Загроза з найбільшим фінансовим впливом

Що таке Програми-вимагачі

Програма-вимагач — це шкідливе ПЗ, що шифрує корпоративні файли та викрадає дані для подвійного вимагання. Захиснику потрібно поєднувати технічні контролі з натренованими співробітниками, які закривають вектор первинного доступу.

Автор Dmytro Koziatynskyi Перевірено 25 квітня 2026 р.

Ransomware — найдорожча категорія кібератак для підприємств

Програма-вимагач — це клас шкідливого ПЗ, який шифрує файли, системи або резервні копії й утримує ключ розшифрування, поки жертва не заплатить викуп, майже завжди в криптовалюті. Звіт IBM 2024 Cost of a Data Breach Report оцінює середньосвітовий інцидент у 4,88 мільйона доларів, а інциденти класу ransomware — у 5,13 мільйона після врахування простою бізнесу, виплати викупу і витрат на відновлення. Дослідження Sophos State of Ransomware 2024 повідомляє, що 59% опитаних організацій постраждали за минулий рік, і лише 24% відновилися виключно через резервні копії.

Сучасний ransomware не зупиняється на шифруванні. Зловмисники спочатку викрадають дані і лише потім шифрують — патерн під назвою «подвійне вимагання», що зберігає важіль навіть тоді, коли в жертви є чисті бекапи. Деякі групи зараз практикують потрійне вимагання, додаючи DDoS-тиск або прямий контакт із клієнтами і регуляторами жертви. Ransomware Task Force і CISA фіксують подвійне вимагання як домінуючу модель з 2020 року, з іменованими leak-сайтами, що їх ведуть LockBit, BlackCat/ALPHV, Cl0p, Akira, Black Basta і Play.

Економічним двигуном є ransomware-as-a-service (RaaS). Ядрова команда будує енкриптор, веде leak-сайт і рекрутує афіліатів, які виконують вторгнення в обмін на 70-80% здобичі. Модель стійка, тому правоохоронні ліквідаційні операції рідко зупиняють загрозу. Operation Cronos, акція Британського національного агентства зі злочинності проти LockBit у лютому 2024 року, вилучила 34 сервери і 200 криптовалютних гаманців, але спін-офні бренди й колишні афіліати поглинули більшу частину операційної бази за кілька місяців. Дисрапція BlackCat/ALPHV під керівництвом США в грудні 2023 дала схожий патерн фрагментації.

Нещодавня еволюція зловмисників має значення для захисту. Akira, спін-оф 2023 року, що цілиться у VPN-апаратуру і слабке MFA, за перший рік досягла понад 250 жертв за спільним повідомленням ФБР. Cl0p провела 2023 кампанію масової експлуатації MOVEit Transfer, яка вразила понад 2 700 організацій за один квартал. Black Basta зайняла нішу LockBit і повʼязується з вторгненнями у Change Healthcare й Ascension. Імена змінюються, плейбук — ні.

Як розгортається атака ransomware

Первинний доступ

Більшість вторгнень ransomware починається з одного з чотирьох векторів: фішинг або шкідливе вкладення, відкриті віддалені сервіси на кшталт RDP і непатчені VPN-апарати, експлуатація відомих уразливостей (каталог CISA Known Exploited Vulnerabilities відстежує живі), або компрометація нагору в ланцюгу постачання. Афіліати часто купують доступ у брокерів первинного доступу, які продають робочі VPN, RDP чи Citrix-сесії за суму від 1 000 до 10 000 доларів. Verizon 2024 DBIR відзначає, що експлуатація вразливостей як первинний вектор зросла на 180% рік до року.

Закріплення і розвідка

Опинившись усередині, зловмисник розгортає тиху персистентність і починає мапування середовища. Cobalt Strike beacons, Sliver і Brute Ratel працюють поряд із легітимними інструментами на кшталт AnyDesk, ScreenConnect, Atera і Splashtop — тактика «жити з землі» (living off the land). Медіанний час перебування до шифрування у Mandiant M-Trends 2024 знизився до 5 днів, але розвідка і мапування все одно відбуваються в цьому вікні. Зловмисник читає файлові розшарювання, ідентифікує бекап-вендора і відзначає, які контролі ймовірно спрацюють.

