Архитекти на хаоса

Най-влиятелните и изобретателни киберпрестъпни групи на 2025 г. и какво бизнесът може да научи от тях

Когато говорим за киберсигурност, често се фокусираме върху инструменти, платформи и контроли. Но зад повечето мащабни киберинциденти не стоят само технически уязвимости, а хора, организации и ясно структурирани оперативни модели.

През 2025 г. едно нещо стана ясно.
Най-опасните киберзаплахи не са случайни. Те са проектирани, тествани, усъвършенствани и мащабирани.

Тази статия не е списък с „лоши хакери“.
Тя е по-близък поглед към архитектите на хаоса. Най-влиятелните и изобретателни киберпрестъпни групи на 2025 г. И по-важното. Какво бизнесът може да научи от начина, по който те оперират.

Новото лице на киберзаплахите през 2025 г.

През последната година ясно се откроиха няколко тенденции:

• атаки, фокусирани върху непрекъсваемостта на бизнеса, а не само върху кражба на данни;

• силна зависимост от компрометиране на доставчици и вериги на доставки;

• масово използване на модели тип Ransomware-as-a-Service (RaaS);

• все по-честа употреба на AI както за автоматизация, така и за укриване;

• таргетиране на организации, неподготвени за продължително възстановяване.

Киберпрестъпниците вече не търсят най-слабата цел.
Те търсят най-зависимата.

LockBit. Индустриализиран рансъмуер в мащаб

Въпреки координирания натиск от страна на правоохранителните органи, LockBit остана символ на това как изглежда една зряла киберпрестъпна операция.

Какво ги прави опасни:

• оперират като платформа, а не като една-единствена група;

• афилиейти в множество региони извършват атаките;

• почти целият жизнен цикъл на атаката е автоматизиран. От първоначален достъп до изнудване.

Значими кампании:

• атаки срещу здравни организации и публични институции в Европа и САЩ (2023–2024), довели до прекъсване на услуги и изтичане на данни;

• координирани кампании срещу производствени и логистични компании чрез глобални афилиейт мрежи;

• продължаваща активност през 2025 г. въпреки международните разследвания.

Бизнес извод:
Повечето атаки не са дело на самотни гении. Те са резултат от добре проектирани процеси.
Ако сигурността ви разчита само на периметрови защити, вече изоставате.

ALPHV / BlackCat. Техническа зрялост, комбинирана с психологически натиск

BlackCat се отличи с висока техническа зрялост и агресивен подход към жертвите.

Типични характеристики:

• мултиплатформен зловреден код за Windows, Linux и виртуализирани среди;

• целенасочено атакуване на бекъп системи;

• тройно изнудване. Кражба на данни, прекъсване на услуги и публичен натиск.

Значими кампании:

• атаки срещу енергийни и производствени компании, включително дълбоко компрометиране на виртуализирани среди;

• кампании с двойно и тройно изнудване, комбиниращи криптиране, изтичане на данни и DDoS натиск;

• инциденти, при които бекъп инфраструктурата е умишлено атакувана преди криптиране.

Бизнес извод:
Само наличието на бекъпи не означава устойчивост.
Ако те не са изолирани, тествани и непрекъснато наблюдавани, възстановяването остава илюзия.

Warlock. Престъплението като платформа

Групи като Warlock показват как киберпрестъпността все повече прилича на SaaS екосистема.

Как работи моделът:

• групата предоставя инфраструктура, инструменти и поддръжка;

• „клиентите“ извършват атаките;

• приходите се споделят при платен откуп.

Атрибуцията става все по-трудна. Мащабът нараства.

Значими кампании:

• рансъмуер атаки срещу организации в Европа и Азия чрез RaaS модел;

• кампании, при които множество оператори използват една и съща инфраструктура и инструменти;

• инциденти със силно затруднена атрибуция заради платформения модел.

Бизнес извод:
Реалният риск вече не е кой ви атакува.
А колко бързо и колко често една и съща атака може да се повтори.
Непрекъснатата видимост е по-важна от реакцията след инцидент.

RansomHub. Еволюцията след LockBit

RansomHub се появи през 2025 г. като естествен наследник на екосистемата от афилиейти на LockBit и ALPHV. Част от инфраструктурите бяха разбити. Операторите не изчезнаха. Те се преместиха.

