Grupy i rodziny ransomware

Rodzina to złośliwe oprogramowanie: program szyfrujący i jego narzędzia, zwykle nazwane od kodu albo notatki z żądaniem okupu, na przykład LockBit czy Akira. Grupa to organizacja przestępcza, która je rozwija i obsługuje, łącznie ze stroną z wyciekami, procesem płatności i negocjatorami. Afiliant to osobny zespół przestępców, który wynajmuje oprogramowanie od grupy i przeprowadza właściwe włamania w zamian za udział w okupie, często większą jego część. Dla obrońców ma to znaczenie, bo ta sama rodzina może trafić do firmy zupełnie różnymi drogami, zależnie od tego, który afiliant jej używa, a jeden afiliant może z miesiąca na miesiąc zmieniać rodziny. Dlatego rządowe komunikaty opisują jedno i drugie: wskaźniki rodziny i techniki, których używali jej afilianci. Gdy raport mówi, że grupa zaatakowała firmę, zwykle oznacza to, że zrobił to jeden z jej afiliantów.

Ransomware as a service to model biznesowy, w którym twórcy wydzierżawiają swoje ransomware afiliantom, a ci przeprowadzają ataki i dzielą się z nimi zyskiem. Twórcy dostarczają oprogramowanie szyfrujące, panel sterowania, stronę do publikowania skradzionych danych, obsługę płatności, a czasem negocjatorów i wsparcie. Afilianci przynoszą dostęp do ofiar, często kupiony od brokerów dostępu początkowego, i wykonują pracę włamania. Ten model wyjaśnia kilka rzeczy, które zauważają małe firmy: ransomware nie jest już domeną wyłącznie wprawnych napastników, ataki są częste i oportunistyczne, a nie wymierzone tylko w znane nazwiska, a ta sama marka może pojawiać się z zupełnie różnymi technikami. Większość rodzin z najnowszych komunikatów CISA i FBI, w tym LockBit, ALPHV, RansomHub i Medusa, opisano jako działające w ten sposób. Rozbicie twórców uderza naraz w wielu afiliantów, dlatego organy ścigania często celują w samą platformę.

Podwójne wymuszenie oznacza, że napastnicy jednocześnie szyfrują Twoje systemy i kradną kopię danych, a potem żądają zapłaty za dwie rzeczy: klucz deszyfrujący i obietnicę, że dane nie zostaną opublikowane. Rozpowszechniło się około 2020 roku i dziś jest normą: komunikaty CISA i FBI opisują je u większości obecnych grup, w tym Black Basta, Akira, Play i Rhysida. Niektóre grupy w ogóle rezygnują z szyfrowania i szantażują wyłącznie skradzionymi danymi, jak opisuje komunikat o BianLian od 2024 roku. W praktyce dobre kopie zapasowe rozwiązują tylko połowę problemu: pozwalają wrócić do pracy, ale nic nie zmieniają w kwestii skradzionych danych, które mogą wymagać zgłoszenia z RODO i rodzić obowiązki wobec klientów. Oznacza to też, że kradzież następuje przed szyfrowaniem, często przez kilka dni, co daje obrońcom czas na reakcję. Duże transfery wychodzące do nieznanych miejsc to jeden z sygnałów, które NetSenX oznacza w każdym planie.

Strona z wyciekami to witryna prowadzona przez grupę ransomware, zwykle dostępna tylko przez sieć Tor, na której grupa wymienia firmy, które według niej zaatakowała, i publikuje ich skradzione dane, jeśli nie zapłacą. Wpis często zaczyna się od nazwy firmy, odliczania czasu i próbki plików jako nacisku w trakcie negocjacji. Takie strony to też marketing: reklamują zasięg grupy potencjalnym afiliantom. Kilka uwag dla firmy, która się tam znalazła. Wpis to deklaracja, nie dowód; grupy czasem przesadzają albo publikują ponownie stare dane, więc sprawdź, co faktycznie zostało zabrane. To jednak mocna przesłanka, że dane opuściły sieć, co ma znaczenie dla zgłoszenia z RODO. Akcje organów ścigania często zastępują takie strony banerem o przejęciu, jak w przypadku LockBit w lutym 2024 roku i BlackSuit w lipcu 2025 roku. Serwisy monitorujące i krajowe CERT-y śledzą te strony; nie odwiedzaj ich z urządzeń firmowych.

