Grupa ransomware INC stała się jedną z najaktywniejszych operacji typu ransomware-as-a-service, ponieważ dobrze wykonuje podstawy.
Według badań Acronis grupa INC pojawiła się w 2023 roku i do tej pory przypisała sobie ponad 800 ofiar. Nabrała rozpędu po zakłóceniach w działaniu większych marek ransomware, takich jak ALPHV/BlackCat i LockBit, co stworzyło przestrzeń dla nowszych, bardziej agresywnych grup do rekrutowania afiliantów i rozwoju.
INC nie wyróżnia się wysoce oryginalnym złośliwym oprogramowaniem ani zaawansowanymi narzędziami własnej produkcji. Jej sukces wynika ze skalowalności, agresywnego doboru ofiar i niezawodnych metod włamań, które nadal działają w wielu organizacjach.
Właśnie dlatego ta grupa jest niebezpieczna.
Grupa ransomware zbudowana z myślą o skali
INC działa jako grupa typu ransomware-as-a-service.
W tym modelu główni operatorzy dostarczają złośliwe oprogramowanie, infrastrukturę, strony z wyciekami, wsparcie w negocjacjach i wytyczne operacyjne. Afilianci przeprowadzają następnie włamania i wdrażają ransomware, dzieląc się zyskami z operatorami.
Taka struktura pozwala grupom ransomware szybko się skalować.
INC wydaje się czerpać korzyści z gwałtownego wzrostu liczby afiliantów w czasie, gdy działania organów ścigania, wewnętrzne spory oraz upadek lub zakłócenie działalności dużych grup zmieniały część ekosystemu ransomware.
Gdy afilianci szukali nowych platform, grupy takie jak INC mogły przyciągnąć operatorów, którzy już wiedzieli, jak włamywać się do sieci i wywierać presję na ofiary.
Podwójny szantaż jako podstawowy model
INC stosuje standardowy model podwójnego szantażu.
Oznacza to, że na ofiary wywierana jest presja na dwa sposoby:
- Ich systemy są szyfrowane, co zakłóca działalność.
- Skradzionym danym grozi publiczne ujawnienie, jeśli ofiary nie zapłacą.
Ten model pozostaje skuteczny, ponieważ wiele organizacji nie jest w stanie znieść żadnego z tych scenariuszy.
Zakłócenie działalności może zatrzymać procesy biznesowe, a groźba wycieku danych może wywołać konsekwencje prawne, regulacyjne, wizerunkowe i w postaci utraty zaufania klientów.
INC atakowała sektory, w których oba rodzaje presji są szczególnie dotkliwe.
Sektory atakowane przez INC
INC przypisała sobie ofiary w wielu branżach, w tym:
- przemysł wytwórczy
- usługi prawnicze
- opieka zdrowotna
- technologie
- budownictwo
- edukacja
- organizacje związane z sektorem publicznym
Grupa wydaje się preferować organizacje, które przechowują wrażliwe dane i znajdują się pod natychmiastową presją operacyjną, gdy systemy przestają działać.
Opieka zdrowotna jest tu wyraźnym przykładem. Ataki na szpitale i systemy ochrony zdrowia mogą zakłócić opiekę nad pacjentami, wizyty, dostęp do dokumentacji i wewnętrzną koordynację. Organizacje prawnicze i edukacyjne również przechowują wrażliwe dane osobowe i instytucjonalne, co zwiększa możliwości szantażu.
INC powiązano z głośnymi atakami na takie organizacje jak NHS Dumfries & Galloway i Alder Hey Children’s Hospital w Wielkiej Brytanii.
Taka strategia doboru ofiar zwiększa presję na zapłatę okupu.
Bez potrzeby stosowania nowatorskich technik
Jedną z najważniejszych lekcji płynących z działań INC jest to, że operacje ransomware nie potrzebują wysoce nowatorskich technik, aby odnosić sukcesy.
Badacze z Acronis zauważyli, że INC opiera się na sprawdzonych metodach włamań, a nie na innowacjach technicznych.
