Το τοπίο του ransomware στο τρίτο τρίμηνο του 2025 έχει φτάσει σε ένα κρίσιμο σημείο. Παρά τις πολλαπλές επιχειρήσεις εξάρθρωσης από τις αρχές μέσα στη χρονιά, οι επιθέσεις ransomware παραμένουν σε ιστορικά υψηλά επίπεδα. Η Check Point Research κατέγραψε 1 592 νέα θύματα σε 85 ενεργές ομάδες εκβιασμού, σημειώνοντας αύξηση 25% σε ετήσια βάση.
Παρότι μεγάλες «μάρκες» όπως οι RansomHub και 8Base εξαφανίστηκαν, νέοι και μικρότεροι δράστες γρήγορα κάλυψαν το κενό, κατακερματίζοντας την αγορά του ransomware-as-a-service περισσότερο από ποτέ.
Ρεκόρ κατακερματισμού: 85 ενεργές ομάδες εκβιασμού
Ο αριθμός των ενεργών ομάδων ransomware αυξήθηκε σε επίπεδα ρεκόρ, φτάνοντας τις 85, με 14 νέες ομάδες να εμφανίζονται μόνο στο Q3. Πρόκειται για το πιο αποκεντρωμένο οικοσύστημα ransomware που έχει καταγραφεί μέχρι σήμερα.
- Οι 10 κορυφαίες ομάδες ευθύνονται πλέον για μόλις 56% όλων των θυμάτων (έναντι 71% στο πρώτο τρίμηνο του 2025).
- 47ομάδες ανήρτησαν λιγότερα από 10 θύματα, γεγονός που υποδηλώνει εισροή μικρών, ευέλικτων affiliates που εξαπολύουν ανεξάρτητες επιθέσεις.
Αυτός ο κατακερματισμός καθιστά την άμυνα πιο δύσκολη: οι μικρές και παροδικές ομάδες δεν έχουν κίνητρα να παραδώσουν εργαλεία αποκρυπτογράφησης μετά την πληρωμή, μειώνοντας τις πιθανότητες ανάκτησης δεδομένων και υπονομεύοντας την εμπιστοσύνη στις διαπραγματεύσεις.
LockBit 5.0: η επιστροφή ενός ηγέτη του ransomware
Θεωρούμενο μέχρι πρόσφατα διαλυμένο, το LockBit επέστρεψε με την έκδοση 5.0, μια αναβαθμισμένη παραλλαγή με υποστήριξη πολλαπλών πλατφορμών (Windows, Linux, ESXi), ισχυρότερη κρυπτογράφηση και βελτιωμένη αποφυγή ανίχνευσης. Η επιστροφή του, υπό τον διαβόητο διαχειριστή «LockBitSupp», σηματοδοτεί πιθανή επανασυγκέντρωση affiliates που αναζητούν σταθερά, αξιόπιστα προγράμματα RaaS.
Σημαντικές λεπτομέρειες
- Περισσότερα από15 επιβεβαιωμένα θύματα έχουν αποδοθεί ήδη στο LockBit0.
- Οι affiliates υποχρεώνονται να καταβάλουν προκαταβολή 500 δολαρίων για να ενταχθούν, ένδειξη διαδικασίας ελέγχου.
Qilin πρωτοστατεί το 2025: κέρδος αντί ιδεολογίας
Η Qilin αναδείχθηκε η πιο δραστήρια ομάδα ransomware του 2025, με μέσο όρο 75 θύματα τον μήνα στο Q3 — διπλάσιο σε σχέση με τις αρχές του έτους. Παρά τον ισχυρισμό ότι κινείται από «ιδεολογικά κίνητρα», η Check Point Research διαπιστώνει πως οι επιθέσεις της έχουν καθαρά κερδοσκοπικό χαρακτήρα, στοχεύοντας ευρύ φάσμα κλάδων και περιοχών.
- Ευθύνεται για30 επιθέσεις στον χρηματοπιστωτικό τομέα της Νότιας Κορέας μεταξύ Αυγούστου και Σεπτεμβρίου.
- Προσφέρει στους affiliates μερίδιο έως 85% των εσόδων, καθιστώντας την ένα από τα πιο ελκυστικά προγράμματα RaaS.