Підвищення привілеїв і компрометація Active Directory

Наступний хід — домінування у домені. Афіліати скидають облікові дані за допомогою Mimikatz, зловживають Kerberoasting для збору хешів service-акаунтів і цілять у контролер домену Active Directory. Захопивши токен Domain Admin, зловмисник може запушити payload ransomware на тисячі endpoint у одній GPO або scheduled task. Дані Microsoft Incident Response відносять понад 90% великих ransomware-подій до захоплення AD. Tier-0 захист, LAPS і реєстрація у Protected Users-групі суттєво уповільнюють цю стадію.

Викрадання даних і підготовка подвійного вимагання

Перед тим як спрацює шифрування, афіліат стейджить дані для крадіжки. Поширені інструменти — Rclone для синхронізації у хмарне сховище на кшталт MEGA чи pCloud, FileZilla і WinSCP для SFTP, 7-Zip для розбиття архівів. Обсяги — від кількох сотень гігабайт до кількох терабайт, часто стейджаться через один jump-host, щоб трафік виглядав простим. Викрадені дані живлять leak-сайт, якщо жертва відмовляється платити. Кампанія Cl0p MOVEit 2023 року довела, що зловмисники можуть взагалі пропустити шифрування і все одно вимагати лише публікацією на leak-сайті.

Розгортання шифрування

Шифрування швидке і гучне. Варіанти LockBit Black, Akira, Phobos і Black Basta ланцюгуються через SMB-розшарювання чи інструмент віддаленого виконання, шифрують файли паралельно і скидають записку про викуп у кожен каталог. Більшість сучасних енкрипторів використовує AES для контенту файлу з RSA-обгорнутим ключем, що робить розшифровку перебором нездійсненною. Тіньові копії, Windows Volume Shadow Service і підключені бекапи видаляються або шифруються тим самим проходом. Спільні CISA StopRansomware-повідомлення детально описують поведінку поточних варіантів та індикатори.

Переговори і публікація на leak-сайті

Записка про викуп вказує на Tor-хостинг переговорного порталу. Афіліати використовують клоновані плейбуки: 72-годинний відлік, зразок викрадених даних, опублікованих на leak-сайті як доказ крадіжки, і градуальний тиск, що може включати прямий контакт із керівниками, клієнтами, регуляторами чи журналістами. Квартальні звіти Coveware показують медіанні вимоги викупу понад 500 000 доларів і медіанні сплачені викупи понад 200 000 доларів за 2024 рік. Навіть коли жертва платить, повне повернення даних не гарантоване; Sophos виявив, що лише 4% платників відновили всі дані.

Реальні приклади атак ransomware

Change Healthcare, BlackCat/ALPHV, лютий 2024

Афіліати BlackCat/ALPHV вторглися в Change Healthcare, дочірнє підприємство UnitedHealth Group, що обробляє приблизно третину медичних страхових претензій у США, після експлуатації Citrix-порталу без MFA. Зловмисники викрали 6 ТБ даних пацієнтів і претензій, зашифрували основні системи і змусили UnitedHealth до сплати викупу в 22 мільйони доларів, який афіліат потім посперечався з ядровою командою BlackCat. Аптеки, провайдери та лікарні по США втратили обробку претензій на тижні. Розкриття UnitedHealth у Q1 2024 оцінило фінансовий вплив у понад 870 мільйонів доларів за квартал, з річним прогнозом до 2,3 мільярда. Управління з громадянських прав HHS відкрило найбільше в історії США розслідування медичного breach.