Typowe metody uzyskiwania początkowego dostępu obejmują:
- spear-phishing
- skradzione lub prawidłowe poświadczenia kont
- dostęp kupiony od brokerów dostępu początkowego
- wykorzystanie znanych luk w zabezpieczeniach
- nadużycie wystawionych usług zdalnych
INC miała według doniesień wykorzystywać luki takie jak:
- Citrix Bleed 2, CVE-2025-5777
- SimpleHelp RMM, CVE-2024-57727
- Citrix NetScaler, CVE-2023-3519
- Fortinet EMS, CVE-2023-48788
Nie są to egzotyczne ścieżki ataku. To rodzaje słabości, które obrońcy już znają i wiedzą, że muszą je kontrolować.
Problem polega na tym, że wystarczająco wiele organizacji nadal pozostawia je wystawione na zewnątrz.
Scenariusz włamań INC
Po wejściu do sieci INC stosuje znany scenariusz działania ransomware.
Grupa prowadzi rozpoznanie przy użyciu podstawowych poleceń i powszechnie znanych narzędzi, w tym:
pingcmd.exe- Advanced IP Scanner
- netscan
Do kradzieży poświadczeń INC używała skryptów i typowych technik poeksploatacyjnych. Do ruchu bocznego wykorzystuje pliki binarne typu living-off-the-land oraz legalne narzędzia, które już znajdują się w środowiskach Windows.
Aby uniknąć wykrycia, grupa stosuje narzędzia zaprojektowane do wyłączania lub zakłócania działania produktów klasy EDR (wykrywanie i reagowanie na punktach końcowych).
Do komunikacji z serwerami dowodzenia i kontroli INC używa narzędzi red team oraz komercyjnych programów do zdalnego dostępu.
Do kradzieży danych grupa pakuje skradzione dane do archiwów i wysyła je do chmurowej przestrzeni dyskowej kontrolowanej przez atakujących.
Nic z tego nie jest szczególnie niezwykłe. Ale jest skuteczne.
Cele z systemami Windows, Linux i ESXi
Ransomware INC ma warianty zarówno dla środowisk Windows, jak i Linux/ESXi.
Ma to znaczenie, ponieważ serwery VMware ESXi są powszechne w środowiskach korporacyjnych i często obsługują krytyczne maszyny wirtualne.
Zaszyfrowanie infrastruktury ESXi może wielokrotnie zwiększyć skutki ataku, ponieważ jeden przejęty hiperwizor może wpłynąć na wiele obciążeń.
Nowsze wersje złośliwego oprogramowania INC zostały według doniesień przepisane w języku Rust.
Rust jest atrakcyjny dla twórców ransomware, ponieważ umożliwia tworzenie oprogramowania wieloplatformowego i może utrudniać inżynierię wsteczną złośliwego kodu. Daje też programistom łatwiejszą w utrzymaniu bazę kodu dla różnych systemów operacyjnych.
Również w tym przypadku nie jest to koniecznie przełomowe rozwiązanie, ale zwiększa skuteczność operacyjną.
Odsprzedaż i ponowne wykorzystanie kodu źródłowego
Złośliwe oprogramowanie INC miało również zostać sprzedane innym podmiotom zagrożeń.
Acronis zauważył, że kod źródłowy INC został w 2024 roku sprzedany co najmniej trzem stronom. Uważa się, że grupy ransomware takie jak Lynx i Sinobi używają odmian złośliwego oprogramowania INC.
Stwarza to kolejne ryzyko: nawet jeśli jedna marka ransomware podupadnie, jej narzędzia mogą żyć dalej w rękach innych operatorów.
Ekosystemy ransomware są w dużym stopniu wielokrotnego użytku. Kod złośliwego oprogramowania, brokerzy dostępu, afilianci, taktyki negocjacyjne i modele stron z wyciekami często przechodzą między grupami.
Utrudnia to ich zwalczanie.
