Poskytovatel může dodávat malware, infrastrukturu, administrační panely, komunikace s oběťmi nebo podporu výměnou za poplatky, předplatné, sdílení zisku či jiné zločinecké ujednání.
Role se liší. Afilianti mohou přístup získat sami nebo od jiných zločinců, vybírat cíle, pohybovat se sítěmi, krást data a nasazovat ransomware poskytovatele, zatímco poskytovatel udržuje sdílené schopnosti. Některé skupiny drží práci interně nebo spolupracují bez nabídky služby, takže několik účastníků samo o sobě RaaS nezakládá.
Klíčové body
Obranný významSdílené nástroje mohou produkovat podobné artefakty napříč nesouvisejícími afilianty, zatímco vstupní cesty a praktická aktivita se liší. Vymeze celé vniknutí, místo připisování každé akce pojmenovanému poskytovateli ransomwaru.
VyšetřováníVztahujte přístup, identity, laterální pohyb, krádež dat, nasazení payloadu, komunikace a infrastrukturu v čase; zachovejte nejistotu ohledně toho, který účastník provedl každou akci.
Snížení rizika a reakceAplikujte stejnou vrstvenou ochranu proti ransomwaru a plán incidentů jako u jiných operací, včetně silných kontrol identit, segmentace, chráněných záloh, zachování důkazů a obnovy z důvěryhodných zdrojů.
Důležité omezeníRaaS popisuje organizaci a doručení, nikoli samostatný účinek ransomwaru či zaručené rozdělení práce. Veřejné značky, tvrzení afiliantů, leak weby a shody malwaru mohou být klamavé, sdílené, přejmenované nebo neúplné.