Zacznij od źródeł rządowych, które są bezpłatne, datowane i ostrożne w tym, co twierdzą. Amerykańska agencja CISA wraz z FBI i agencjami partnerskimi publikuje serię wspólnych komunikatów StopRansomware; każdy dotyczy jednej grupy i opisuje jej znane techniki, wskaźniki kompromitacji i zalecane zabezpieczenia, a każdy ma identyfikator, na przykład AA24-131A, i datę. W Europie sprawdzaj krajowy CERT lub agencję cyberbezpieczeństwa, która publikuje ostrzeżenia w Twoim języku, coroczny raport ENISA Threat Landscape, jeśli chodzi o trendy, oraz Europol w sprawie akcji przeciw grupom i zatrzymań. Projekt No More Ransom zbiera bezpłatne narzędzia deszyfrujące. Raporty dostawców zabezpieczeń dodają szczegóły, ale też marketing, więc porównuj ich liczby z oficjalnym źródłem. Czytając komunikat, najpierw spójrz na datę i historię aktualizacji: grupy zmieniają narzędzia i starsze wskaźniki szybko tracą wartość, a opisane techniki zwykle pozostają aktualne znacznie dłużej.

No More Ransom to bezpłatna strona uruchomiona w lipcu 2016 roku przez Europejskie Centrum ds. Walki z Cyberprzestępczością Europolu, policję holenderską i firmy z branży bezpieczeństwa, gromadząca narzędzia do odszyfrowania ransomware. Na szóste urodziny projektu, w lipcu 2022 roku, Europol podał 136 bezpłatnych narzędzi obejmujących 165 wariantów ransomware. Strona Crypto Sheriff pozwala przesłać notatkę z żądaniem okupu albo dwa zaszyfrowane pliki i sprawdzić, czy narzędzie istnieje. Warto to sprawdzić, ale miej realistyczne oczekiwania: narzędzia istnieją głównie dla starszych rodzin, dla rodzin, których klucze przejęła policja, i dla rodzin z błędami w szyfrowaniu. Dla większości obecnych profesjonalnych grup darmowego deszyfratora nie ma. Nie przesyłaj plików z wrażliwymi danymi osobowymi bez rozważenia obowiązków z RODO, zachowaj kopie zaszyfrowanych plików na wypadek, gdyby narzędzie pojawiło się później, i zasięgnij porady, zanim uruchomisz jakikolwiek deszyfrator na systemach produkcyjnych.

Czasem wiele, często mniej, niż sugerują nagłówki. Gdy policja przejmuje serwery grupy, może odzyskać klucze deszyfrujące: w operacji przeciw Hive ogłoszonej w styczniu 2023 roku FBI podało, że przekazało klucze ponad 300 ofiarom w trakcie ataku i ponad 1000 wcześniejszym ofiarom, a operacja Cronos przeciw LockBit w lutym 2024 roku przyniosła ponad 1000 kluczy. Ofiary mogą zapytać krajową policję, czy istnieją klucze dla ich przypadku, a No More Ransom często publikuje potem narzędzia. Przejęte dane mogą też zatrzymać kolejne wycieki. Rozbicie rzadko jednak usuwa ludzi: afilianci przechodzą na inne platformy, a w kilku przypadkach członkowie wrócili pod nową nazwą w ciągu kilku miesięcy. Dla firm, które jeszcze nie zostały zaatakowane, niewiele się zmienia. Te same techniki działają dalej pod innymi markami, więc zabezpieczenia zalecane w komunikatach pozostają tymi, które trzeba wdrożyć.

