Furnizorul poate furniza malware, infrastructură, panouri de administrare, comunicații cu victimele sau suport în schimbul unor taxe, abonamente, partajare a profitului sau alt aranjament criminal.
Rolurile variază. Afiliații pot obține acces singuri sau de la alți criminali, aleg ținte, se deplasează prin rețele, fură date și implementează ransomware-ul furnizorului, în timp ce furnizorul întreține capabilitățile partajate. Unele grupuri păstrează munca intern sau colaborează fără a oferi un serviciu, așa că mai mulți participanți nu stabilesc de la sine RaaS.
Puncte esențiale
Semnificație defensivăInstrumentele partajate pot produce artefacte similare la afiliați neînrudiți, în timp ce căile de intrare și activitatea manuală diferă. Delimitați întreaga intruziune în loc să atribuiți fiecare acțiune furnizorului de ransomware numit.
InvestigareCorelați accesul, identitățile, mișcarea laterală, furtul de date, implementarea payload-ului, comunicațiile și infrastructura în timp; păstrați incertitudinea despre care participant a efectuat fiecare acțiune.
Reducerea riscului și răspunsAplicați aceleași protecții stratificate împotriva ransomware-ului și plan de incident folosite pentru alte operațiuni, inclusiv controale puternice de identitate, segmentare, backupuri protejate, păstrarea dovezilor și recuperare din surse de încredere.
Limitare importantăRaaS descrie organizarea și livrarea, nu un efect separat de ransomware sau o diviziune garantată a muncii. Mărcile publice, afirmațiile afiliaților, site-urile de leak și potrivirile de malware pot fi înșelătoare, partajate, redenumite sau incomplete.