Конфликт между операторами вредоносного программного обеспечения вышел на новый уровень. В середине апреля 2026 года две относительно молодые группировки программ-вымогателей - 0APT и KryBit - начали публиковать внутренние данные друг друга на собственных сайтах утечек. Такое поведение крайне нетипично для криминального мира, где конкуренция обычно остаётся за кадром. Разбираемся, что произошло и какие уроки стоит извлечь бизнесу.
Описание
Всё началось в конце января 2026 года, когда на сцене появилась группировка 0APT. За первую неделю своего существования она разместила на сайте утечек данные более чем 190 якобы скомпрометированных компаний. Специалисты быстро усомнились в подлинности этих заявлений: жертвы не подтверждали взломов, а выложенные файлы не проходили верификацию. Скорее всего, 0APT пыталась привлечь партнёров в свою партнёрскую программу, демонстрируя мнимую активность. У группировки действительно имелись функционирующие программы-шифровальщики для Windows и Linux, но отсутствие реальных жертв привело к тому, что проект затих на четыре месяца.
В конце марта 2026 года появилась новая угроза - KryBit. Эта группировка запустила модель "программа-вымогатель как услуга" (RaaS - модель, при которой разработчики предоставляют вредоносное ПО партнёрам за процент от выкупа) с выгодными для соучастников условиями: 80 процентов выкупа доставалось им, 20 процентов - операторам. KryBit предлагала инструменты для Windows, Linux, ESXI и NAS-устройств. Всего за две недели группировка опубликовала данные десяти реальных жертв, что указывало на её техническую состоятельность.
В апреле 0APT предприняла отчаянную попытку вернуть себе влияние. Вместо того чтобы искать новые цели, операторы решили атаковать конкурентов. Они удалили со своего сайта все 190 фиктивных записей о жертвах и выложили данные о трёх группировках: KryBit, Everest и RansomHouse. Как отмечается в отчёте исследовательского центра Halcyon, занимающегося мониторингом угроз, эта стратегия оказалась крайне рискованной и привела к непредсказуемым последствиям.
Утечка данных Everest оказалась частичной. Злоумышленники опубликовали SQL-базу данных, содержащую информацию о публикациях и пользователях за период с января по сентябрь 2025 года. Однако записи были должным образом закодированы и хэшированы, что защитило критически важные поля. В базе числилась всего одна учётная запись администратора, созданная 29 августа 2025 года. Интересно, что Everest не ответила на агрессию публично и не предприняла ответных действий. RansomHouse, по всей видимости, вообще не пострадал - данные этой группировки в утечке отсутствовали.
Совсем иначе сложилась ситуация с KryBit. 0APT опубликовала панель администратора этой группировки, включавшую данные об операторах, партнёрах и переговорах с жертвами. Судя по опубликованной информации, KryBit был компактным, но активно развивающимся проектом. На момент утечки в группировке числилось два администратора и пять партнёров, а также 20 потенциальных жертв. Объём украденных у каждой компании данных колебался от 10 до 250 гигабайт, а суммы требуемых выкупов составляли от 40 до 100 тысяч долларов. Операторы использовали пять биткоин-кошельков, которые применялись повторно для разных жертв и партнёров. Ни один из кошельков не зафиксировал транзакций, и ни одна жертва не имела статуса оплаты - то есть к моменту утечки KryBit не получил ни одного выкупа.
Ответ KryBit не заставил себя ждать. Уже 14 апреля группировка получила доступ к инфраструктуре 0APT, похитила её операционные данные, а затем разместила их на своём сайте утечек, объявив 0APT своей жертвой. Сайт утечек 0APT был взломан и заменён сообщением от KryBit. На следующий день KryBit опубликовала полный набор данных 0APT, включавший журналы доступа, исходный код на PHP и системные файлы. Эти логи неопровержимо доказывали, что все 190 с лишним жертв, заявленных 0APT в январе, были фиктивными - никаких данных ни у одной из них не похищалось. Более того, инфраструктура 0APT оказалась устроена до удивления примитивно: сайт для утечек работал на операционной системе AnLinux-Parrot OS, а весь контент передавался через SD-карту внутри обычного Android-телефона.
Каковы же итоги этого криминального противостояния для практикующих специалистов по безопасности?
- Заявлениям группировки 0APT доверять не стоит. Все опубликованные ею данные наверняка являются подделкой, и тратить ресурсы на их расследование бессмысленно.
- KryBit и Everest представляют собой реальные угрозы с подтверждёнными жертвами.
- Объём похищенных KryBit данных (до 250 гигабайт на цель) указывает на то, что перед шифрованием злоумышленники могли длительное время оставаться в сети жертвы, собирая информацию. Специалистам стоит обратить внимание на мониторинг аномального исходящего трафика и создание крупных архивов в системе.
- Оба конфликтующих проекта, вероятно, попытаются восстановить инфраструктуру под новыми именами в ближайшие недели или месяцы. Криминальный мир редко прощает ошибки, и этот случай стал наглядным уроком того, что даже злоумышленники могут становиться жертвами.
Индикаторы компрометации