Głównie po to, by uciec przed presją. Znana nazwa przyciąga organy ścigania, sankcje i listy blokad, a wielu ubezpieczycieli i firm odmawia płacenia grupom objętym sankcjami, więc nowa nazwa może przestępcom ułatwić otrzymanie zapłaty. Zmiana marki może też nastąpić po wewnętrznym rozłamie, wycieku czatów grupy albo akcji policji. Oficjalne źródła dokumentują kilka takich zmian: sierpniowa aktualizacja z 2024 roku komunikatu CISA o Royal stwierdza, że BlackSuit to Royal pod nową nazwą, a komunikat CISA o RansomHub z sierpnia 2024 roku zauważa, że operacja była wcześniej znana jako Cyclops i Knight. Po wycieku wewnętrznych czatów Conti w 2022 roku jej członkowie rozproszyli się do innych operacji. Wniosek dla obrońców jest prosty: nazwa na notatce z żądaniem okupu zmienia się szybciej niż techniki za nią stojące. Śledź techniki, które każdy komunikat wymienia z odniesieniami do MITRE ATT&CK, a nie tylko nazwy marek.

Czytaj go jak listę kontrolną, nie jak wiadomość prasową. Każdy komunikat CISA z serii StopRansomware kończy się sekcją z zaleceniami, a większość z nich powtarza tę samą garść działań: szybko instaluj poprawki w systemach dostępnych z internetu, zwłaszcza VPN i zdalnym dostępie; wymagaj uwierzytelniania wieloskładnikowego dla zdalnego dostępu, poczty i kont administratorów; przechowuj kopie zapasowe offline i je testuj; segmentuj sieć tak, by jedna zainfekowana maszyna nie sięgała wszystkiego; ogranicz uprawnienia administratora i użycie pulpitu zdalnego; monitoruj nietypowy ruch wewnętrzny i wychodzący. Odhacz, co już robisz, i najpierw popraw najsłabszy punkt. Potem przeczytaj sekcję o dostępie początkowym: jeśli grupa wykorzystuje produkt, którego używasz, sprawdź jeszcze dziś stan jego poprawek. Wskaźniki kompromitacji, takie jak adresy IP i skróty plików, przydadzą się Twojemu dostawcy IT lub narzędziom bezpieczeństwa, ale szybko się starzeją. Nie musisz rozumieć każdego szczegółu technicznego, żeby wdrożyć zalecenia.

LockBit to operacja typu ransomware as a service, która pojawiła się w 2019 roku i była najczęściej wdrażanym wariantem ransomware na świecie w 2022 roku, według wspólnego komunikatu AA23-165A opublikowanego przez CISA, FBI i partnerów międzynarodowych 14 czerwca 2023 roku. Afilianci wchodzili przez wystawione usługi pulpitu zdalnego, phishing, skradzione dane logowania i podatności w systemach dostępnych z internetu; osobny komunikat AA23-325A z listopada 2023 roku opisywał wykorzystanie luki Citrix Bleed. 20 lutego 2024 roku operacja Cronos, prowadzona przez brytyjską National Crime Agency z FBI i Europolem, przejęła infrastrukturę i stronę z wyciekami LockBit oraz zdobyła ponad 1000 kluczy deszyfrujących. Marka próbowała później wznowić działalność, z dużo mniejszym zasięgiem. Lekcje z komunikatów nadal obowiązują: szybko łataj urządzenia brzegowe, wymagaj MFA przy zdalnym dostępie i obserwuj ruch boczny oraz duże transfery wychodzące przed szyfrowaniem.

ALPHV, znany też jako BlackCat, był operacją typu ransomware as a service działającą od końca 2021 roku, wyróżniającą się tym, że napisano ją w języku Rust i szyfrowała zarówno zwykłe serwery, jak i hosty wirtualizacji. CISA i FBI opisały ją w komunikacie AA23-353A, opublikowanym 19 grudnia 2023 roku i zaktualizowanym w lutym 2024 roku: do tego czasu afilianci przejęli ponad 1000 podmiotów na świecie, często po nakłonieniu helpdesków i pracowników IT do przekazania danych logowania. W grudniu 2023 roku FBI ogłosiło, że zakłóciło działanie grupy i przekazało narzędzie deszyfrujące ponad 500 ofiarom. ALPHV na krótko wznowił działalność, a w marcu 2024 roku się zamknął, co wielu badaczy opisało jako oszustwo wobec własnych afiliantów. Afilianci nie zniknęli; wielu przeszło na inne platformy. Najważniejsza lekcja z komunikatu dla małych firm: naucz pracowników helpdesku weryfikować tożsamość przed każdym resetem hasła lub MFA.

