Как ИИ превратил вымогательство в автономный конвейер атак

Дата публикации: 19 марта 2026 г.
Время на чтение: ~10 мин
ТГ канал: Про_SEC_со

SOCRadar выпустили материал про то, как ransomware прошел путь от «зашифровал и потребовал выкуп» до автономных атак с участием ИИ. Это не очередной обзор страшилок, а разбор с цифрами, архитектурой и практическими выводами: что изменилось в тактике атакующих, почему старые подходы защиты больше не работают в одиночку и какие меры нужны уже сейчас. Ниже — перевод статьи с сохранением ключевых акцентов и технического контекста.

Ransomware 3.0: Автономная угроза, которая изменила всё

Ransomware сильно эволюционировал. Сегодня мы уже в эпохе «Ransomware 3.0». И это не косметический апдейт: именно поэтому угрозы 2026 года совсем не похожи на то, с чем SOC-команды боролись десять лет назад.

Ransomware 1.0 (1989–2018): Шифруй и требуй выкуп

Первая эпоха была прямолинейной: зашифровать файлы и потребовать деньги. Ранние образцы, такие как AIDS Trojan (1989), использовали симметричное шифрование. Позже группы вроде CryptoLocker (2013–2014) внедрили асимметричные ключи и более зрелую модель монетизации.
К 2017 году WannaCry и Petya/NotPetya добавили «червеподобное» распространение — автономный захват сетей в глобальном масштабе. Но бизнес-модель оставалась транзакционной: преступники продавали «возврат доступности» в обмен на оплату.

Ransomware 2.0 (2019–2022): Двойное вымогательство и революция RaaS

Во второй эпохе ставки выросли структурно и надолго. В 2019 году группа Maze популяризировала double extortion: не просто шифровать, а сначала красть данные и угрожать их публикацией при отказе платить.

Мировые выплаты по ransomware выросли в 5 раз между 2019 и 2021 годами, достигнув пика в $765 млн.

Так ransomware превратился из атаки на доступность в комбинированный удар по конфиденциальности, репутации и финансам. Параллельно созрел формат RaaS (Ransomware-as-a-Service): менее квалифицированные аффилиаты получили возможность «арендовать» готовую инфраструктуру атак.
На пике один только LockBit связывали примерно с 44% всех глобальных инцидентов — показатель того, насколько индустриализованной стала экосистема.

Ransomware 3.0 (2023–н.в.): Автономная угроза

Третья эпоха качественно иная. Здесь сходятся агентные ИИ-механики, тройное вымогательство, децентрализованная инфраструктура и автономная самосборка атак. В результате появляется сценарий, где для исполнения кампании уже не нужен высококвалифицированный оператор.

В цифрах это видно сразу:
в 2025 году зафиксировано 7 419 атак — рост на 32% год к году.

Сильнее всего пострадало производство: +56% инцидентов в 2025 году. Причина знакома любому, кто видел остановку цеха из-за OT-уязвимости: бизнес-давление на восстановление такое, что вероятность выкупа выше. Следом идут здравоохранение, финансы и критическая инфраструктура.

Что такое Ransomware 3.0: техническое определение

Ransomware 3.0 — это не отдельное семейство malware, а экосистема угроз, определяемая четырьмя сходящимися признаками:

1. Автономная LLM-оркестрация
2. Механика тройного вымогательства
3. Индустриализированная RaaS-инфраструктура
4. Децентрализованный command-and-control

В августе 2025 года исследователи NYU Tandon School of Engineering опубликовали, по сути, первую формальную модель угрозы LLM-оркестрируемого ransomware. Их прототип (впоследствии замеченный на VirusTotal и названный внешними исследователями PromptLock) продемонстрировал полностью автономный замкнутый цикл: разведка, генерация пейлоада и персонализированное вымогательство — без участия человека.

Индустрия также использует более широкое определение, включая инструменты убийства EDR, атаки на supply chain, ИИ-социальную инженерию и тройное вымогательство — даже если LLM-оркестрация внедрена не в каждом кейсе.

LLM-оркестрируемая архитектура: технический разбор

Прототип NYU, написанный на Go (для кроссплатформенности), показывает анатомию Ransomware 3.0 на максимуме возможностей.

Структура бинаря

Оркестратор (около 10 МБ) не содержит заранее скомпилированного вредоносного кода. Вместо этого внутри:

• легковесный Lua-интерпретатор для исполнения байткода в памяти (без следов на диске),
• промпты на естественном языке для фаз атаки,
• HTTP/HTTPS-модуль для работы с API LLM (OpenAI-совместимые),
• RSA-публичные ключи для упаковки симметричных ключей, сгенерированных во время выполнения,
• опциональный интерфейс C2 для приема эксфильтрованных данных и сгенерированного кода.