RansomHub не въвежда радикално нов модел.
Той доказва нещо по-опасно.
Икономиката на рансъмуера е устойчива.

Ключови характеристики:

• бърза миграция на афилиейти от разбити платформи;

• повторна употреба на доказани методи за първоначален достъп като фишинг, откраднати идентификационни данни и изложени VPN услуги;

• фокус върху бързо криптиране и изнудване, вместо дългосрочно присъствие.

Значими кампании:

• множество атаки в Европа и Северна Америка (2024–2025), приписвани на бивши афилиейти на LockBit и ALPHV;

• почти идентични техники при различни жертви, показващи споделени оперативни плейбуци.

Бизнес извод:
Разбиванията не елиминират заплахата.
Защитата трябва да се фокусира върху поведението на атакуващите, а не върху имената им.

Cl0p. Когато една уязвимост засяга хиляди

Cl0p заема уникално място в киберпрестъпния пейзаж. Вместо шумни масови прониквания, групата се фокусира върху уязвимости във веригите на доставки, за да постигне мащаб.

През последните години Cl0p е свързана с кампании, експлоатиращи:

• MOVEit Transfer;

• GoAnywhere MFT;

• Accellion FTA.

Една уязвимост. Хиляди жертви.

Значими кампании:

• кампанията MOVEit, довела до изтичане на данни от хиляди организации по света, включително държавни и финансови;

• атаки, фокусирани върху кражба на данни и изнудване без задължително криптиране.

Моделът на Cl0p поставя акцент върху изнудване чрез данни, а не чрез рансъмуер.

Бизнес извод:
Рискът във веригата на доставки умножава въздействието.
Сигурността на доставчиците е бизнес сигурност.

Държавно подкрепяни групи. Дългата и тиха игра

APT групите, свързвани с държави, рядко търсят публичност. Техните цели са достъп, влияние и дългосрочно позициониране.

Основни фокусни области през 2025 г.:

• енергетика и комунални услуги;

• транспорт и логистика;

• технологични доставчици;

• индустриални и научноизследователски данни.

Значими кампании:

• дългосрочни операции срещу енергийна инфраструктура, транспорт и телекомуникации;

• компрометиране на технологични доставчици за вторичен достъп до клиенти;

• операции, насочени към кражба на индустриални и научни данни без незабавно прекъсване.

Бизнес извод:
Не всяка атака е шумна. Някои остават невидими с месеци.
Ловът на заплахи и поведенческият анализ вече не са опция.

Архитектите на хаоса. Обобщение

Общото между всички архитекти на хаоса

Независимо дали става дума за рансъмуер групи или държавно подкрепяни актьори, няколко константи остават:

• търпение и дългосрочно планиране;

• дълбоко разбиране на средата на жертвата;

• широко използване на легитимни инструменти;

• експлоатация на човешки и процесни слабости.

Това не са случайности.
Това са операции.

А какво да кажем за „добрите хакери“

Терминът white hat често се използва, но реалността е по-нюансирана.

Съществуват професионалисти, които ясно оперират в рамките на закона:

• penetration тестери;

• red team екипи;

• bug bounty изследователи;

• независими анализатори на заплахи.

Има и актьори в сива зона. Извън формални договори, но фокусирани върху разкриване на уязвимости, а не върху изнудване.

Едно е сигурно.
Без тези изследователи много от най-критичните уязвимости щяха да останат неоткрити много по-дълго.

Бизнес извод:
Киберсигурността не е битка „ние срещу тях“.
Тя е екосистема от технологии, процеси и хора. От двете страни.

Позицията на DIAMATIX

Архитектите на хаоса разкриват една проста истина.
Киберсигурността вече не е ИТ функция. Тя е бизнес стратегия.

Организациите, които ще издържат следващата вълна от атаки, не са тези с най-много инструменти, а тези с:

• крайна видимост в IT и OT средите;

• 24/7 оперативна готовност;

• тествани и упражнявани планове за възстановяване;

• екипи, които мислят като атакуващи, но действат като защитници.

Финална мисъл

Хаосът в киберпространството не е случаен.
Той е проектиран.

Истинският въпрос за 2026 г. не е дали ще има атаки.
А дали бизнесът ви може да ги преживее, без да спре работа.

Хаосът е проектиран. Устойчивостта също трябва да бъде.
Нека говорим, преди атакуващите да го направят.

Свържете се с DIAMATIX