DragonForce: το branding συναντά το κακόβουλο λογισμικό
Η αναδυόμενη ομάδα DragonForce επαναπροσδιορίζει τον ανταγωνισμό μεταξύ ομάδων ransomware όχι μέσω κώδικα αλλά μέσω branding. Ανακοινώνοντας «συμμαχίες» με τις LockBit και Qilin σε υπόγεια φόρουμ και προσφέροντας υπηρεσίες “data audit” που βοηθούν τα affiliates να εντοπίζουν αρχεία υψηλής αξίας, θολώνει τα όρια μεταξύ εκβίασης και αναλυτικής αξιολόγησης.
- Κατέγραψε56 θύματα στο Q3 2025.
- Εστίασε κυρίως στηΓερμανία και εταιρείες υψηλού τζίρου.
- Προβάλλεται επιθετικά με PR και στρατολόγηση σε εγκληματικά φόρουμ.
Η τάση αυτο-προώθησης δείχνει ότι οι εγκληματίες RaaS λειτουργούν πλέον σαν start‑ups, διαφοροποιούμενοι μέσω χαρακτηριστικών, ορατότητας μάρκας και κινήτρων για affiliates.
Γεωγραφικές και κλαδικές επιπτώσεις
Top στοχοποιημένες περιοχές
- Ηνωμένες Πολιτείες: περίπου 50% των παγκόσμιων θυμάτων.
- Νότια Κορέα: εισήλθε πρώτη φορά στο παγκόσμιο Top 10 εξαιτίας της καμπάνιας της Qilin στον χρηματοπιστωτικό τομέα.
- Γερμανία, Ηνωμένο Βασίλειο και Καναδάς: παρέμειναν σημαντικοί στόχοι για ομάδες όπως οι INC Ransom, Safepay και DragonForce.
Πιο στοχοποιημένοι κλάδοι
- Μεταποίηση και υπηρεσίες προς επιχειρήσεις, περίπου 10% των επιθέσεων έκαστος.
- Υγεία, σταθερά στο8%, αν και ορισμένες μεγάλες RaaS ομάδες αποφεύγουν συστηματικά τον κλάδο για να περιορίσουν την προσοχή των αρχών.
Η μεγαλύτερη εικόνα: Ενέργειες επιβολής νόμου vs. προσαρμοστικότητα affiliates
Παρά τις πολλές επιχειρήσεις εξάρθρωσης, ο συνολικός αριθμός επιθέσεων ransomware παραμένει σταθερός, 520–540 θύματα τον μήνα.
Γιατί συμβαίνει αυτό;
- Οι αρχές στοχεύουν κυρίως την υποδομή και τους βασικούς «παρόχους», όχι όμως τους affiliates.
- Οι affiliates μετακινούνται γρήγορα ή δημιουργούν νέες ομάδες μετά από κάθε εξάρθρωση.
- Το αποτέλεσμα είναι προσωρινές μειώσεις και εξαφανίσεις brands αλλά μακροπρόθεσμη ανθεκτικότητα στον συνολικό όγκο επιθέσεων.
Προοπτικές για το τέλος του 2025 και μετά
Η επανεμφάνιση του LockBit σε συνδυασμό με τον κατακερματισμό μικρότερων ομάδων δείχνει προς ένα υβριδικό μέλλον: αποκεντρωμένο αλλά γύρω από ισχυρά legacy brands.
Η Check Point Research αναμένει:
- Συνεχιζόμενες επιχειρήσεις από affiliates σε μικρότερα leak sites.
- Αυξανόμενες στρατηγικές monetization όπως “data audits” και μοντέλα πολλαπλής εκβίασης.
- Επίμονη στοχοποίηση κλάδων με υψηλή δυνατότητα πληρωμής λύτρων.
Συμπέρασμα
Το ransomware παραμένει η πιο προσαρμοστική και κερδοφόρα μορφή κυβερνοεγκλήματος το 2025. Η ισορροπία μεταξύ κατακερματισμού και επανασυγκέντρωσης θα καθορίσει το τοπίο των απειλών τα επόμενα χρόνια.
Οι οργανισμοί πρέπει να συνεχίσουν να:
- Ενισχύουν τις άμυνες στα endpoints και στα δίκτυα.
- Διατηρούν offline, αμετάβλητα αντίγραφα ασφαλείας.
- Εκπαιδεύουν τους εργαζομένους στην αναγνώριση phishing και κλοπής διαπιστευτηρίων.
- Παρακολουθούν την εμφάνιση νέας υποδομής RaaS και δραστηριότητας affiliates.
