DDoS по подписке — в даркнете запустили распродажу с бесплатным тест-драйвом

Подпольный рынок DDoS-атак по итогам 2026 года может вырасти минимум на четверть к прошлому году, подсчитали аналитики Kaspersky Digital Footprint Intelligence. Заказать падение чужого сайта в даркнете можно от $30, а перед покупкой продавцы предлагают проверить товар короткой пробной атакой, порой вообще бесплатно. Криминальный бизнес обрастает тарифами, саппортом, личными кабинетами и ИИ-фичами, как нормальный SaaS.

До 2022 года новые поставщики DDoS-услуг появлялись редко, потом рынок разогнался, и только за первые три месяца 2026 года исследователи насчитали 16 новичков. Всего в даркнете трудятся около 150 действующих продавцов, а средний срок жизни продавца составляет примерно два с половиной года, хотя самые живучие держатся почти десятилетие, сообщают «Известия».

Интересно, что пробный запуск стоит примерно $10, а иногда достаётся бесплатно. Классический free trial, только вместо красивого онбординга чей-то сайт уходит в офлайн.

Отдельные продавцы ориентируются на владельцев игровых серверов, обещают поток в несколько Тбит/с и торгуют обходом DDoS-фильтров, отметили в Kaspersky Digital Footprint Intelligence. Кто-то прокачивает тулзы с помощью ИИ и имитации поведения обычного браузера, чтобы пролезать через CAPTCHA.

Собирать и содержать ботнет больше не нужно, мощности берутся в аренду в разных странах и используются ровно столько, сколько требует атака, объяснил Артём Избаенков, директор продукта Solar Space группы компаний «Солар». Поставщик платит за инфраструктуру по факту и закладывает расходы в цену заказа, а клиенту не приходится лезть в техническую кухню.

Продавцами выступают не только админы ботнетов, но и пёстрая публика, отметили эксперты департамента киберразведки Threat Intelligence компании F6:

• посредники, принимающие заказы;
• реселлеры, перепродающие услуги;
• stresser-сервисы под видом легальных средств проверки нагрузки на сеть.

Реклама, поддержка и витрины переехали из TOR и I2P в мессенджеры и открытый интернет, а клиентов обслуживают Telegram-боты и специализированные каналы. Для российских пользователей это актуально напрямую, потому что Telegram у большинства всегда под рукой, и заказ атаки превращается в пару тапов.

Смысл DDoS-атаки сводится к нарушению работы сети, сайта или сервиса, пояснил Алексей Коробченко, начальник отдела по информационной безопасности компании «Код Безопасности». Заказчиками становятся конкуренты, недобросовестные игроки рынка, хактивисты и вымогатели.

Продавцы работают сразу с тремя классами атак, пояснил Сергей Щербаков, технический директор компании «Стахановец»:

• L3 и L4 перегружают сетевой канал;
• L7 бьёт по самому сайту или приложению;
• комбинированные варианты запускают несколько методов одновременно.

Около 70% продавцов рекламировали L4, а предложения с L7 встречались у 92% участников. Есть и подписка DDoS-as-a-Service с доступом к инструменту на определённый срок, рассказал Владислав Шелепов, аналитик угроз GSOC компании «Газинформсервис».

Рублёвый прайс разбегается от пары тысяч до сотен тысяч:

• разовая атака через посредника стоит от 2700 до 180 тыс. руб.;
• месячная подписка оценивается от 90 до 270 тыс. руб.;
• атака L4 стоит около 7200 руб. за час, а сутки L7 доходят до 54 тыс. руб.

Главным последствием коммерциализации стало снижение финансового порога, ведь строить собственную инфраструктуру не нужно, если атаку можно купить готовой, отметил Дмитрий Карасовский, руководитель отдела по информационной безопасности Axiom JDK. Из-за международной напряжённости государственные ресурсы становятся привлекательными целями, а основной ущерб состоит в недоступности электронных услуг, добавил Дмитрий Карасовский.

Российские пользователи тоже в зоне риска, ведь сбой перед сроком подачи документов бьёт сразу по гражданам, бизнесу и ведомствам.