Black Basta to operacja typu ransomware as a service zauważona po raz pierwszy w kwietniu 2022 roku. We wspólnym komunikacie AA24-131A, opublikowanym 10 maja 2024 roku, CISA, FBI i agencje partnerskie podały, że jej afilianci zaatakowali ponad 500 organizacji na świecie, w tym w 12 z 16 amerykańskich sektorów infrastruktury krytycznej, stosując podwójne wymuszenie: szyfrowanie systemów i kradzież danych. Dostęp początkowy zdobywano zwykle przez spear phishing i wykorzystywanie znanych podatności; komunikat opisuje też afiliantów używających legalnych narzędzi zdalnego dostępu i przesyłania plików, skradzionych danych logowania oraz pulpitu zdalnego do przechodzenia między maszynami. Badacze szeroko informowali, że wewnętrzne czaty grupy wyciekły w lutym 2025 roku, po czym jej aktywność spadła. Zalecenia z komunikatu to dobra podstawa dla każdej firmy: aktualne poprawki, MFA odporne na phishing, szkolenie pracowników z rozpoznawania phishingu, kopie zapasowe offline i kontrola, które oprogramowanie zdalnego dostępu jest dozwolone.

Akira to operacja ransomware zauważona po raz pierwszy w marcu 2023 roku, atakująca firmy i infrastrukturę krytyczną w Ameryce Północnej, Europie i Australii. CISA, FBI, centrum ds. cyberprzestępczości Europolu i holenderskie NCSC opisały ją we wspólnym komunikacie AA24-109A z 18 kwietnia 2024 roku: do 1 stycznia 2024 roku dotknęła ponad 250 organizacji i uzyskała około 42 milionów dolarów. Aktualizacja z 13 listopada 2025 roku podniosła tę kwotę do około 244 milionów dolarów według stanu z końca września 2025 roku i wymieniła produkcję, edukację, IT, ochronę zdrowia, usługi finansowe oraz żywność i rolnictwo wśród najczęściej atakowanych sektorów. Afilianci Akiry zwykle wchodzą przez konta VPN bez uwierzytelniania wieloskładnikowego i przez znane luki w produktach VPN i zaporach, a aktualizacja wymienia wśród nich podatność SonicWall; dane kradną przed szyfrowaniem. Zalecenia wynikają z tego wprost: MFA na każdym koncie VPN, szybkie łatanie urządzeń brzegowych i kopie zapasowe offline.

Play, nazywany też Playcrypt, to grupa ransomware działająca od czerwca 2022 roku. CISA, FBI i Australian Cyber Security Centre opisały ją we wspólnym komunikacie AA23-352A z 18 grudnia 2023 roku, gdy liczono około 300 poszkodowanych podmiotów; aktualizacja z czerwca 2025 roku podała, że FBI znało około 900 według stanu z maja 2025 roku. Play stosuje podwójne wymuszenie, ale jego notatka nie podaje kwoty: ofiary mają skontaktować się e-mailem, a aktualizacja zauważa, że do niektórych także dzwoniono z groźbami. Dostęp początkowy zwykle pochodzi z prawdziwych kont, skradzionych lub kupionych, oraz z podatności w systemach dostępnych z internetu, takich jak usługi pulpitu zdalnego i zapory. Grupa kompiluje swoje oprogramowanie na nowo dla każdego ataku, więc skróty plików są mało przydatne. Bardziej wiarygodne jest zachowanie: kradzież danych logowania, przechodzenie między maszynami wewnętrznymi oraz zbieranie i wysyłanie danych przed szyfrowaniem, co widać w monitoringu sieci.

Royal był operacją ransomware działającą mniej więcej od września 2022 roku, a BlackSuit jest jego następcą. CISA i FBI po raz pierwszy opisały Royal w komunikacie AA23-061A z 2 marca 2023 roku; aktualizacja z listopada 2023 roku podała ponad 350 znanych ofiar od września 2022 roku, a aktualizacja z sierpnia 2024 roku stwierdza, że BlackSuit to Royal pod nową nazwą i że łączne żądania okupu przekroczyły 500 milionów dolarów, przy największym pojedynczym żądaniu 60 milionów. Najczęstszą drogą wejścia był phishing, a dalej pulpit zdalny, wykorzystanie aplikacji dostępnych publicznie i dostęp kupiony od brokerów. W lipcu 2025 roku międzynarodowa operacja koordynowana przez Europol i prowadzona przez amerykańskie Homeland Security Investigations przejęła serwery i domeny BlackSuit, co Departament Sprawiedliwości USA ogłosił w sierpniu 2025 roku. Nie poinformowano o zatrzymaniach, a badacze zaobserwowali przechodzenie członków do nowych operacji. Zabezpieczenia z komunikatu pozostają aktualne niezależnie od marki.