Lua выбрали не случайно: встраиваемый, платформенно нейтральный, с малым footprint, и часто встречается в легитимном ПО (например, Apache HTTP Server), что снижает подозрительность в поведенческом анализе.

Четырехфазный жизненный цикл атаки

Атака идет в четыре фазы, и код каждой фазы генерируется LLM во время исполнения.

Фаза 1: Разведка (Reconnaissance)

LLM генерирует Lua-код, который собирает метаданные ОС (тип ОС, пользователь, hostname, пути домашнего каталога) и рекурсивно обходит файловую систему.
Результат складывается в артефакт-логи для следующих фаз. В тестах успех был почти 100% на ПК, корпоративных серверах и встраиваемых промышленных контроллерах.

Фаза 2: Использование находок (Leverage)

LLM анализирует список файлов и эвристически выделяет чувствительные цели: налоговые документы, экспорт учетных данных, продакшн-секреты, конфиги PLC и т.д.
В тестах модель на 120 млрд параметров лучше классифицировала чувствительность (около 69%), но чаще отказывалась выполнять задачи извлечения из-за policy-фильтров. Меньшая модель на 20 млрд была менее точной, но более «послушной», показывая свыше 90% успеха в извлечении.
Этот конфликт «способность vs safety-align» — центральный для LLM-ransomware исследований.

Фаза 3: Запуск пейлоада (Payload Launch)

Система выбирает пейлоад по контексту среды:

• ПК — эксфильтрация (кража личности, давление через приватность),
• enterprise-серверы — шифрование (финансовое вымогательство),
• встроенные промышленные контроллеры — деструктивные сценарии (DoS/саботаж).

Шифрование реализовано через SPECK-128 в Lua-коде, сгенерированном LLM; эксфильтрация идет через HTTP POST; деструкция — многопроходная перезапись и удаление для усложнения форензики.

Фаза 4: Уведомление (Notification)

LLM пишет персонализированную записку о выкупе с упоминанием конкретных файлов, имен людей и деталей, найденных ранее.
Это радикальный уход от типовых «шаблонных» записок старых поколений. В тестах обе модели показали 100% успех в этой фазе.

Полиморфизм и уклонение от детекта

Поскольку вредоносный код синтезируется заново на каждом запуске, один и тот же промпт дает разный Lua-код.
Итог: разные binary footprint, хэши и индикаторы компрометации при каждом исполнении. Сигнатурный детект здесь структурно слаб.
Телеметрия намеренно «тихая»: низкие CPU/диск в разведке и сетевой трафик, похожий на обычные HTTPS API-вызовы.

Дополнительно экосистема активно использует EDR-killer инструменты. В августе 2025 Sophos X-Ops сообщила о сильно обфусцированном kernel-level tool, который применяли как минимум восемь ransomware-групп (включая Blacksuit, Medusa, Qilin, RansomHub, INC).
Техники BYOVD (Bring Your Own Vulnerable Driver) позволяют гасить Defender, SentinelOne, Sophos и другие агенты на уровне ядра, нередко в первые 30 минут после проникновения.

В реальных атаках добавляются LoTL-подходы (PowerShell, WMI, RDP, легитимные админ-инструменты), чтобы смешать злоумышленную активность с «нормальным шумом» инфраструктуры.

Тройное вымогательство: модель давления по трем векторам

Это ключевая коммерческая стратегия Ransomware 3.0: три одновременных канала давления, перегружающих возможности реакции жертвы.

Слой 1: Шифрование

Данные шифруются сильными гибридными схемами, ключи выдаются только после оплаты. В отличие от 1.0, шифрование выполняется после эксфильтрации — то есть рычаг сохраняется даже при восстановлении из бэкапа.

Слой 2: Вымогательство через данные

Чувствительные файлы крадутся до шифрования и публикуются (или угрожают публикацией) на leak-сайтах в дарквебе.
ИИ помогает ранжировать ценность украденного: контракты, ИС, HR-данные, креды — все, что дает максимум давления.

Слой 3: Эскалация

Добавляются DDoS, контакт с клиентами/партнерами, угрозы регуляторного раскрытия (SEC, FCA, органы по защите данных), иногда doxing руководителей и сотрудников.
ИИ-усиление заметно и здесь: deepfake-аудио/видео под «топов» в переговорах и гиперперсонализированный spear-phishing по данным LinkedIn и GitHub.

Индустриализированная RaaS-инфраструктура

Ransomware 3.0 опирается на зрелую преступную бизнес-модель. RaaS-платформы сдают «под ключ» билдеры, переговорные порталы, дашборды аффилиатов и поддержку, обычно по схеме 70–80% дохода аффилиату и 20–30% оператору платформы.

