Группировка INC Ransom, действующая по модели RaaS (программы-вымогатели как услуга), с середины 2023 года остаётся одним из самых активных операторов вымогательского ПО. За 2025-2026 годы число публично подтверждённых жертв превысило 800 организаций. Атаки строятся на двойном вымогательстве: шифрование инфраструктуры сочетается с эксфильтрацией данных. Особенностью группировки стала высокая степень автоматизации, что радикально сокращает время от начального проникновения до запуска шифровальщика.
Описание
INC Ransom не привязана к одному сектору экономики. Цели распределены по широкому кругу отраслей - от здравоохранения и производства до бизнес-услуг. Географически основная масса жертв находится в США, однако атаки фиксируются в Европе, Азии и других регионах. Данные о кампаниях против организаций из стран СНГ и Китая отсутствуют. Инфраструктура группировки включает собственный сайт утечек (Data Leak Site), где публикуются данные жертв, отказавшихся платить выкуп. Регулярное обновление портала служит инструментом психологического давления и одновременно демонстрирует надёжность оператора для потенциальных партнёров.
Ключевой элемент тактики INC Ransom - использование штатных механизмов Windows. После получения доступа к контроллеру домена злоумышленники применяют Active Directory, групповые политики (GPO) и фреймворк Impacket для массового распространения вредоносной нагрузки. В ходе анализа одного из серверов, ошибочно оставленного с открытым каталогом, специалистам удалось восстановить полную цепочку атаки. Найденные скрипты upload_gpo.py и deploy.bat раскрывают автоматизированный процесс: сначала на контроллер домена загружаются файлы развёртывания, затем через групповую политику Default Domain Policy они доставляются на все рабочие станции и серверы домена.
Скрипт deploy.bat выполняет несколько задач. Он отключает Защитник Windows и контроль учётных записей (UAC) путём редактирования реестра, останавливает службы безопасности через утилиту sc и taskkill. После этого в список исключений антивируса добавляется папка C:\Windows\Temp, и начинается загрузка исполняемого файла agent.exe с удалённого сервера. Для загрузки используются certutil, PowerShell, bitsadmin и copy, что позволяет обойти простые блокировки. Загруженный файл сохраняется как svchost.exe и запускается с параметрами kill, hide, ens, lhd и mode fast. Режим fast ускоряет шифрование в ущерб незаметности.
Шифровальщик написан на Rust, что стало стандартом для современных вымогателей благодаря устойчивости к статическому анализу и эффективной многопоточности. Криптографическая схема гибридная: на основе X25519 (ECDH) и AES-CTR. Для каждого файла генерируется уникальный ключ, метаданные с открытым ключом добавляются к зашифрованному файлу. Это позволяет операторам восстановить ключ дешифрования. Зашифрованные данные получают расширение .INC, а в каждую папку записывается файл INC-README.txt с инструкциями. Алгоритм исключает повторное шифрование, проверяя наличие строки INC в имени файла.
Особое внимание уделено обработке заблокированных файлов. INC Ransom использует Windows Restart Manager для принудительного завершения процессов, удерживающих файлы, что позволяет шифровать базы данных и документы, используемые в реальном времени. Для сохранения работоспособности системы из обхода исключаются папки Windows, Program Files, ProgramData, AppData, $Recycle.Bin, а также каталоги, содержащие в имени Sophos. Не шифруются файлы с расширениями .exe, .dll, .log.
Найденный сервер содержал не только скрипты распространения, но и улики, указывающие на использование нескольких техник "живущего за счёт земли" (LOLBins) - легитимных утилит Windows, позволяющих злоумышленникам не внедрять дополнительное вредоносное ПО. Среди инструментов отмечены Cobalt Strike, Impacket, а также кастомные скрипты автоматизации. Группировка активно применяет Remote Monitoring and Management (RMM) - средства удалённого мониторинга и управления, что затрудняет выявление аномалий на ранних этапах.
Стремительное прохождение этапов атаки - от начального доступа до шифрования часто укладывается в 72 часа - сокращает возможности обнаружения по признакам долгого присутствия в сети. Вместе с тем резкий всплеск активности в Active Directory, массовые изменения групповых политик, отключение защитных механизмов и запуск LOLBins создают характерный поведенческий след. Эффективная защита требует корреляции событий на малых временных интервалах и приоритетного мониторинга изменений в SYSVOL и службах безопасности.
Технический анализ образца agent.exe (SHA256: ea24b6b6d0d2e2c640ce76578051b538882763d6ba95d323244437b620291df1) подтвердил, что он скомпилирован в августе 2025 года. Размер файла - 2,10 МБ. Статическое изучение не выявило встроенных адресов C2-серверов (командно-контрольных серверов), что может указывать на то, что сетевое взаимодействие реализуется на более ранних этапах либо отсутствует в самом шифровальщике. Наличие импортированных функций для управления службами Windows (OpenSCManagerW, ControlService и др.) предполагает способность останавливать базы данных, резервное копирование и антивирусные продукты перед началом шифрования.
Прогноз развития INC Ransom указывает на дальнейшую автоматизацию, расширение поддержки платформ (включая Linux и VMware ESXi) и смещение акцента с уникального вредоносного ПО на эффективную оркестровку атак с помощью легитимных инструментов. Такой подход снижает зависимость от единичных уязвимостей и делает группировку более устойчивой к блокировке отдельных компонентов инфраструктуры.
Индикаторы компрометации
