# Новата рансъмуер група Dark Project предлага на хакери 80% комисиона за разширяване на кибератаките

- URL: https://news.nodepoint.bg/article/5913
- Публикувано: 2026-11-06T13:06:55.000Z
- Категория: Заплахи и зловреден софтуер
- Ниво на заплаха за България: висок
- Оригинален източник: Cyber Security News — "New Dark Project Ransomware Group Offers Hackers 80% Commission to Expand Cyberattacks" (https://cybersecuritynews.com/new-dark-project-ransomware-group/)
- Издател: NodePoint News (https://news.nodepoint.bg/about), НодПойнт ЕООД
- Бележка: преведено и обобщено с изкуствен интелект, без предварителна човешка редакция (https://news.nodepoint.bg/editorial-policy)

> Новата рансъмуер група Dark Project набира партньори с оферта за 80% комисиона от успешни атаки, комбинирайки кражба на данни и криптиране на файлове. До момента операцията е насочена основно към производствения, здравния и строителния сектор, използвайки Windows среди и двойно изнудване.

Рансъмуер група, наречена Dark Project, набира престъпни партньори с оферта за 80% от приходите от успешни атаки, комбинирайки щедри комисиони с платформа за управление на изнудването.

Забелязана за първи път през юни 2026 г., финансово мотивираната операция съчетава кражба на данни, криптиране на файлове и заплахи за публично изтичане на информация, за да окаже натиск върху организациите да платят.

Публикуваните от групата записи на жертви обхващат 38 организации в осем държави, като на Съединените щати се падат 30 от тях.

Производството, здравеопазването и строителството заемат водещо място. Тези цифри обаче описват организации, посочени в разузнавателни данни за заплахи и записи от сайтове за изтичане на данни, а не независимо потвърдени пробиви или пълна оценка на дейността на групата.

Изследователи от Gurucul идентифицираха рансъмуер операцията на Dark Project в своя профил на злонамерения субект, документирайки процеса на набиране на партньори, инфраструктурата и докладваните методи за атака.

Техните констатации описват нововъзникваща операция, която използва езика на легитимните услуги за сигурност, за да рекламира инструменти и партньорска поддръжка за рансъмуер дейност.

#### Новата рансъмуер група Dark Project

Dark Project рекламира партньорска програма, по която сътрудниците получават 80% от приходите, докато нейните оператори задържат 20% за услугите на платформата и отчитането.

Офертата наподобява утвърдени модели за разпределение на приходите при рансъмуер партньорства, използвани от други престъпни групи, въпреки че рекламираните условия не доказват, че партньорите получават плащанията си според обещаното.

Набирането на партньори преминава през четири етапа: кандидатстване, проверка и въвеждане, разгръщане и уреждане на комисионите. Кандидатите се свързват с групата чрез Tox.

Твърди се, че одобрените партньори получават уникален идентификатор, достъп до платформата и оперативни инструкции, преди да разположат зловреден код срещу организациите.

Dark Project твърди, че управлява комуникацията с жертвите и преговорите за откуп, като обещава изплащане на комисионите в рамките на 24 часа след приключване на операцията.

Рекламираната инфраструктура включва хоствано в Tor оперативно табло за управление, агенти, предоставяни във формати EXE и BIN, както и пакет за симулация на социално инженерство.

Съобщава се, че агентите съдържат идентификатори на партньори, които позволяват дейността да бъде свързана с отделни сътрудници. Това са твърдения на самата платформа, документирани от Gurucul, а не възможности, независимо демонстрирани чрез публикуван анализ на зловреден софтуер.

![Инструкции за плащане с Bitcoin и процес на разплащане с криптовалута (Източник - Gurucul)](https://news.nodepoint.bg/media/articles/5913/img-1.webp)

Инструкции за плащане с Bitcoin и процес на разплащане с криптовалута (Източник – Gurucul)

Разделянето на разполагането на зловредния код от преговорите оставя на партньорите по-малко оперативни задачи за управление. Сходни функции на платформи за управление на партньори се появиха и в операциите на рансъмуера Lynx, където сътрудниците могат да управляват профили на жертви и графици за публикуване на откраднати данни.

