В июне 2026 года в списке действующих группировок программ-вымогателей появилось новое имя - Settra. За три месяца она заявила о 64 пострадавших компаниях. География атак охватывает США, Германию, Великобританию, Канаду и ряд других стран. Под удар попали технологии, производство, розничная торговля, логистика и юридические услуги. При этом ни одна медицинская организация в списке жертв не появилась. Для рынка вымогательства это редкое исключение, поскольку большинство групп не делает различий между отраслями.
Описание
Название группа позаимствовала у персонажа игровой вселенной Warhammer - древнего царя Сеттры, правителя мёртвого пустынного царства. Традиция брать имена мифологических героев и игровых персонажей существует давно. Так поступали Akira, Qilin, Medusa и Tengu. Выбор названия помогает группе создать узнаваемый бренд. Однако за названием стоит прагматичный подход к работе: аккуратно оформленный сайт, продуманный переговорный портал и распределённое хранение украденных данных.
Сайт утечек Settra устроен по знакомой схеме. Каждая жертва получает страницу с таймером обратного отсчёта. Отсчёт идёт до полной публикации данных. Когда срок истекает, статус меняется на "опубликовано". Необычная деталь - счётчик "пересылок", который встречается у подобных групп крайне редко; обычно показывают только число просмотров. Дополнительное отличие состоит в подробных досье на пострадавших. На странице можно увидеть финансовую отчётность, служебные письма, условия страховых выплат и описание бизнес-модели компании. Такой объём сведений, вероятно, готовят с помощью систем искусственного интеллекта, которым передают весь украденный массив. Ранее похожий подход применяла группа TITAN, но в гораздо более скромном виде.
Отдельного внимания заслуживает защита сайта от посторонних. Публичная страница открывается медленно и часто не загружается с первой попытки. Так работает система Anubis, которую создала компания Techaro. Это открытый механизм проверки, который заставляет посетителя решить вычислительную задачу до получения доступа. Такой барьер отсекает автоматических сборщиков данных и программы-обходчики. В результате исследователям сложнее следить за обновлениями, а случайный посетитель может решить, что группа прекратила работу.
Объёмы похищенного впечатляют. Всего опубликовано 56 карточек с указанием размера утечки. Размеры варьируются от одного гигабайта до 3,2 терабайта. Пять утечек измеряются терабайтами. Самый крупный массив принадлежит южнокорейской промышленной компании. По оценкам, передать такие объёмы данных реально за несколько часов при быстром канале связи. Украденные материалы размещены на трёх серверах, доступных только через сеть Tor. Раньше группа использовала четыре узла и ещё один добавила позднее. Торрент-раздачи она не публикует вовсе. Всё содержимое разбито на блоки и доступно прямо на странице жертвы.
Часть компаний из списка исчезла. За время наблюдения группировка убрала десять организаций, среди которых оператор волоконно-оптических сетей, производитель пищевых добавок и крупный интернет-магазин. Причины могут быть разными. Либо стороны договорились об оплате, либо это давление на остальных: исчезновение из списка создаёт видимость сделки. Подтвердить факт выплаты можно только по данным самой компании, поэтому выводы остаются предположением.
Для связи группа использует отдельный переговорный портал. Стандартный таймер до публикации составляет примерно 18 дней. Ещё 20 дней открыто окно переговоров. После входа жертва получает ключ возврата, который нужно сохранить. Без него история переписки недоступна даже при повторном входе. Такая мера защищает диалог от посторонних. В одном из наблюдавшихся случаев требования снижались постепенно: с 900 тысяч долларов до 500 тысяч. Рекомендации в переговорном окне разбиты по разделам, что упрощает жертве восприятие ситуации.
Начальный вектор атак, вероятно, связан с инфостилерами - вредоносными программами, которые собирают логины и пароли. По оценкам, на такие случаи приходится около половины инцидентов. Речь идёт о похищенных учётных данных, которые затем продают в даркнете. Покупатель получает доступ к корпоративной сети без единого взлома. Это не доказывает происхождение каждой атаки, но объясняет, откуда у злоумышленников появляются рабочие логины сотрудников.
Партнёрскую программу группа не открывает. Все атаки она проводит собственными силами, как и группа PLAY. По набору приёмов и аккуратности оформления видно, что за новым брендом стоят опытные исполнители. Масштаб операций позволяет прогнозировать расширение географии и отраслей. Компаниям стоит обновлять системы, включать двухфакторную аутентификацию и следить за утечками учётных данных. Отдельная задача - регулярно проверять резервные копии и хранить их изолированно от основной сети.
Индикаторы компрометации