MGM Resorts, Scattered Spider плюс ALPHV, вересень 2023

Scattered Spider, фінансово вмотивована група переважно англомовних афіліатів, соціально-інженерним методом обманула працівника IT-хелпдеску MGM Resorts, щоб скинути MFA на привілейованому Okta-акаунті. За години афіліати перейшли до VMware vCenter, розгорнули BlackCat/ALPHV ransomware на ESXi-хости й зашифрували слот-машини, готельні картки, ресторанні POS і системи бронювання по всьому Лас-Вегас Стрипу. MGM розкрила удар у 100 мільйонів доларів по Q3-результатах і 10-денний операційний простій. Вторгнення Caesars Entertainment того ж тижня пройшло за тим самим плейбуком і завершилося повідомленою сплатою викупу в 15 мільйонів доларів. Обидва інциденти підтвердили попередження CISA про соціальну інженерію хелпдеску як вектор ransomware вищого рівня.

Cl0p MOVEit Transfer, травень-липень 2023

Cl0p експлуатувала CVE-2023-34362, нульовий день SQL-інʼєкції в продукті Progress Software MOVEit Transfer для передачі файлів, у скоординованому сплеску, що вразив понад 2 700 організацій і виставив дані приблизно 95 мільйонів осіб. Серед жертв — Міністерство енергетики США, Shell, BBC, British Airways, Ernst & Young, штат Мейн і десятки університетів США. Cl0p прикметно пропустила шифрування і провела чисту вимагальну кампанію через свій leak-сайт, вимагаючи виплат виключно за вкрадені дані. Emsisoft оцінив прямі витрати у понад 12 мільярдів доларів. Кампанія перевизначила галузеві очікування щодо ПЗ керованої передачі файлів як високоцінної цілі.

Як захиститися від ransomware

Phishing-resistant MFA на кожному шляху віддаленого доступу

Вимагайте FIDO2-апаратні ключі або passkeys на VPN, RDP, Citrix, VDI і адмін-консолях. SMS і push-MFA падають перед фішинговими комплектами на кшталт EvilProxy і MFA-fatigue. Вторгнення в Change Healthcare і MGM обидва почалися на акаунтах, де сильне MFA було відсутнє або могло бути обійдене через скидання хелпдеску. CISA Binding Operational Directive 22-09 і спільне керівництво StopRansomware обидва вказують phishing-resistant MFA як контроль із найбільшим впливом.

Незмінні, офлайн-тестовані бекапи (3-2-1-1-0)

Підтримуйте три копії даних, на двох носіях, з однією поза майданчиком, однією незмінною або офлайн і нулем помилок при останньому перевіреному відновленні. Тестуйте повне відновлення стека щомісяця, включно з контролерами домену та системами ідентичності, не лише з файловими розшаруваннями. Sophos виявив, що організації з тестованими бекапами відновилися за медіанних 4 дні проти 16 без них. Уникайте бекапів, що ділять облікові дані з продакшеном; афіліати цілять у бекап-консолі в перші 24 години перебування.

Сегментація мережі та ізоляція tier-0

Ізолюйте Active Directory, провайдерів ідентичності, бекап-інфраструктуру, OT-мережі й «коронні діаманти» за сегментованими зонами з явними allow-правилами. Вимкніть допоміжні засоби латерального руху на кшталт SMBv1, безконтрольного делегування Kerberos і широких прав PsExec. CISA Zero Trust Maturity Model і керівництво Microsoft Tier-0 мапують поетапний підхід. Сегментація не зупиняє вторгнення, але суттєво звужує радіус ураження, коли зловмисник усередині.

EDR із роллбеком і моніторинг 24×7

Розгортайте сучасну EDR- чи XDR-платформу на кожному endpoint і сервері, включно з гіпервізорами і ESXi-хостами, у які Akira і BlackCat зараз цілять напряму. Тюньте під патерни living-off-the-land: Cobalt Strike beacons, Rclone-екфільтрація, vssadmin shadow-copy deletion і сплески перейменування файлів. CrowdStrike, SentinelOne, Microsoft Defender for Endpoint і Sophos Intercept X — усі поставляють фічі роллбеку, що відновлюються від обмеженого шифрування. Без 24×7 SOC-покриття медіанні 5 днів перебування стають 50.

