Η ομάδα INC ransomware εξελίσσεται με εντυπωσιακή ταχύτητα σε έναν από τους πιο δραστήριους και επικίνδυνους παράγοντες του κυβερνοεγκλήματος. Σύμφωνα με ερευνητές κυβερνοασφάλειας, η οργάνωση, η οποία εμφανίστηκε ως μια σχετικά άγνωστη υπηρεσία ransomware-as-a-service (RaaS), έχει καταγράψει τουλάχιστον 830 θύματα από τον Αύγουστο του 2023, επιβεβαιώνοντας ότι αποτελεί πλέον έναν από τους πρωταγωνιστές του παγκόσμιου οικοσυστήματος των ψηφιακών εκβιασμών.
Η κατάρρευση ανταγωνιστών άνοιξε τον δρόμο
Οι ειδικοί της Acronis επισημαίνουν ότι η εξουδετέρωση του LockBit και η διακοπή της δραστηριότητας του BlackCat δημιούργησαν ένα σημαντικό κενό στην αγορά του ransomware. Η INC εκμεταλλεύθηκε άμεσα την κατάσταση, προσελκύοντας affiliates και συνεργάτες που αναζητούσαν νέες πλατφόρμες για να συνεχίσουν τις επιθέσεις τους.
Οι Ηνωμένες Πολιτείες βρίσκονται στο επίκεντρο των επιχειρήσεων της ομάδας, αντιπροσωπεύοντας περισσότερο από το 65% των καταγεγραμμένων περιστατικών. Μεταξύ των πλέον στοχευμένων κλάδων περιλαμβάνονται οι νομικές υπηρεσίες, η μεταποίηση, οι κατασκευές, οι εταιρείες τεχνολογίας και οι οργανισμοί υγειονομικής περίθαλψης.
Δείτε επίσης: Όσα πρέπει να μάθεις για το Ransomware-as-a-Service (RaaS)
Στροφή στη Rust για μεγαλύτερη αποτελεσματικότητα
Ένα από τα στοιχεία που ξεχωρίζουν στη στρατηγική της INC ransomware είναι η τεχνολογική της αναβάθμιση. Οι εκδόσεις των encryptors για Windows και Linux/ESXi έχουν επανασχεδιαστεί στη γλώσσα προγραμματισμού Rust, μια επιλογή που προσφέρει μεγαλύτερη ευελιξία στην ανάπτυξη κακόβουλου λογισμικού σε πολλαπλές πλατφόρμες.
Παράλληλα, η χρήση της Rust δυσκολεύει τις διαδικασίες αντίστροφης μηχανικής που εφαρμόζουν οι εταιρείες κυβερνοασφάλειας, καθιστώντας την ανάλυση του κακόβουλου λογισμικού περισσότερο χρονοβόρα και περίπλοκη.
Η ομάδα έχει επίσης ενσωματώσει ένα αναβαθμισμένο εργαλείο υποκλοπής διαπιστευτηρίων, το οποίο μπορεί να στοχεύσει νεότερες εγκαταστάσεις αντιγράφων ασφαλείας της Veeam που χρησιμοποιούν κρυπτογράφηση διαπιστευτηρίων μέσω salted DPAPI.
Η γέννηση νέων οικογενειών ransomware
Η πώληση των εκδόσεων της INC για Windows και Linux στη σκοτεινή αγορά του κυβερνοεγκλήματος, τον Μάιο του 2024, είχε μια ακόμη συνέπεια. Εμφανίστηκαν νέες οικογένειες ransomware, όπως οι Lynx και Sinobi, οι οποίες παρουσιάζουν αξιοσημείωτη ομοιότητα σε επίπεδο κώδικα με το αρχικό κακόβουλο λογισμικό της INC ransomware.
Το φαινόμενο αυτό αποδεικνύει ότι το σύγχρονο οικοσύστημα του ransomware λειτουργεί πλέον με χαρακτηριστικά επιχειρηματικού μοντέλου, όπου εργαλεία, πηγαίος κώδικας και τεχνογνωσία διακινούνται και επαναχρησιμοποιούνται με στόχο τη δημιουργία νέων επιχειρήσεων ψηφιακού εκβιασμού.
