ОПГ в даркнете: Emotet, Dridex, Gozi ISFB и QakBot

Aintelligence

Контентолог
Команда форума
ЯuToR Science
Подтвержденный
Cinematic
Сообщения
7.800
Реакции
10.685
Эта статья предлагает погружённый разбор четырёх устойчивых криминальных экосистем, которые за последнее десятилетие формировали правила игры в даркнете и на сером рынке киберуслуг: Emotet, операторы Dridex, операторы Gozi ISFB и QakBot. Мы рассматриваем не только вредоносы как программные продукты, но и организационные модели, на которых держится их экономика: разработка, распространение, аренда доступа, монетизация через кражу учётных данных и последующие вымогательства. В центре внимания связь между техническими приёмами и социальной инженерией, эволюция цепочек заражения, реакции правоохранителей и устойчивость преступных сетей к принудительным сбоям. В тексте намеренно минимизированы заголовки и списки, чтобы сохранить потоковое чтение.

Язык описания
Мы используем рабочие термины, у которых есть устоявшиеся значения в прикладной криминологии и компьютерной безопасности.
Ботнетом называем сеть скомпрометированных устройств под удалённым управлением,
Загрузчиком называем модуль начальной стадии для доставки следующего вредоноса,
Модулем веб-инжектов называем набор подмен и скриптов в браузере жертвы, используемых для кражи данных и обхода двухфакторной защиты.
Под операторами понимаем устойчивые преступные группы, которые разрабатывают, поддерживают и продают доступ к инфраструктуре или используют её для прямой монетизации. Важно помнить, что имена вредоносов не всегда совпадают с именами групп, а участники нередко мигрируют между проектами и брендами.

Emotet - сервис доступа.
Исторически Emotet начинался как банковский троян, но за несколько лет эволюционировал в платформу по модели crime-as-a-service. Сильная сторона не в уникальном эксплойте, а в непрерывном обороте доставки и в умении адаптировать цепочку заражения под изменения экосистемы почтовых клиентов и офисных документов. Типовой цикл включал спам с вложениями, активацию макросов или иной триггер запуска кода, закрепление в системе, затем подгрузку чужих полезных нагрузок. Именно в роли поставщика доступа Emotet становился связующим звеном между массовыми фишинговыми кампаниями и более узкоспециализированными угрозами вроде банковских троянов или вымогателей. Это объясняет, почему глобальная операция правоохранителей в январе 2021 года была сфокусирована не на арестах как таковых, а на одновременном демонтаже распределённой инфраструктуры управления и перенастройке заражённых машин на контролируемые сервера. Снижение активности в 2021 году было заметным, однако экосистема частично восстановилась, и в 2022 году специалисты по угрозам фиксировали новые волны доставки и эксперименты с методами обхода ограничений на макросы. Emotet показателен как проект с сильной логистикой, где именно масштаб почтовых волн и гибкость тактик делали угрозу системной.

Dridex и хищение платёжных данных как ядро модели
Dridex вырос из семейства банковских троянов, выстроив вокруг себя устойчивую преступную группу с центральной компетенцией в кражах платёжных данных. Технически это сочетание резидентной нагрузки на рабочей станции с веб-инжектами, позволяющими незаметно перехватывать взаимодействие пользователя с интернет-банком и в некоторых сценариях подменять элементы страниц. По линии распространения Dridex многолетне использовал массовые почтовые рассылки с документами, требующими активации макросов, позже также применялись другие начальные векторы. Ключевой фактор устойчивости здесь не только программный код, но и налаженный криминальный бизнес-процесс: от эксплуатации доступов и кражи учётных данных до их обналичивания через сети подставных получателей. В 2019 году американский регулятор финансовых санкций объявил о мерах против группы, известной в прессе как Evil Corp, связывая её с разработкой и распространением Dridex и многомиллионными хищениями у финансовых организаций. Санкционный режим и международные расследования ударили по каналу легализации доходов и заставили операторов уходить в ребрендинги и смену инструментов, но полностью не остановили сам феномен: опыт и связи позволяли перекраивать набор нагрузок и временно уходить в области, менее заметные для контроля. Исследовательские работы связывали часть веток вымогательского ПО с разработчиками Dridex, что подтверждает гибкость преступной специализации и способность групп мигрировать от банковских краж к шифровальщикам и обратно в зависимости от давления и конъюнктуры.

Gozi ISFB как конструктор и франшиза
Под названием Gozi объединяют несколько поколений и ответвлений банковского трояна, который с середины 2000-х стал школой для множества операторов. Ранняя криминальная модель включала не только прямое использование вредоноса создателями, но и сдачу в аренду кода и сопровождения другим группам. Дальнейшее развитие в ветку ISFB привело к появлению многочисленных конфигураций и локальных групп, которые адаптировали веб-инжекты под банки конкретных стран. Правоохранительные органы ещё в 2013 году предъявили обвинения разработчикам и обслуживающим инфраструктурам, а в 2016 году состоялся приговор по делу создателя ранней версии. Тем не менее модульность кода, широкий серый рынок услуг по хостингу и анонимная пересборка позволяли сохранять живучесть экосистемы. Важно, что Gozi ISFB часто выступал не как единая монолитная сеть, а как набор совместимых инструментов в руках нескольких операторов, что затрудняло финальную атрибуцию конкретных волн отдельным людям. Для понимания даркнет-экономики это ценная иллюстрация того, как технологический актив со временем становится франшизой с множеством наследников.