Privileged access management і just-in-time admin

Усуньте постійні права Domain Admin і cloud-admin. Використовуйте privileged access workstation, зберігайте облікові дані у CyberArk, BeyondTrust або Azure PIM і вимагайте схвалення плюс MFA для кожного підвищення. Енфорсіть Microsoft Tier-0 захист: LAPS, Protected Users, restricted admin mode і credential guard. Більшість подій ransomware, що сягають стадії контролера домену, провалилися саме на цьому контролі.

Каденція патчингу, узгоджена з CISA KEV

Підпишіться на каталог CISA Known Exploited Vulnerabilities і патчте перелічені баги в межах федерально-узгоджених таймлайнів (зазвичай 14-21 день). Edge-пристрої (фаєрволи, VPN-концентратори, file-transfer сервери, RMM-платформи) — найризиковіша поверхня; CVE для MOVEit, Citrix Bleed, Fortinet та Ivanti Connect Secure всі стали векторами первинного доступу ransomware протягом днів від розкриття. Ведіть SBOM, щоб експозицію до нового CVE можна було знайти за години.

Моніторинг вендорів і ланцюга постачання

Розглядайте сторонніх SaaS-вендорів, MSP і ланцюги постачання ПЗ як частину поверхні атаки. Вимагайте докази SOC 2 Type II, SLA з повідомлення про порушення і least-privilege scope на кожному B2B-зʼєднанні. Проводьте огляди ризиків третіх сторін щодо постачальників, найімовірніших для хостингу впливу ransomware: payroll, провайдери ідентичності, MSP, file-transfer платформи, EHR. Інциденти Kaseya, MOVEit і Change Healthcare всі прокотилися через клієнтські середовища, бо вендорські контролі були слабким місцем.

Тестований runbook реагування з логікою рішення про викуп

Пишіть runbooks для топ-сценаріїв ransomware (шифрування у продакшені, вимагання виключно даними, подвійне шифрування + leak-сайт) і репетируйте їх щокварталу. Включіть юридичних радників, OFAC-санкційний скринінг перед будь-якою сплатою, таймінг повідомлення регулятора, залучення carrier кіберстрахування і шаблони комунікації для клієнтів. Дослідження IBM 2024 виявило, що організації з тестованим IR-планом і IR-командою заощадили 2,66 мільйона доларів на breach. Рішення, ухвалені під 72-годинним відліком, гірші за рішення, відрепетировані заздалегідь.

Тренування співробітників із приводів первинного доступу

Більшість ransomware заходить через людину, не через пакет. Тренуйте кожного співробітника на фішингу, callback-фішингу, голосовій імперсонації, MFA-fatigue, соціальній інженерії хелпдеску і рефлексі репортингу інцидентів. Reporting rate (як швидко підозрілий лист доходить до SOC) — найсильніший провідний індикатор стійкості. Загальне щорічне e-learning не змінює поведінку; це роблять hands-on симуляції, що ставлять співробітника всередину приводу зловмисника.

Як RansomLeak тренує співробітників запобігати ransomware

RansomLeak тримає першу лінію людського захисту, що сполучається з EDR, MFA і бекапами. Сценарій /exercises/ransomware/ кидає того, хто навчається, у моменти перед шифруванням: підозріле вкладення, prompt макроса, перенаправлення для збору облікових даних і рішення «звітувати чи продовжити». Учні практикують той самий патерн розпізнавання, що змінив би результат у Change Healthcare, MGM і десятках менших проривів, де один тривожний лист на кілька годин раніше зупинив би латеральний рух.

Вправа з ransomware сидить усередині скоординованого набору тренувань первинного доступу. /exercises/phishing/, /exercises/spear-phishing/, /exercises/business-email-compromise/, /exercises/social-engineering/ і /exercises/callback-phishing/ кожна закриває окремий вектор, на який спираються афіліати. /exercises/general-incident-reporting/ репетирує 90-секундне вікно, в якому стурбований співробітник вирішує, чи ескалювати. /exercises/mfa-setup-best-practices/ і /exercises/privileged-access-basics/ хардять шар облікових даних, у який ransomware-групи цілять у першу годину.

