GLOBALNA GRUPA RaaS operacija

Stručnjaci za kibernetičku sigurnost otkrili su novu operaciju Ransomware-as-a-Service (RaaS) pod nazivom GLOBAL GROUP. Od početka lipnja 2025. ova kampanja aktivno cilja organizacije diljem Australije, Brazila, Europe i Sjedinjenih Država. Ova kampanja označava značajnu evoluciju u ekosustavu ransomwarea.

Od BlackLocka do GLOBAL GROUP-a: Strategija rebrandinga

Iza ove nove sheme stoji prijetnja poznata kao '$$$', koja je prethodno kontrolirala BlackLock RaaS i upravljala operacijom ransomwarea Mamona. GLOBAL GROUP promovirana je na forumu Ramp4u i općenito se smatra rebrendiranjem BlackLocka, koji je i sam nastao iz Eldorada.

Rebrendiranje je uslijedilo nakon incidenta u ožujku 2025. kada je kartel DragonForce uništio BlackLockovu stranicu za curenje podataka. Uvođenjem GLOBAL GROUP-a, operateri su nastojali modernizirati svoju infrastrukturu, povećati privlačnost za partnere i vratiti kredibilitet.

Taktike napada i vektori ulaska

GLOBALNA GRUPA usvaja financijski motiviran pristup korištenjem Initial Access Brokera (IAB-ova) za infiltraciju mreže. Ovi brokeri pružaju unaprijed kompromitirani pristup korporativnim mrežama, omogućujući povezanim društvima da se usredotoče na implementaciju ransomwarea i pregovore, a ne na napore za prodiranje.

Ključne tehnike uključuju:

• Pretvaranje pristupa ranjivim rubnim uređajima tvrtki Cisco, Fortinet i Palo Alto u oružje
• Korištenje uslužnih programa za grubu silu usmjerenih na portale Microsoft Outlooka i RDWeb-a
• Dobivanje pristupa protokolu udaljene radne površine (RDP) ili web ljusci za odvjetničke tvrtke i slične ciljeve

Jednom kada uđu unutra, napadači koriste alate za naknadnu eksploataciju, izvode lateralno kretanje, kradu osjetljive podatke i pokreću ransomware pakete.

Unutar RaaS ekosustava

GLOBAL GROUP nudi opsežan partnerski panel i platformu za pregovore. Partnerski panel osnažuje partnere da:

• Izradite ransomware pakete za VMware ESXi, NAS, BSD i Windows.
• Pratite žrtve i upravljajte operacijama.
• Koristite značajke prilagođene mobilnim uređajima za upravljanje u stvarnom vremenu.

Partnerima se obećava 85% udjela u prihodu, što je atraktivan poticaj za zapošljavanje. Portal za pregovore, pokretan chatbotovima pokretanim umjetnom inteligencijom, omogućuje višejezičnu interakciju, što partnerima koji ne govore engleski olakšava učinkovitu interakciju sa žrtvama.

Profil žrtve i globalni utjecaj

Do 14. srpnja 2025., GLOBAL GROUP je odnio zahtjev za 17 žrtava u različitim sektorima, uključujući:

• Zdravstvo
• Izrada opreme za naftu i plin
• Industrijski strojevi i precizno inženjerstvo
• Usluge popravka automobila i sanacije nesreća
• Outsourcing poslovnih procesa (BPO)

Tehnička DNK i evolucija

Analiza otkriva sličnosti u kodu između GLOBAL GROUP i Mamone, kao i korištenje istog ruskog VPS pružatelja usluga (IpServer). Ransomware, napisan u Gou, ima mogućnosti instalacije na razini cijele domene, što ga razlikuje od ranijih verzija. Ovaj tehnološki pomak naglašava strateški potez za proširenje angažmana partnera i povećanje operativne otpornosti.

Zašto GLOBAL GROUP ukazuje na rastuće rizike

Pokretanje GLOBAL GROUP ilustrira namjerni poticaj operatera ransomwarea na inovacije, uključujući pregovore pokretane umjetnom inteligencijom, prilagodljive alate za izradu sadržaja i napredne poticaje za partnere. Ova modernizacija signalizira eskalirajuću utrku u naoružanju unutar krajolika ransomwarea, što predstavlja značajnu prijetnju globalnoj kibernetičkoj obrani.