Стоит обратить внимание, что после блокировок площадки возвращаются в сеть примерно за 30–40 ч, а эффект от ограничений держится около месяца. Классический whack-a-mole, только молоток у правоохранителей медленнее.

Одной защиты конкретных сайтов мало, потому что продавцы переносят инфраструктуру и меняют площадки, заявили эксперты департамента киберразведки Threat Intelligence компании F6, и среди необходимых мер значатся:

• операции правоохранителей против инфраструктуры злоумышленников;
• изъятие командных серверов и анализ криптовалютных транзакций;
• контроль хостинг-провайдеров, через которых площадки быстро возвращаются в сеть;
• защитные технологии против DDoS, в том числе против атак с использованием ИИ.

Организатор сервиса, управляющая система и сайт продавца могут сидеть в разных странах, а часть инфраструктуры способна оказаться за пределами российской юрисдикции, поэтому владельцев сложно вычислить, а закрытую площадку легко заменить новой, обратил внимание Артём Избаенков. Бизнесу нужны приземлённые меры, то есть фильтрация трафика, мониторинг аномалий, готовый план реагирования и слежка за подпольными площадками, указал Сергей Щербаков.

Эксперты CISOCLUB прокомментировали новость и отметили, что асимметрия работает против защитников, ведь атака за $30 может стоить жертве часов простоя и репутационных потерь. Подписки и бесплатные тесты превращают DDoS в обычную коммерческую услугу, поэтому ждать, что рынок схлопнется после пары громких блокировок, не стоит. Бизнесу разумнее считать массированную нагрузку штатным риском и заранее договариваться с провайдером защиты, а не искать контакты в момент, когда сайт уже лежит.

Публичные витрины стоит развести с внутренними системами, чтобы падение лендинга не утянуло за собой авторизацию и интеграции. Регулярные учения и нагрузочные тесты показывают, сколько трафика инфраструктура выдержит, а мониторинг Telegram-каналов и теневых площадок даёт шанс заметить подготовку атаки до старта.

Ранее сообщалось, что 21 сентября 2026 года кибергруппа iEM-Group заявила о проведении серии DDoS-атак против российских государственных и коммерческих ресурсов. В размещённом группировкой перечне фигурируют сайты Роскомнадзора, Федеральной налоговой службы, сервиса «Ответы Mail», Т-Банка и облачной платформы Timeweb Cloud. При этом независимых подтверждений того, что сбои были вызваны действиями именно iEM-Group, на данный момент нет, а информацию о своих атаках участники опубликовали в собственном Telegram-канале.

TA419 пишет американским ИИ-экспертам от имени Anthropic и ловит их на фейковом окне Microsoft

Китайская кибершпионская группировка TA419 разослала фишинговые письма американским специалистам по политике ИИ из аналитических центров, университетов и юридических организаций. Хакеры представлялись известными экономистами, экспертами по регулированию ИИ и даже сотрудником Anthropic, а в финале цепочки жертву ждала поддельная страница входа Microsoft, которая сливает кредсы и данные сессии. Об этом сообщили в Proofpoint.

В феврале 2026 года письмо получил эксперт по политике ИИ из американского аналитического центра. Отправитель значился сотрудником Anthropic и предлагал обсудить военное применение Claude под темой «Request for Feedback on Military Integration of Claude». Для человека, который занимается регулированием ИИ, приманка бьёт в десятку.

Под чужими личинами TA419 писала жертвам в течение 2026 года, и среди отправителей значились:

• известные экономисты;
• эксперты по регулированию ИИ;
• сотрудник Anthropic;
• бывший представитель руководства Управления по научно-технологической политике Белого дома.

В Proofpoint пришли к выводу, что группировку интересует, как в США развивается регулирование ИИ и складывается государственная политика в этой области. Между США и Китаем кипит технологическое соперничество, а споры вокруг дистилляции моделей и экспортных ограничений на передовые технологии не утихают.

Активность TA419 отслеживают как минимум с апреля 2025 года. Раньше хакеры выбирали сотрудников американских и японских аналитических центров, оборонных подрядчиков, университетов и юридических фирм, а круг тем охватывал оборону, нацбезопасность, энергетику и внешнюю политику. Теперь в список вписались специалисты по госполитике в сфере ИИ, чьи решения влияют на регулирование технологий и ограничения для разработчиков.

