и не выгружает файлы. Эти задачи остаются на стороне тех, кто получил доступ в сеть жертвы. Такой вывод меняет картину угрозы: перед нами не автономный вирус, а программа для завершающей стадии атаки. Анализ проводили по одному проверенному образцу, поэтому выводы касаются именно его кода, а не всей активности под этим брендом.
Описание
Партнёрская схема DragonForce строится на разделении ролей. Публичное объявление 2024 года обещало исполнителям 80% дохода, а организаторам - 20%. Кандидатов просили приносить доступ к компаниям с выручкой не менее 5 миллионов долларов и уже похищенные данные. Такие условия описывают модель сервиса, но не доказывают, что каждая атака шла именно по этим правилам. Панель управления делит участников на администраторов и рекламодателей, ведёт отдельные счётчики активности и поддерживает командные роли. При этом публичный псевдоним не раскрывает, кто стоит за аккаунтом и как именно использовали конкретную функцию в том или ином взломе. К августу 2026 года в открытых списках насчитывалось 634 уникальных заявки. Больше всего пострадавших среди профессиональных услуг и производства. Далее идут технологии, розничная торговля, здравоохранение и транспорт. География заявок охватывает США, Великобританию, Германию, Канаду, Италию и Австралию. Публичные заявки росли быстро. Этот показатель измеряет активность площадки, а не реальное число атак. Разные группы используют свои правила подсчёта, поэтому цифры из разных отчётов нельзя сравнивать напрямую. Часть жертв могла заплатить и остаться вне списков, часть заявок может быть устаревшей или ошибочной.
По данным разбора, после получения доступа злоумышленники вручную закрепляются в сети, а затем запускают готовый шифровальщик. Он не копирует себя на другие машины, но может шифровать сетевые папки, если у процесса есть права на запись. Для каждого файла создаётся отдельный ключ, а сведения для восстановления защищают асимметричным шифрованием с длиной ключа 4096 бит. Универсального средства расшифровки для этого формата не нашли. Восстановление возможно, если остались неповреждённые резервные копии, снимки, до которых не добрался вредоносный код, или если в будущем обнаружится ошибка в реализации. Отсутствие публичного дешифратора не означает, что расшифровка невозможна математически. Шифровальщик выбирает разные режимы обработки. Небольшие файлы он шифрует полностью, крупные - частично. Виртуальные диски и контейнеры обрабатывает выборочно. Такой подход ускоряет атаку и усложняет восстановление без ключа. Устойчивых признаков вроде повторного использования ключей или скрытой слабости в схеме защиты не нашли. Записка о выкупе ведёт переговоры в анонимной сети, обещает тестовую расшифровку и список похищенных файлов, а также называет примерный срок публикации данных.
Последствия выходят за пределы одной компании. Британский центр кибербезопасности связал DragonForce с разрушительными атаками на розничный сектор в 2025 году. По его данным, атаки нарушили платежи клиентов и привели к краже данных всех 6,5 миллиона участников Co-op. Национальное агентство по борьбе с преступностью сообщило о четырёх арестах после атак на M&S, Co-op и Harrods в апреле 2025 года, но не назвало DragonForce и не связало задержанных с конкретным образцом. Microsoft наблюдала использование DragonForce в атаках группировки Octo Tempest, однако это не делает её частью внутренней структуры DragonForce. Бренд экосистемы и один исполняемый файл доказывают разные вещи. Один подтверждает наличие сервиса и заявок, другой - только те возможности, которые есть в коде. Публичные списки и заявления площадок не заменяют расследование. Они полезны как ориентир, но не доказывают факт взлома конкретной компании.
Для защиты важно разделить сети и ограничить права на запись в общие папки. Одна скомпрометированная учётная запись может повредить множество доступных сетевых ресурсов. Поэтому стоит проверять массовые изменения файлов, всплески обращений к сетевым дискам и удаление теневых копий. Резервные копии следует держать вне основной сети и регулярно проверять их восстановление. Двухфакторная аутентификация, обновление систем и ограничение прав администратора снижают шансы на успешную атаку. Если заражение произошло, нужно сохранить журналы работы программы и несколько зашифрованных файлов для последующего анализа. Полезно заранее определить, какие сетевые папки действительно требуют общего доступа, а какие можно закрыть. Отдельного внимания требуют учётные записи с широкими правами. Их стоит пересматривать и сокращать до необходимого минимума.
Практический вывод прост. DragonForce показывает, как арендная модель ускоряет атаки и расширяет круг исполнителей. Организациям стоит готовиться не к конкретному названию вредоносной программы, а к сценарию: кража доступа, ручное закрепление, выгрузка данных и запуск шифровальщика. Сегментация, контроль прав и проверенные резервные копии уменьшают ущерб. Публичные заявления о взломах растут быстрее, чем подтверждённые инциденты, поэтому решения о защите лучше строить на проверенных фактах и собственной модели рисков. Главное - не ждать, пока появится универсальное средство расшифровки. Гораздо надёжнее заранее ограничить ущерб и сохранить возможность восстановиться.
Индикаторы компрометации
YARA