QakBot как универсальный узел многоступенчатых атак
QakBot, также известный как Qbot и Pinkslipbot, начинал как банковский троян, но превратился в универсальный узел цепочек компрометации: сбор учётных данных, боковое перемещение в доменах, установка вымогателей и кража почты для дальнейшей рассылки. Сильные стороны QakBot заключались в дисциплине операторов и в умении быстро осваивать новые начальные векторы, будь то вложения в почте, ссылки на архивы с ярлыками, HTML-smuggling или эксплуатация доверенных переписок. В августе 2023 года международная операция правоохранителей позволила перехватить управление инфраструктурой и принудительно удалить вредонос с сотен тысяч устройств, что стало заметным ударом по экосистеме. Однако сама логика распределённых сетей означает, что через некоторое время возникают форки и попытки перезапуска отдельных веток, а техники начальной доставки переймают другие группы. Для устойчивой обороны полезно отделять конкретный бренд вредоноса от стадии атаки, смотреть на тактики и техники, которые сохраняются у многих операторов.

Связи и совместимость экосистем
Эти четыре экосистемы не живут в вакууме. Emotet часто выступал поставщиком доступа для последующих загрузок Dridex, QakBot и других семейств. Операторы QakBot, в свою очередь, делились доступами с группами, устанавливающими вымогателей. Gozi ISFB использовался разными командами, которые могли параллельно тестировать другие банкинговые нагрузки в тех же кампаниях. Такое переплетение привело к важному сдвигу в аналитике: атрибуция по осям вредоноса перестала быть достаточной. Сегодня имеет смысл держать в фокусе инвариантные элементы тактик и процедур, повторяющиеся по множеству брендов: работа через компрометацию почтовых цепочек, эксплуатация привычек пользователей к открытию офисных документов, применение подписанных установщиков и легитимных админ-инструментов для закрепления, скрытная эксфильтрация переписки для дальнейшего социального инжиниринга. В этом смысле правоохранительные операции, нацеленные на инфраструктуру дропперов, эффективно срезают целые ветви экосистем, потому что ломают общий этап поставки для многих последующих семейств.

Правоохранительные операции и их уроки
Опыт 2021 года с Emotet показал, что одновременная работа следственных и технических команд способна быстро резать горизонтальное распространение, если удаётся синхронно перехватить узлы управления и внедрить чистящий модуль. Урок 2023 года по QakBot подтвердил, что перенастройка трафика на узлы правоохранителей и удаление вредоноса с машин жертв возможно, если суд даёт соответствующие разрешения и если следователи успевают собрать полную карту инфраструктуры. В 2024 и 2025 годах крупные международные операции начали бить по целым классам дропперов и вспомогательных сетей, блокируя точки входа для множества последующих вредоносов и вымогателей. Важно, что подобные акции неизбежно вызывают фазу адаптации на стороне преступников: новые доменные генераторы, переработка упаковок, уход от макросов к другим методам запуска, миграция на подписанные установщики. Поэтому реалистичный вывод таков: инфраструктурные операции снижают масштаб и повышают цену атаки для преступников, но не обнуляют феномен. Долговременная защита требует синхронизации правоохранительных действий с практиками кибергигиены в организациях и у конечных пользователей.

Экономика групп и мотивация.
Несмотря на различие брендов, бизнес-модель похожа. Источник дохода складывается из кражи учётных данных и прямых хищений, перепродажи доступа другим группам, вымогательства и продажи сопутствующих услуг. Репутация в криминальной среде важна не меньше технологий, потому что от неё зависят ставки аренды и стабильность партнёрств. Именно поэтому санкционные меры против известных операторов и их окружения работают не только как юридическое давление, но и как подрыв деловой экосистемы. Перекрытие каналов обналичивания и листинг на санкционных списках сокращают пул контрагентов, усложняют обмен и повышают стоимость операции для преступников. На длинной дистанции это принуждает к диверсификации и ребрендингам, но полностью не убирает спрос на доступ к корпоративным сетям.