Жертве приходит безобидное приглашение или предложение профессионально пообщаться, и задача письма сводится к тому, чтобы вызвать доверие и добиться ответа. Если человек отвечает, ему присылают сокращённую ссылку, которая запускает цепочку из:

• нескольких перенаправлений подряд;
• проверки Cloudflare Turnstile, которая создаёт ощущение нормального веб-сервиса;
• фишинговой страницы авторизации Microsoft в OneDrive.

Дальше в дело вступает Frameless BitB, вариация техники Browser-in-the-Browser. Внутри настоящего окна браузера злоумышленники рисуют визуальную копию другого браузера или страницы входа, и юзер видит знакомую форму авторизации, в которой подвох не разглядеть. Классический BitB прячет фейк в iframe, а Frameless обходится без него, подменяет или добавляет HTML-код, скрипты и стили к содержимому страницы, после чего собирает имитацию окна на HTML, CSS и JavaScript.

Интересно, что вместо подозрительного отдельного окна перед жертвой возникает интерфейс, который визуально повторяет привычную процедуру входа в Microsoft.

Исследователь Ваэль Масри описал подобный механизм ещё в 2024 году как способ получить нужный визуальный эффект, внедряя HTML и скрипты прямо в страницу и обрабатывая её содержимое. TA419, судя по данным Proofpoint, не ограничилась готовой тулзой и допилила открытый инструмент собственным модулем телеметрии и автоматизации. Модуль умеет:

• следить за процессом авторизации Microsoft у жертвы;
• гнать введённые данные через прокси типа adversary-in-the-middle;
• одновременно общаться с настоящей инфраструктурой Microsoft.

Цепочка из редиректов, Turnstile и фейкового окна Microsoft масштабируется на кого угодно, поэтому российским юзерам расслабляться рано, а аналитики, ресёрчеры и журналисты, которые переписываются с зарубежными коллегами по теме ИИ, вполне могут получить письмо с похожей приманкой.

Авторизация завершается успешно, привычный сервис работает, а сообщения о краже учётных данных нет. Пока человек продолжает трудиться, злоумышленник получает возможность перехватить данные входа и сведения о сессии. Если бы сайт выдал ошибку о неверном пароле, подозрение возникло бы мгновенно, а здесь всё смотрится как штатный вход в аккаунт.

Стоит обратить внимание на то, что эта схема опаснее многих старых фишинговых страниц, ведь пользователь не получает ни ошибки, ни отказа во входе.

В Proofpoint порекомендовали организациям переходить на методы авторизации, устойчивые к фишингу, прежде всего на passkeys. Тем, кто становится персональной целью TA419, посоветовали действовать по короткому списку:

• осторожнее относиться к неожиданным профессиональным предложениям;
• самостоятельно проверять личность отправителя;
• не переходить по ссылкам до проверки.

Российским компаниям, которые сидят в Microsoft 365 и OneDrive и общаются с иностранными партнёрами, проверка отправителя по второму каналу пригодится не меньше, чем американским аналитикам.

Эксперты CISOCLUB обратили внимание, что Frameless BitB в связке с AitM-прокси ломает привычную логику защиты, потому что успешный вход перестаёт быть признаком безопасности. Пока жертва спокойно работает, злоумышленник забирает сессию, и пароль с одноразовыми кодами теряют смысл, ведь в руки атакующему попадает уже готовый доступ. Passkeys привязаны к домену, поэтому фейковое окно не получит от них ничего полезного, и совет Proofpoint стоит считать базовой гигиеной, а не рекомендацией на будущее.

К тому же мишенью стали люди, а не серверы, и защищать приходится не только периметр, но и привычки тех, кто ведёт переписку с коллегами извне. Тренинги, где учат смотреть на адрес в строке браузера, против имитации окна работают слабо. Интерес к специалистам по госполитике в сфере ИИ сохранится, пока регулирование остаётся полем борьбы между государствами, а значит, письма от якобы коллег с приглашением пообщаться будут прилетать в почту экспертов и дальше.