Кожна вправа постачається як SCORM 1.2 і SCORM 2004 пакет, що падає у Cornerstone, SAP SuccessFactors, Workday Learning, Docebo, Moodle або будь-яку сумісну LMS без модифікації. Статус завершення, оцінка і час перебігу йдуть у LMS-звіти, які вже читають аудитори комплаєнс і SOC 2. Контент оновлюється щомісяця, тому коли зʼявляється новий патерн (експлуатація VPN Akira, приводи хелпдеску Scattered Spider, leak-only вимагання Cl0p), тренінг наздоганяє за тижні, не за 12-місячний цикл щорічного оновлення, що його ведуть конкуренти.

Що таке ransomware і як він впливає на бізнес?

Ransomware — це клас шкідливого ПЗ, що шифрує корпоративні файли і системи та вимагає оплату, зазвичай у криптовалюті, за ключ розшифрування. Сучасні групи нашаровують одинарне вимагання (лише шифрування) із подвійним вимаганням (шифрування плюс крадіжка даних і загроза leak-сайту) і потрійним (додаючи DDoS чи прямий контакт із клієнтами і регуляторами). IBM 2024 Cost of a Data Breach Report оцінює середньосвітовий breach у 4,88 мільйона доларів, а інциденти класу ransomware — у 5,13 мільйона після врахування простою бізнесу і відновлення.

Екосистема зловмисників працює на ransomware-as-a-service. Ядрова команда будує енкриптор і рекрутує афіліатів за 70-80% долі доходу. Operation Cronos, акція Британського NCA в лютому 2024, дисраптила LockBit, але спін-офи поглинули більшу частину афіліатської бази. Akira цілить у непатчені VPN-апарати, Cl0p провела кампанію MOVEit 2023, що вразила понад 2 700 організацій, Black Basta повʼязана з вторгненнями у Change Healthcare й Ascension, а Scattered Spider використала соціальну інженерію хелпдеску проти MGM Resorts і Caesars у вересні 2023.

Ефективний захист поєднує технічні контролі і людський тренінг. Phishing-resistant MFA на кожному шляху віддаленого доступу, незмінні офлайн-тестовані бекапи за моделлю 3-2-1-1-0, сегментація мережі, EDR із роллбеком, privileged access management, патчинг за CISA KEV і відрепетируваний runbook реагування — це технічний шар. Людський шар — тренінг RansomLeak: сценарій /exercises/ransomware/ плюс фішинг, spear phishing, BEC, соціальна інженерія, MFA і репортинг інцидентів — закривають вектори первинного доступу, які експлуатують афіліати.

Додаткове читання

Глибші посібники по дотичних темах.

Тренінг із поінформованості про ransomware Виявлення фішингу: посібник Тренінги з симуляцією фішингу: посібник Атаки соціальної інженерії: посібник Навчання з компрометації ділового листування Тренінг безпеки електронної пошти Посібник із тренінгу поінформованості про безпеку

Дотичні терміни глосарія

Швидкі визначення термінів із цього посібника.

Ransomware Phishing Spear Phishing Social Engineering Supply Chain Attack Multi Factor Authentication MFA Fatigue Incident Response

Часті запитання

Що питають security-лідери про цю загрозу.

У чому різниця між ransomware і звичайною кібератакою?

Звичайна кібератака зазвичай має на меті викрасти дані, майнити криптовалюту чи будувати ботнет, і зловмисник воліє лишатися прихованим якомога довше. Ransomware заявляє про себе тієї ж миті, як вмикається шифрування, бо вся бізнес-модель — конвертувати прихований доступ у негайний грошовий потік. Перетин у захисті великий (патчинг, MFA, EDR, сегментація), але ransomware додає цілісність бекапів, політику рішення про викуп і кризову комунікацію як першочергові питання, яких інші типи атак не вимагають.

Чи варто бізнесу платити викуп?

CISA, ФБР і британський National Cyber Security Centre — усі радять не платити. Платіж фінансує наступну атаку, сигналізує, що жертва платить, і не гарантує повернення даних: дослідження Sophos 2024 виявило, що лише 4% платників відновили всі дані, а 28% відновили менш ніж половину. Деякі платежі також можуть порушувати санкції OFAC, коли зловмисник у списку, що додає цивільну і кримінальну експозицію.