Dlaczego prostota INC jest jej siłą
Sukces INC nie opiera się na tajnych technikach. Opiera się na powtarzalności.
Afilianci grupy mogą korzystać ze zwykłych metod włamań, powszechnie dostępnych narzędzi, znanych luk w zabezpieczeniach, skradzionych poświadczeń i znanych schematów kradzieży danych.
Obniża to barierę wejścia i ułatwia skalowanie operacji.
Jak sugerują badania Acronis, skalowalność może być największym pojedynczym czynnikiem wzrostu INC.
Grupa ransomware nie potrzebuje elitarnego złośliwego oprogramowania, jeśli potrafi niezawodnie zamieniać powszechne słabości w stały strumień ofiar.
Pomógł dobry moment
Na wzroście INC zaważył też czas.
Gdy ALPHV/BlackCat zakończyła działalność, a LockBit został zakłócony, ekosystem ransomware się przesunął. Afilianci potrzebowali nowych miejsc, a ofiary wciąż prezentowały znane słabości.
INC była jedną z grup, które mogły przejąć tę okazję.
Inne rosnące w siłę grupy, takie jak The Gentlemen, również skorzystały na przetasowaniach wśród afiliantów i infrastruktury ransomware.
Pokazuje to, jak odporny pozostaje ekosystem ransomware. Gdy upada jedna duża marka, afilianci, narzędzia i taktyki często pojawiają się gdzie indziej.
Obecna pozycja na rynku ransomware
INC rywalizuje obecnie z niektórymi z najaktywniejszych grup ransomware we współczesnym krajobrazie zagrożeń.
Grupy takie jak Qilin, Akira, The Gentlemen, RansomHub, Play i Cl0p nadal dominują w raportach o incydentach, ale INC stała się znaczącym graczem.
ZeroFox poinformował, że INC weszła do światowej piątki najaktywniejszych grup w pierwszym kwartale 2026 roku, odnotowując 124 incydenty.
Ten wzrost może odzwierciedlać rotację i ponowną konsolidację afiliantów, a nie wyłącznie naturalną ekspansję. Tak czy inaczej wynik jest ten sam: INC przyciąga wystarczająco dużo aktywności afiliantów, by stać się poważnym zagrożeniem operacyjnym.
Wnioski dla obrońców
Główna lekcja obronna płynąca z działań INC jest taka, że podstawowe zabezpieczenia wciąż mają znaczenie.
Scenariusz grupy w dużej mierze opiera się na słabościach, które organizacje mogą ograniczyć:
- niezałatane usługi zdalne
- skradzione poświadczenia
- wystawione na zewnątrz systemy VPN i zdalnego dostępu
- słabe mechanizmy kontroli tożsamości
- niewystarczająca segmentacja
- niewystarczająca ochrona punktów końcowych
- niewystarczająca odporność kopii zapasowych
- brak monitorowania typowych narzędzi poeksploatacyjnych
Organizacje nie powinny zakładać, że liczą się wyłącznie zaawansowane techniki. Większość incydentów ransomware nadal zaczyna się od ekspozycji, której można było zapobiec.
Strategia kopii zapasowych: reguła 3-2-1 wciąż ma znaczenie
Acronis zaleca stosowanie reguły tworzenia kopii zapasowych 3-2-1:
- przechowuj trzy kopie ważnych danych
- zapisuj je na dwóch różnych typach nośników
- trzymaj jedną kopię poza siedzibą
Kopie zapasowe powinny być również:
- offline lub niezmienne
- regularnie testowane
- chronione przed przejęciem domeny
- monitorowane pod kątem nieautoryzowanego usunięcia
- oddzielone od poświadczeń produkcyjnych
Kopie zapasowe nie są pełną ochroną przed ransomware, ale mogą zmniejszyć presję podczas negocjacji i poprawić możliwości odzyskiwania danych.
Nieprzetestowane kopie zapasowe nie są niezawodnymi kopiami zapasowymi.
