Новая операция по вымогательству появилась в августе 2026 года с амбициозной подачей: сложная инфраструктура, агрессивные выплаты партнерам, глобальные амбиции и то, что она называет «первым программатором-вымогателем на базе ИИ, устойчивым к квантовым угрозам».

Примерно за шесть недель Storm заявила о более чем 50 жертвах в Северной Америке, Европе и Океании. Ее цели охватывают здравоохранение, финансы, производство, бизнес-услуги, государственное управление, транспорт и критическую инфраструктуру.

Storm появилась со структурой устоявшейся операции типа «программа-вымогатель как услуга» (RaaS). Ее партнерская программа предлагает долю доходов до 90%, в то время как ее сайт утечек больше похож на коммерческую программную платформу, дополненную интерактивной картой жертв, функционалом поиска, отраслевыми фильтрами, отслеживанием жертв и предварительным просмотром документов.

Storm активно продвигает себя как средство на базе ИИ. Исследователи из Check Point Exposure Management не обнаружили никаких доказательств использования ИИ при развертывании шифровальщика группировкой, таргетинге жертв, процедурах шифрования или процессах вымогательства. Тема ИИ тесно связана с тем, как Storm привлекает партнеров, пропагандирует автоматизацию и строит свой бренд. Рисунок 1, закрепленный пост Storm на даркнет-форуме, рекламирующий себя как созданный на базе ИИ и демонстрирующий партнерское предложение

Storm быстро масштабировалась. Группировка заявила о более чем 50 жертвах примерно через шесть недель после начала публичной деятельности в Северной Америке, Европе и Океании.
Она запустилась как структурированная партнерская операция. Storm рекламирует шифровальщики для Windows, Linux, ESXi и NAS, а также инструменты управления чатами с жертвами, услуги кол-центра, поддержку обхода антивирусов и EDR, возможности DDoS и работу со СМИ.
Партнеры могут получать до 90% дохода. Storm рекламирует многоуровневую модель, начинающуюся с 75%, поднимающуюся до 80% и достигающую 90% при доходах свыше 750 000 долларов.
Здравоохранение занимало видное место в ее ранней деятельности. Шесть организаций здравоохранения фигурируют среди первых заявлений о жертвах, наряду с жертвами в сферах финансов, производства, розничной торговли, автомобилестроения и других секторов.
Ее сайт утечек необычайно отточен. Storm создала интерактивную платформу, включающую глобальную карту жертв, отраслевые фильтры, поиск, хронологию жертв, предварительный просмотр документов и настраиваемую капчу.
Брендинг на базе ИИ остается неподтвержденным. Исследователи не нашли убедительных доказательств того, что ИИ поддерживает рабочие процессы проникновения, шифрования, вымогательства или партнерства Storm.

Публичное появление Storm было тесно связано с привлечением партнеров.

Перед публикацией информации о своей первой жертве известный брокер начального доступа BigBro прорекламировал новую операцию на даркнет-форуме. Позже Storm опубликовала собственный закрепленный пост о наборе, формализовав свое RaaS-предложение.

Предложение напоминает каталог услуг. Партнеры получают доступ к шифровальщикам, технической поддержке, возможностям связи с жертвами, услугам кол-центра, возможностям DDoS и другим ресурсам. Storm также открыто привлекает брокеров начального доступа, брокеров данных и провайдеров сетевого доступа.

Модель разделения доходов добавляет еще один стимул для привлечения. Партнеры могут оставлять себе до 90% доходов после того, как заработок превысит 750 000 долларов.

Storm заявила о более чем 50 жертвах за первые шесть недель, причем пострадавшие организации были зафиксированы в США, Германии, Канаде и Австралии.

На долю бизнес-услуг пришлось 13 зафиксированных инцидентов, за ними следуют финансы с девятью и производство с семью. На долю розничной торговли и здравоохранения пришлось по шесть.

Рисунок 2, Распределение целевых секторов Storm

Здравоохранение выделяется в ранней деятельности Storm. Заявления о жертвах включали больницы, медицинские сети, провайдеров лечения, радиологические организации и хосписы. По оценкам исследователей, такая ранняя концентрация свидетельствует о намеренном выборе в качестве целей организаций, где перебои в работе могут создать значительное давление с целью выплаты выкупа.

Сайт утечек Storm подчеркивает стремление группы к презентабельности и масштабу.

Сайт на базе Tor включает в себя интерактивную глобальную карту с отображением мест нахождения жертв, фильтрацию по отраслям, поиск по списку жертв, хронологию, предварительный просмотр дерева документов и пользовательскую графическую капчу.

Рисунок 3, Передовой сайт утечки данных Storm и интерактивная карта жертв

Эти инвестиции обеспечивают Storm инфраструктурой для управления жертвами, одновременно поддерживая привлечение партнеров, видимость в СМИ и узнаваемость бренда.

Storm неоднократно называет себя «первым программатором-вымогателем на базе ИИ, устойчивым к квантовым угрозам».

Исследователи не обнаружили убедительных доказательств, подтверждающих использование ИИ в рабочих процессах вторжения, шифрования, вымогательства или партнерской поддержки. Текущие данные указывают на три роли ИИ-нарратива: рекрутинг, сигнализация об автоматизации и маркетинг.

ИИ дает Storm способ выделиться в переполненной экосистеме программ-вымогателей и представить себя технологически продвинутой. Упоминания об автоматизированном управлении жертвами и переговорах также могут сигнализировать об автоматизации рабочих процессов, хотя имеющиеся данные не доказывают наличие усовершенствованных ИИ наступательных возможностей.

Быстрый рост Storm показывает, как быстро операция с программами-вымогателями может достичь масштаба за счет структурированного привлечения партнеров, отточенной инфраструктуры и агрессивного брендинга.

Для полного анализа появления Storm, витимологии, партнерской модели, сайта утечек и заявлений об ИИ читайте полный отчет: Storm: Ransomware in the Age of AI

Узнайте, как Check Point Exposure Management помогает организациям отслеживать группы вымогателей в дарквебе, следить за активностью новых угрозустойчивых субъектов и выявлять потенциальные риски для своей организации.