Ransomware — leak-сайти¶

Що це¶

Сучасні ransomware-групи (LockBit, BlackCat/ALPHV, Akira, Cl0p, RansomHub та інші) працюють за моделлю double extortion:

Шифрують ваші дані.
Викрадають копію перед шифруванням і шантажують публікацією, якщо викуп не сплачено.

Для пункту 2 кожна група веде власний leak-сайт — публічний веб-ресурс (зазвичай у Tor, інколи з clearnet-зеркалом), де публікує:

Список жертв з назвою компанії та доменом.
Countdown до повної публікації даних.
"Семпли" — скриншоти документів, дерева файлів — як доказ, що вони дійсно у вас були.
Після прострочення дедлайну — повний дамп даних.

Навіщо вам це¶

Якщо ваша компанія з'являється на leak-сайті — це incident in progress. Зловмисники вже всередині, вже мають копію даних, вже домовляються з вами або готуються опублікувати. Часу — від кількох годин до кількох днів до повної публікації.

Чому моніторити, а не чекати лист з вимогою:

Деякі групи публікують жертву до контакту як форму тиску.
Лист може потрапити у спам, бути надісланим не туди, або проігнорованим.
Постачальник чи партнер, який має ваші дані, теж може потрапити на leak-сайт — це ваш third-party risk, про який вас ніхто не повідомить.
Знаючи раніше — встигаєте підготувати PR-комунікацію, юристів, регулятор-нотифікацію (GDPR вимагає 72 години).

Що ми моніторимо¶

Платформа відстежує 30+ найактивніших ransomware-груп, серед них:

LockBit (3.0 / Black)
BlackCat / ALPHV
Akira
Cl0p
8base
Play
Medusa
RansomHub
Та інші

Список оновлюється з релізами платформи на основі threat intelligence фідів — нові групи з'являються 1-2 рази на місяць, старі зникають.

Моніторинг охоплює як Tor-версії сайтів (через захищений проксі), так і clearnet-зеркала, де такі є.

Що ми зберігаємо при знахідці¶

Назва ransomware-групи.
Дата появи жертви на leak-сайті.
Дедлайн (countdown) до публікації.
Скріншот сторінки на момент виявлення — для архіву, бо leak-сайти часто впадають або змінюються.
Доступні семпли — якщо група опублікувала прев'ю (структура файлів, скриншоти документів, ZIP-preview), платформа зберігає їх локально для швидкого розслідування "що саме у них є".

⚠️ Доступ до семплів обмежений за роллю (incident_responder або вище), оскільки вони можуть містити чутливі дані ваших клієнтів.

Severity знахідок¶

Завжди Critical. Поява на ransomware leak-сайті — це безпрецедентна ситуація, яка завжди вимагає негайної реакції.

Що бачите у дашборді¶

При появі знахідки ви одразу отримуєте критичне сповіщення з:

Назвою ransomware-групи.
Датою появи вашої компанії на сайті.
Скільки часу залишилось до публікації даних.
Прев'ю опублікованих семплів.
Прямими посиланнями на сторінку leak-сайту (через Tor onion або mirror).
Чек-листом дій: активувати IR-план, нотифікувати legal, юр-консультантів, готувати regulator notification.

Як підключити¶

Сервіс працює з коробки — підключати нічого не треба. Достатньо, щоб у вас були налаштовані monitored entities (домен, назва компанії).