Δείτε επίσης: Η Εξέλιξη του Ransomware το 2026: Τεχνικές και Προστασία Οργανισμών
Η αλυσίδα επίθεσης της INC ransomware
Οι επιθέσεις της INC ακολουθούν μια ιδιαίτερα μεθοδική προσέγγιση. Η αρχική πρόσβαση στα δίκτυα των θυμάτων αποκτάται μέσω στοχευμένων μηνυμάτων spear-phishing, αγοράς κλεμμένων διαπιστευτηρίων από Initial Access Brokers και εκμετάλλευσης γνωστών ευπαθειών σε δημόσια προσβάσιμες εφαρμογές.
Αφού παραβιάσουν ένα περιβάλλον, οι δράστες προχωρούν στην εξαγωγή ευαίσθητων διαπιστευτηρίων και χρησιμοποιούν εργαλεία τύπου living-off-the-land binaries (LOLBins), όπως το RDP και το PsExec, προκειμένου να μετακινηθούν πλευρικά μέσα στο εταιρικό δίκτυο.
Στη συνέχεια αξιοποιούν την τεχνική Bring Your Own Vulnerable Driver (BYOVD), χρησιμοποιώντας ευάλωτους drivers συστήματος για να παρακάμψουν ή να εξουδετερώσουν αμυντικούς μηχανισμούς ασφαλείας.
Για την απομακρυσμένη διαχείριση και τον έλεγχο των παραβιασμένων συστημάτων χρησιμοποιούνται γνωστά εργαλεία όπως τα Cobalt Strike, AnyDesk, ScreenConnect και TeamViewer, ενώ η εξαγωγή δεδομένων πραγματοποιείται μέσω του Rclone αφού προηγηθεί η συμπίεση και προστασία τους με κωδικό πρόσβασης.
☁️ Κρατήστε ασφαλή αντίγραφα με Proton Drive
Κρυπτογραφημένος cloud αποθηκευτικός χώρος από την Proton — προστατέψτε τα αρχεία σας από ransomware, βλάβες και απώλεια δεδομένων, με end-to-end κρυπτογράφηση.
- ✔ End-to-end κρυπτογραφημένα αρχεία & αντίγραφα
- ✔ Ιστορικό εκδόσεων — ανάκτηση αρχείων μετά από ransomware
- ✔ Δωρεάν χώρος — συγχρονισμός σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η τελική φάση περιλαμβάνει την εκτέλεση του encryptor, ο οποίος αξιοποιεί multithreading και μερική κρυπτογράφηση για την επιτάχυνση της επίθεσης. Σε περιβάλλοντα virtual, το κακόβουλο λογισμικό επιχειρεί ακόμη και τον τερματισμό virtual machines, μεγιστοποιώντας τον επιχειρησιακό αντίκτυπο.
Δείτε επίσης: RaaS: Μία αυξανόμενη απειλή στον κυβερνοχώρο
Η νέα πραγματικότητα του ransomware
Τα στοιχεία της ZeroFox κατατάσσουν την INC ως την τέταρτη σημαντικότερη ομάδα ransomware κατά το πρώτο τρίμηνο του 2026, με περισσότερα από 120 περιστατικά, πίσω μόνο από τις ομάδες Qilin, Akira και The Gentlemen.
Η περίπτωση της INC ransomware αποδεικνύει ότι οι σύγχρονες ομάδες κυβερνοεγκλήματος δεν χρειάζεται απαραίτητα να αναπτύσσουν πρωτοποριακά εργαλεία ή να επενδύουν σε εξαιρετικά σύνθετες τεχνικές. Η συστηματική εκμετάλλευση γνωστών αδυναμιών, η σωστή επιχειρησιακή οργάνωση και η συνεχής βελτίωση των διαθέσιμων εργαλείων αρκούν για να δημιουργήσουν μια εξαιρετικά αποδοτική μηχανή ψηφιακών εκβιασμών.
Ιδιαίτερα ανησυχητικό είναι το γεγονός ότι η INC επικεντρώνεται σε τομείς όπου ακόμη και λίγες ώρες διακοπής λειτουργίας μπορούν να προκαλέσουν σοβαρές οικονομικές απώλειες. Η εξάρτηση αυτών των οργανισμών από αδιάλειπτες υπηρεσίες και σύνθετες αλυσίδες εφοδιασμού αυξάνει σημαντικά τον κίνδυνο μετάδοσης των επιπτώσεων σε προμηθευτές, συνεργάτες και ολόκληρα επιχειρηματικά οικοσυστήματα, καθιστώντας το ransomware όχι μόνο τεχνολογική αλλά και ευρύτερη επιχειρησιακή απειλή.