Рішення належить виконавчому керівництву із залученням юридичних радників, carrier кіберстрахування і правоохоронних органів. Репетирування рішення в tabletop-вправах перед справжнім відліком має значення більше, ніж сама відповідь.

Скільки часу займає відновлення після ransomware?

Sophos State of Ransomware 2024 оцінює медіанне відновлення у 4 дні для організацій із тестованими бекапами і у 16 днів — без них. Повне корпоративне відновлення, включно з перебудовою системи ідентичності й форензичним підтвердженням, що зловмисник вийшов, триває 4-12 тижнів для mid-market жертв і кілька місяців для великих breach. Дисрапція Change Healthcare у лютому 2024 тривала понад 90 днів для деяких функцій обробки претензій. Час відновлення задається наперед якістю бекапів, сегментацією і відрепетируваним runbook, не панічною купівлею інструментів постфактум.

Що таке ransomware із подвійним вимаганням?

Подвійне вимагання — домінантна модель ransomware з 2020 року. Зловмисник спочатку викрадає корпоративні дані, потім шифрує продакшен-середовище і погрожує опублікувати викрадене на Tor-хостинг leak-сайті, якщо жертва не заплатить. Модель перемагає історичний захист «просто відновлюся з бекапу», бо крадіжка даних уже завершена на момент вмикання шифрування.

Cl0p розширила патерн у 2023, проводячи вимагання виключно крадіжкою даних проти жертв MOVEit Transfer без жодного шифрування. Потрійне вимагання додає DDoS-тиск або прямий контакт із клієнтами і регуляторами жертви.

Як зловмисники зазвичай потрапляють у мережу?

Verizon 2024 Data Breach Investigations Report і спільні CISA-повідомлення сходяться на чотирьох домінантних векторах первинного доступу. Фішинг і шкідливі вкладення досі дають велику частку вторгнень, особливо callback-фішинг і AI-генеровані приводи. Відкриті віддалені сервіси, зокрема RDP і непатчені VPN-апарати, — другий головний вектор.

Експлуатація вразливостей зросла на 180% рік до року, з edge-пристроями і продуктами керованої передачі файлів як повторними цілями. Компрометація ланцюга постачання через MSP, оновлення ПЗ або довірені SaaS-інтеграції замикає топ-чотири. Афіліати часто купують доступ у брокерів первинного доступу замість того, щоб вести власні вторгнення.

Що CISA рекомендує для підготовки до ransomware?

Гайд CISA #StopRansomware, виданий спільно з ФБР, NSA та MS-ISAC, рекомендує визначений набір кроків підготовки. Підтримуйте офлайн, зашифровані, незмінні бекапи і тестуйте відновлення щокварталу. Енфорсіть phishing-resistant MFA на кожному шляху віддаленого доступу. Патчте з каталогу Known Exploited Vulnerabilities у межах федерально-узгоджених таймлайнів.

Сегментуйте мережі, хардьте Active Directory, розгортайте EDR і обмежуйте Service Control Manager та PowerShell remoting. Будуйте і репетируйте план реагування на інциденти, що включає юридичну, регуляторну і клієнтську комунікаційні гілки. Тренуйте кожного співробітника розпізнавати і репортити приводи первинного доступу.

Джерела та матеріали для подальшого читання

Першоджерела, на які посилається сторінка, та суміжні рекомендації.

Cost of a Data Breach Report 2024 — IBM Security
The State of Ransomware 2024 — Sophos
Stop Ransomware Resource Hub — CISA
Akira Ransomware Joint Cybersecurity Advisory (AA24-109A) — FBI / CISA
Operation Cronos disruption of LockBit — UK National Crime Agency
2024 Data Breach Investigations Report — Verizon

Натренуйте команду проти цієї загрози

Запишіться на 30-хвилинну демонстрацію. Ми підберемо послідовність вправ і графік розгортання.

Замовити демо Переглянути вправи