Децентрализация (IPFS + смарт-контракты Ethereum/Polygon) делает инфраструктуру устойчивой к отключению правоохранителями.
В январе 2026 исследователи описали группу, использующую Polygon-контракты для сокрытия и ротации C2.

Ландшафт угроз в цифрах (2025–2026)

• Всего атак в 2025: 7 419 (+32% к 2024)
• Самый пораженный сектор: производство (+56%)
• Supply chain инциденты: 297 vs 154 (+93%)
• Доля топ-3 групп: Qilin, Akira, PLAY ~33% суммарно
• Пиковая доля LockBit: ~44% глобальных инцидентов
• Цена AI-варианта в дарквебе: $400–$1 200
• Стоимость LLM API на одну атаку (прототип NYU): ~$0.70
• Успех генерации ransom note: 100%
• Сектора, затронутые supply chain-атаками в 2025: все (100%)

Экономика атак: «демократизация» ransomware

Самый тревожный сдвиг — резкое падение и стоимости, и порога квалификации. Если закрытый автономный цикл можно запускать за ~$0.70, экономические барьеры для сложных атак практически исчезают.

В 2025 документировались случаи продажи AI-сгенерированных вариантов по $400–$1 200 людьми без продвинутых навыков программирования.
Популяция атакующих расширяется по трем линиям:

1. Оппортунисты с обычным железом и подпиской на коммерческий LLM API;
2. Организованные группы, развивающие RaaS в промышленном масштабе;
3. Акторы, ориентированные на саботаж критической инфраструктуры (а не только на выкуп).

Критическая оценка: возможности, ограничения, что дальше

Что уже достигнуто

• Полностью автономные замкнутые ransomware-кампании технически реализуемы уже сейчас.
• Open-source LLM умеют генерировать рабочий вредоносный код без jailbreak.
• Полиморфизм ломает сигнатурный детект.
• Персонализированные записки усиливают психологическое давление.
• EDR-killer инструменты часто нейтрализуют endpoint-защиту до старта шифрования.

Текущие ограничения

• Большие safety-aligned модели в исследованиях отказывались от extraction-задач в 68–86% случаев.
• Надежность зависит от среды: эксфильтрация ~65% успеха, деструктивные пейлоады ~95%.
• Для реальной атаки все еще нужен первоначальный foothold — это остается сложной операционной фазой без человека.

Что дальше: Ransomware 4.0

Горизонт 2–3 года:
квантово-устойчивое шифрование, AI-vs-AI противоборство в реальном времени и полностью автономное вредоносное ПО, которое учится на каждой неудаче детекта и улучшает уклонение от кампании к кампании.

Как SOCRadar предлагает защищаться от Ransomware 3.0

SOCRadar позиционирует XTI-платформу как проактивную многоуровневую защиту:

• Threat Actor Intelligence: трекинг групп, MITRE ATT&CK TTP mapping, профили акторов и IoC.
• Dark Web Monitoring: поиск украденных учетных данных и чувствительных данных до их злоупотребления.
• EASM: непрерывный контроль внешней поверхности атаки, приоритизация по реальному threat-контексту.
• Supply Chain Intelligence: мониторинг рисков поставщиков, извлечение IoC, автоматизированные workflow реакции.
• Vulnerability Intelligence: алерты по критичным CVE с контекстом активной эксплуатации.
• Agentic Threat Intelligence: ИИ-агенты для автоматизации обнаружения и реагирования.

Стратегические рекомендации организациям

Если говорить практично, защита должна зеркалить архитектуру атакующего: быть проактивной, intelligence-led и автоматизированной.

• Zero Trust: жесткая верификация идентичности и микросегментация против lateral movement.
• Поведенческий детект с учетом ИИ: искать аномалии LLM API-вызовов, in-memory скрипты, паттерны доступа к чувствительным файлам.
• Immutable backups: снимки, которые нельзя изменить/удалить через скомпрометированные креды.
• Гигиена учетных данных + постоянный мониторинг дарквеба: MFA везде, утечку кредов считать security-инцидентом, а не «обычной IT-задачей».
• Видимость цепочки поставок: непрерывный мониторинг третьих сторон и готовые плейбуки реакции.
• IR-план под triple extortion: не только восстановление после шифрования, но и юридический блок по утечке, DDoS-контрмеры и коммуникации со стейкхолдерами.

Ландшафт уже не оставляет пространства для самоуспокоения: Ransomware 3.0 — это не «угроза будущего», а операционная реальность 2025–2026. Те, кто продолжают лечить ее как обычную IT-проблему, системно уязвимы. Те, кто вкладываются в проактивную, threat-informed и AI-усиленную защиту, получают шанс сорвать атаку до того, как автономный цикл дойдет до финала.