Rhysida to grupa typu ransomware as a service, która pojawiła się w maju 2023 roku. CISA, FBI i MS-ISAC opisały ją we wspólnym komunikacie AA23-319A z 15 listopada 2023 roku, zaznaczając, że atakowała oportunistycznie w edukacji, ochronie zdrowia, produkcji, IT i administracji, stosując podwójne wymuszenie. Według komunikatu sprawcy wchodzili głównie przez zewnętrzne usługi zdalne, takie jak VPN, często ze skradzionymi danymi logowania tam, gdzie nie wymuszono uwierzytelniania wieloskładnikowego, przez phishing, a w niektórych przypadkach wykorzystując podatność Zerologon w kontrolerach domeny. W środku używali wbudowanych narzędzi administracyjnych i pulpitu zdalnego, żeby się przemieszczać, czyli wzorca living off the land spotykanego w wielu grupach. Przesłanie komunikatu dla małej firmy jest znajome, ale ważne: wymagaj MFA na każdej ścieżce zdalnego dostępu, łataj kontrolery domeny, ograniczaj pulpit zdalny i segmentuj sieć tak, by jeden przyczółek nie odsłaniał wszystkiego.

Medusa to operacja typu ransomware as a service zidentyfikowana po raz pierwszy w czerwcu 2021 roku, której nie należy mylić z niepowiązaną rodziną MedusaLocker ani z mobilnym złośliwym oprogramowaniem o tej samej nazwie. CISA, FBI i MS-ISAC opisały ją we wspólnym komunikacie AA25-071A z 12 marca 2025 roku, podając ponad 300 ofiar do lutego 2025 roku w sektorach infrastruktury krytycznej, w tym w medycynie, edukacji, usługach prawnych, ubezpieczeniach, technologii i produkcji; aktualizacja z sierpnia 2026 roku podniosła tę liczbę do ponad 500 ofiar według stanu z kwietnia 2026 roku. Jej twórcy i afilianci wchodzą przez phishing, kradnąc dane logowania, oraz przez wykorzystanie niezałatanych podatności, a komunikat opisuje intensywne użycie legalnego oprogramowania zdalnego dostępu i wbudowanych narzędzi administracyjnych. Medusa prowadzi stronę z wyciekami z licznikami czasu i oferuje odroczenie publikacji za opłatą. Zalecenia to znany zestaw: łatanie systemów operacyjnych, oprogramowania i firmware'u, uwierzytelnianie wieloskładnikowe dla wszystkich usług, segmentacja sieci, kopie zapasowe offline i ograniczenie narzędzi pulpitu zdalnego i zdalnego dostępu do tych, których naprawdę używasz.

RansomHub był operacją typu ransomware as a service, która pojawiła się w lutym 2024 roku i szybko rosła, przyciągając afiliantów z innych platform, także po upadku ALPHV i rozbiciu LockBit. CISA, FBI, MS-ISAC i amerykański departament zdrowia opisały ją we wspólnym komunikacie AA24-242A z 29 sierpnia 2024 roku: do tego czasu zaszyfrowała i wykradła dane co najmniej 210 ofiar w sektorach takich jak wodociągi, IT, usługi publiczne, ochrona zdrowia, służby ratunkowe, żywność, usługi finansowe i komunikacja. Komunikat zauważa, że operacja była wcześniej znana jako Cyclops i Knight i stosuje podwójne wymuszenie. Afilianci zwykle wchodzili przez phishing, password spraying i wykorzystanie znanych podatności w systemach dostępnych z internetu. Badacze informowali, że jej infrastruktura zniknęła z sieci w kwietniu 2025 roku, a wielu afiliantów przeszło gdzie indziej. Ten wzorzec jest lekcją: marki pojawiają się i znikają szybko, a techniki wejścia i zalecane zabezpieczenia pozostają te same.