Kontrola tożsamości i dostępu
Ponieważ INC często używa skradzionych poświadczeń i prawidłowego dostępu, bezpieczeństwo tożsamości jest kluczowe.
Organizacje powinny nadać priorytet:
- uwierzytelnianiu wieloskładnikowemu
- dostępowi warunkowemu
- zasadzie najmniejszych uprawnień
- zarządzaniu dostępem uprzywilejowanym
- regularnemu przeglądowi kont
- wyłączaniu nieużywanych kont
- monitorowaniu pod kątem niemożliwych podróży (impossible travel)
- przeglądowi logowań VPN
- zmianie poświadczeń po incydentach
- blokowaniu współdzielonych kont administratorów
Prawidłowe poświadczenia pozostają jednym z najpotężniejszych narzędzi w operacjach ransomware.
Jeśli atakujący mogą logować się jak legalni użytkownicy, wiele technicznych zabezpieczeń trudniej zastosować.
Zarządzanie poprawkami i ekspozycją
Wykorzystywanie przez INC znanych luk w zabezpieczeniach potwierdza znaczenie zarządzania ekspozycją.
Organizacje powinny:
- identyfikować systemy dostępne z Internetu
- szybko instalować poprawki dla wykorzystywanych luk
- ograniczać liczbę wystawionych usług zdalnego zarządzania
- przeglądać ekspozycję VPN, Citrix, RMM i zapór sieciowych
- monitorować biuletyny dostawców
- nadawać priorytet lukom aktywnie wykorzystywanym przez grupy ransomware
- usuwać nieobsługiwane oprogramowanie
- ograniczać dostęp do usług zdalnych według adresu IP lub przez VPN, tam gdzie to możliwe
Celem nie jest wyłącznie natychmiastowe załatanie wszystkiego. Celem jest ograniczenie ścieżek ataku, z których faktycznie korzystają afilianci ransomware.
Zabezpieczenia punktów końcowych i sieci
INC używa popularnych narzędzi i technik living-off-the-land. Oznacza to, że obrońcy potrzebują wglądu w zachowania, a nie tylko w sygnatury złośliwego oprogramowania.
Przydatne mechanizmy kontroli obejmują:
- wykrywanie i reagowanie na punktach końcowych (EDR)
- wykrywanie zachowań typowych dla ransomware
- kontrolę aplikacji
- monitorowanie PowerShell i skryptów
- wykrywanie narzędzi wyłączających EDR
- alerty o masowym dostępie do plików lub ich szyfrowaniu
- monitorowanie tworzenia archiwów i dużych transferów wychodzących
- segmentację sieci
- blokowanie zbędnych wysyłek do chmurowej przestrzeni dyskowej
- ograniczanie ruchu bocznego między punktami końcowymi a serwerami
Obrona przed ransomware wymaga wczesnego wykrycia, zanim rozpocznie się szyfrowanie.
Podsumowanie
Wzrost znaczenia INC pokazuje, że sukces ransomware nie wymaga technicznej oryginalności.
Grupa rozwinęła się dzięki połączeniu agresywnego doboru celów, skalowalności opartej na afiliantach, podwójnego szantażu, znanych luk w zabezpieczeniach, skradzionych poświadczeń oraz podstawowych, ale niezawodnych metod włamań.
Czyni to z INC poważne zagrożenie, zwłaszcza dla sektorów, w których przestój i ujawnienie wrażliwych danych wywierają natychmiastową presję na zapłatę okupu.
Dla obrońców przekaz jest praktyczny: skup się na podstawach.
Instaluj poprawki w wystawionych systemach, zabezpiecz tożsamości, ogranicz ryzyko związane ze zdalnym dostępem, segmentuj sieci, monitoruj typowe zachowania poeksploatacyjne, chroń kopie zapasowe i testuj plany odzyskiwania.
INC nie wygrywa dlatego, że jej metody są tajemnicze. Wygrywa, ponieważ zbyt wiele powszechnych słabości pozostaje dostępnych.