Dark Project също така насърчава плащанията в Bitcoin, но предоставеният доклад не съдържа адреси на портфейли или доказателства за трансакции, потвърждаващи разплащанията.

Разкритията на жертви достигнаха своя пик през август 2026 г., когато бяха публикувани 20 организации, след четири през юни и нито една през юли. През септември и октомври бяха добавени по пет записа, докато през ноември те бяха четири към момента на събиране на данните. Тези дати проследяват активността по публикуване и не трябва да се третират като потвърдени дати на проникване.

#### Докладвани методи за атака, приоритети за защита и липси на доказателства

Gurucul описва първоначален достъп чрез фишинг, изложени в интернет услуги за отдалечен работен плот (Remote Desktop Protocol), компрометирани идентификационни данни и VPN достъп, придобит от логове на инфостилъри или брокери за първоначален достъп.

Докладваната операция е насочена към Windows среди и следва модела на двойно изнудване, като краде чувствителна информация преди криптирането и заплашва с публикуването ѝ при неуспех на преговорите. Това създава отделни рискове, свързани с прекъсване на бизнес процесите и излагане на данни на показ.

Това разграничение е от значение, тъй като възстановяването на файловете не премахва заплахата от публично разкриване на откраднатата информация. Свързани доклади за тактиките за изнудване чрез кражба на данни обясняват защо самото възстановяване на системите не може да разреши всяко искане за откуп.

Сайтът за изтичане на данни на Dark Project в мрежата Tor служи като публичен канал за натиск, публикувайки подробности за предполагаемите жертви, когато операторите търсят допълнително влияние.

Докладът съпоставя активността с техники, включващи злоупотреба с валидни акаунти, Windows Management Instrumentation, RDP, SMB, ексфилтриране на данни, криптиране и опити за възпрепятстване на възстановяването.

Той също така изброява свързани уязвимости, но не предоставя достатъчно доказателства от инциденти, за да установи всеки посочен пропуск като потвърдена входна точка за Dark Project. Екипите по защита трябва да разграничават докладваните връзки от реално демонстрираната експлоатация.

На производството се падат 12 докладвани жертви, на здравеопазването – седем, а на строителството – четири. Тази концентрация прави мониторинга на достъпа и готовността за възстановяване важни приоритети за изложените на риск организации.

Gurucul препоръчва инсталиране на корекции за сигурност, по-строг контрол на достъпа, наблюдение за подозрителна активност и сигурни резервни копия. Екипите по сигурност могат да прилагат тези мерки, без да приемат, че всеки партньор на групата следва идентична последователност при проникване.

#### Индикатори за компрометиране (IoCs):-

| Тип индикатор | Наличност в източника |
| --- | --- |
| SHA-256, SHA-1, MD5 | Не са предоставени |
| Домейни или IP адреси на атакуващите | Не са предоставени |
| Tor или Tox идентификатори | Не са предоставени |
| Адреси на Bitcoin портфейли | Не са предоставени |

**Забележка:** *IP адресите и домейните са умишлено деактивирани (напр.*`[.]`*), за да се предотврати случайно резолване или превръщане в активни хипервръзки. Възстановявайте ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система*.

## Анализ на риска за България

Макар повечето докладвани до момента жертви да са в САЩ, използваните от Dark Project методи за първоначален достъп — като фишинг, компрометирани VPN данни от инфостилъри и открити RDP услуги — представляват пряка заплаха и за българските предприятия. Компаниите от производствения, строителния и здравния сектор в България, които разчитат на Windows инфраструктура, трябва да поддържат надеждни резервни копия и строг контрол на достъпа.

Ключови думи: рансъмуер, Dark Project, двойно изнудване, кибератаки, RaaS, зловреден софтуер