Cl0p, zapisywany też jako Clop, to operacja ransomware i wymuszeń, którą agencje bezpieczeństwa wiążą z grupą przestępczą oznaczaną jako TA505. Najbardziej znana jest z masowej kradzieży danych przez luki w oprogramowaniu do przesyłania plików, a nie z klasycznego szyfrowania. CISA i FBI opisały wykorzystanie przez nią podatności dnia zerowego CVE-2023-34362 w produkcie MOVEit Transfer we wspólnym komunikacie AA23-158A z 7 czerwca 2023 roku: od końca maja 2023 roku grupa wykradała przez ten jeden produkt dane wielu organizacji, a potem żądała zapłaty za ich niepublikowanie. Wcześniejsze kampanie wykorzystywały podobne luki w innych produktach do zarządzanego przesyłania plików. Lekcje dla małej firmy są konkretne: wiedz, jakie aplikacje do przesyłania plików i inne dostępne z internetu działają u Ciebie, także te prowadzone w Twoim imieniu przez dostawców, łataj je, gdy tylko pojawi się komunikat, i obserwuj nietypowe ilości danych opuszczające te serwery. Poważne szkody nie wymagają szyfrowania.

BianLian to grupa przestępcza, która zaczynała w czerwcu 2022 roku jako operacja ransomware, a przeszła na wymuszenia oparte wyłącznie na kradzieży danych. CISA, FBI i Australian Cyber Security Centre opisały ją we wspólnym komunikacie AA23-136A z 16 maja 2023 roku; komunikat podaje, że około stycznia 2023 roku grupa przeszła głównie na wymuszenia oparte na wyprowadzaniu danych, a aktualizacja z listopada 2024 roku, że około stycznia 2024 roku przeszła na nie wyłącznie. Sprawcy zwykle wchodzą z prawdziwymi danymi logowania do pulpitu zdalnego, często kupionymi od brokerów dostępu początkowego lub zdobytymi przez phishing, a potem wbudowanymi narzędziami i oprogramowaniem zdalnego dostępu przeszukują sieć i kopiują dane na zewnątrz, zanim zażądają zapłaty. Ponieważ nic nie jest szyfrowane, ofiara może dowiedzieć się o ataku dopiero z wiadomości z żądaniem. Dlatego monitoring danych wychodzących jest tu szczególnie ważny: kradzież jest atakiem. Komunikat zaleca ścisłe ograniczenie pulpitu zdalnego, audyt narzędzi zdalnego dostępu i ścisłą kontrolę kont administracyjnych.

Hive był operacją typu ransomware as a service działającą od czerwca 2021 do początku 2023 roku. We wspólnym komunikacie AA22-321A z 17 listopada 2022 roku CISA, FBI i amerykański departament zdrowia podały, że zaatakował ponad 1300 firm na świecie i otrzymał około 100 milionów dolarów okupu, szczególnie mocno uderzając w ochronę zdrowia. Afilianci wchodzili przez konta pulpitu zdalnego i VPN bez MFA, przez phishing i przez znane podatności w serwerach dostępnych z internetu. 26 stycznia 2023 roku Departament Sprawiedliwości USA ogłosił, że FBI od lipca 2022 roku potajemnie infiltrowało sieć Hive i przekazało klucze deszyfrujące ponad 300 ofiarom w trakcie ataku i ponad 1000 wcześniejszym ofiarom, a potem przejęło jej serwery przy wsparciu policji niemieckiej i holenderskiej oraz Europolu. Hive pokazuje, co rozbicie grupy może dać ofiarom, ale też jego granice: badacze informowali później o ponownym użyciu kodu Hive w nowej marce ransomware.