Технический профиль семейств в одном поле зрения
Если свести в один план повторяющиеся элементы, получаем характерный конструктор. Начальная доставка через почтовые вложения и ссылки усиливается эксплуатацией доверенных переписок и перехватом цепочек сообщений. Для запуска кода активно используются документы офисных форматов, скрипты и ярлыки, HTML-smuggling, подписанные установщики MSI. Закрепление и уклонение от анализа поддерживаются через планировщики задач, модульность загрузчиков, использование легитимных инструментов администрирования. Внутренняя разведка в доменах строится через сбор куки, токенов и паролей, кэш браузера и клиентов, а также через перебор протоколов удалённого доступа. Подготовка к монетизации идёт дворами: в банковских сценариях это веб-инжекты, в вымогательских - подготовка к шифрованию, выключение резервного копирования и извлечение файлов для давления. Тот факт, что у разных групп схожий каталог приёмов, объясняется не заимствованием кода как такового, а экономической рациональностью этих шагов.

Emotet, Dridex, Gozi ISFB и QakBot олицетворяют зрелую криминальную экономику, в которой устойчивость опирается не только на код, но и на организационные практики. Правоохранительные операции последних лет доказали, что инфраструктурные удары могут резко снизить масштаб атак и вернуть инициативу защитникам. Однако экосистема остаётся адаптивной, а операторы быстро переучиваются. Корректная стратегия защиты строится на сочетании действий государства и дисциплины на стороне пользователей и компаний, а также на умении видеть общий профиль угрозы за пределами брендов вредоносов. Это не гонка за названиями, а работа с повторяющимися приёмами и точками входа.
Europol. Disruption of Emotet through global action, 27 Jan 2021:
DOJ. Emotet botnet disrupted in international cyber operation, 28 Jan 2021:
Proofpoint. A comprehensive look at Emotet’s fall 2022 return, 16 Nov 2022:
ESET WeLiveSecurity. How Emotet is changing tactics as Microsoft tightens Office macro security, 16 Jun 2022:
US-CERT. Alert TA15-286A Dridex P2P Malware, 29 Sep 2016:
OFAC. Treasury sanctions Evil Corp behind Dridex malware, 5 Dec 2019:
OFAC. 2024 update on Evil Corp associates, 1 Oct 2024:
ESET WeLiveSecurity. FriedEx - BitPaymer ransomware the work of Dridex authors, 26 Jan 2018:
DOJ SDNY. Three alleged international cyber criminals charged for creating and distributing Gozi Virus, 23 Jan 2013:
DOJ SDNY. Nikita Kuzmin, creator of Gozi, sentenced, 2 May 2016:
FBI. QakBot malware disrupted in international cyber takedown, 29 Aug 2023:
CISA. AA23-242A Identification and Disruption of QakBot Infrastructure, 30 Aug 2023:
Europol. Operation Endgame - largest ever action against botnets, 29 May 2024:
Eurojust. Major operation to take down dangerous malware systems, 30 May 2024:
FBI. Operation Endgame - coordinated worldwide action, 30 May 2024:

Этот обзор носит исключительно информационный характер и не является руководством к применению. Мы рекомендуем соблюдать законодательства любых стран мира! Автор не имеет конфликта интересов, статья подготовлена на основе открытых данных и рецензируемых публикаций, перечисленных по ходу текста или собраны в конце статьи. Эта статья была создана с использованием нескольких редакционных инструментов, включая искусственный интеллект, как часть процесса. Редакторы-люди проверяли этот контент перед публикацией.
Нажимай на изображение ниже, там ты найдешь все информационные ресурсы A&N
 
Последнее редактирование:

Похожие темы

Egregor вошла в криминальный лексикон стремительно и почти без подготовки аудитории. Осенью 2020 года на фоне ухода Maze из публичного поля последствия оказались моментальными: десятки компаний из разных стран почти синхронно сообщили о сбоях, вымогательстве и угрозах публикации данных. Для...
Ответы
0
Просмотры
594
В отличие от уличных группировок девяностых, современные восточно‑европейские банды зарабатывают в скрытых сетях Tor, I2P и закрытых Telegram‑чатах. В статье собраны наиболее влиятельные кибер‑ОПГ региона, за исключением тех группировок, о которых уже шла речь ранее. Вместо этого мы смотрим на...
Ответы
2
Просмотры
841
Группа UNC3886 относится к тем киберструктурам, которые редко попадают в новостные сводки, но постоянно фигурируют в технических отчётах исследовательских лабораторий. Она не оставляет громких «подписей», не занимается банальным взломом ради выкупа и практически не взаимодействует с жертвами. В...
Ответы
0
Просмотры
530
История Lurk удобна тем, что она разрушает два наивных представления о киберпреступности. Первое: будто бы это всегда одиночки и импровизация. Второе: будто бы киберпреступность живёт где-то отдельно, в абстрактном "киберпространстве", а не в экономике и повседневной инфраструктуре. Lurk был...
Ответы
0
Просмотры
361
В даркнете любят говорить о системе «неприкасаемости»: escrow без посредников, монеро-кошельки, партизанская OP-SEC, закрытые форумы, изолированные сервера, собственные CDN, анти-DDoS в несколько слоёв. Но с 2020 по 2025 годы стало ясно: самые разрушительные удары для подпольной экономики...
Ответы
0
Просмотры
492
Назад
Сверху Снизу