Conti był jedną z najaktywniejszych operacji ransomware w latach 2020–2022. We wspólnym komunikacie AA21-265A z 22 września 2021 roku CISA, FBI i NSA podały ponad 400 ataków na organizacje w USA i na świecie; afilianci wchodzili przez spear phishing, skradzione lub słabe dane logowania do pulpitu zdalnego, fałszywe pobrania oprogramowania i znane podatności, a komunikat później uzupełniono o kolejne wskaźniki. Conti działał bardziej jak firma niż luźna sieć, z opłacanymi pracownikami, co wyszło na jaw w lutym 2022 roku, gdy wyciekły dziesiątki tysięcy jego wewnętrznych wiadomości z czatów. Marka zakończyła działalność około połowy 2022 roku, a jej członkowie rozeszli się do innych operacji ransomware i wymuszeń. Dla obrońców ujawnione materiały potwierdziły to, co mówiły komunikaty: większość włamań opierała się na zwykłych słabościach, takich jak brak MFA, wystawiony zdalny dostęp i powolne łatanie, a nie na egzotycznych exploitach.

Phobos to rodzina typu ransomware as a service działająca mniej więcej od 2019 roku, a 8Base była jedną z grup, które używały wariantu Phobosa. CISA, FBI i MS-ISAC opisały Phobosa we wspólnym komunikacie AA24-060A z 29 lutego 2024 roku: jego afilianci atakowali samorządy, służby ratunkowe, edukację, ochronę zdrowia i inną infrastrukturę krytyczną, zwykle wchodząc przez usługi pulpitu zdalnego ze słabymi lub skradzionymi hasłami albo przez phishing. Badacze bezpieczeństwa zauważają, że Phobos był używany głównie przeciw małym i średnim organizacjom, a nie dużym przedsiębiorstwom. 11 lutego 2025 roku Europol ogłosił skoordynowaną operację międzynarodową, w której zatrzymano cztery osoby podejrzewane o kierowanie 8Base; według Departamentu Sprawiedliwości USA zakłócono działanie ponad 100 serwerów powiązanych z siecią. Rada dla małych firm jest prosta: nie wystawiaj pulpitu zdalnego do internetu, wymagaj silnych haseł i MFA przy zdalnym dostępie i przechowuj kopie zapasowe offline.

Ghost, znany też jako Cring i pod kilkoma innymi nazwami, to motywowana finansowo operacja ransomware, którą CISA, FBI i MS-ISAC opisały we wspólnym komunikacie AA25-050A z 19 lutego 2025 roku. Według komunikatu sprawcy zaczęli ataki około początku 2021 roku i przejęli organizacje w ponad 70 krajach, w sektorach obejmujących infrastrukturę krytyczną, szkoły i uczelnie, ochronę zdrowia, administrację, produkcję oraz wiele małych i średnich firm. Dostęp zdobywają głównie przez znane, często kilkuletnie podatności w oprogramowaniu dostępnym z internetu, takim jak zapory, serwery WWW i serwery pocztowe, dla których poprawki były od dawna dostępne. Często zmieniają też nazwy plików ransomware i treść notatek z żądaniem, co utrudnia śledzenie marki. Wniosek jest dosadny: łatanie systemów dostępnych publicznie pod kątem znanych podatności i wymiana urządzeń, które nie dostają już aktualizacji, to główna obrona zalecana w komunikacie.

Interlock to operacja ransomware zauważona po raz pierwszy we wrześniu 2024 roku, atakująca firmy i infrastrukturę krytyczną w Ameryce Północnej i Europie. CISA, FBI, amerykański departament zdrowia i MS-ISAC opisały ją we wspólnym komunikacie AA25-203A z 22 lipca 2025 roku. W odróżnieniu od wielu grup Interlock często wchodzi przez pobrania drive-by z przejętych legalnych stron, w tym fałszywe aktualizacje przeglądarki, oraz przez technikę ClickFix, w której fałszywa CAPTCHA lub komunikat o błędzie namawia użytkownika do wklejenia i uruchomienia polecenia. Stosuje podwójne wymuszenie i szyfruje zarówno zwykłe komputery, jak i maszyny wirtualne. Zalecenia z komunikatu odpowiadają tej drodze wejścia: filtrowanie DNS i stron WWW blokujące złośliwe witryny, aktualne przeglądarki i ochrona stacji końcowych oraz pracownicy, którzy wiedzą, że żadna prawdziwa strona nie prosi o wklejanie poleceń, do tego zwykłe łatanie, MFA i segmentacja sieci. Po uzyskaniu dostępu ruch zdalnego sterowania i ruch boczny to etapy, które widać w monitoringu sieci.