Хактивистские группировки начали объединять усилия с поставщиками DDoS-атак, превратив громкие кибератаки в рекламу коммерческих услуг. Хактивисты получают доступ к более мощной инфраструктуре, а продавцы используют публичные кампании для привлечения клиентов. Аналитики Касперского обнаружили связи между девятью действующими поставщиками DDoS-услуг и группировками, которые проводят атаки по политическим или идеологическим мотивам.
Специалисты изучили более 256 тысяч сообщений о продаже DDoS-услуг в даркнете и дипвебе, опубликованных с 2015 года по первый квартал 2026 года. В ходе исследования удалось выявить 148 активных поставщиков, девять из которых оказались связаны с хактивистами. Подобные сервисы позволяют организовать DDoS-атаку без создания собственной инфраструктуры. Злоумышленники направляют на сайт или сервер огромное количество запросов, перегружая оборудование и мешая обычным пользователям получать доступ к ресурсу.
Сотрудничество приносит выгоду обеим сторонам. Хактивисты могут использовать дополнительные технические мощности для проведения более масштабных атак, а поставщики получают площадку для продвижения своих услуг. Продавцы открыто рассказывают о партнёрстве и публикуют результаты атак на ресурсах группировок. Успешные операции помогают привлекать заказчиков, которым важно убедиться в возможностях предлагаемой инфраструктуры.
Использование громких кибератак для саморекламы существует уже не первый год. Публичные кампании помогают хактивистам привлекать внимание, собирать пожертвования и находить коммерческих заказчиков. Подобные способы монетизации применялись задолго до появления нынешних партнёрств. Однако исследование показывает, что сотрудничество с поставщиками DDoS-услуг стало заметной частью теневого рынка.
Некоторые группировки идут дальше и самостоятельно выходят на рынок заказных атак. Аналитики обнаружили как минимум четыре хактивистских объединения, которые разрабатывают и продвигают собственные DDoS-инструменты. Подобные участники могут одновременно проводить политически мотивированные операции и предлагать технические возможности другим злоумышленникам.
Для поиска покупателей продавцы используют несколько рекламных каналов. В интернете работают специальные каталоги DDoS-услуг, где поставщиков сравнивают по техническим характеристикам и отзывам клиентов. В мессенджерах распространяют массовую рекламу, а на теневых форумах действуют системы репутации и проверки участников на мошенничество. Подобные механизмы помогают заказчикам выбирать исполнителей и снижают риск потерять деньги при покупке нелегальных услуг.
Отдельным инструментом продвижения стали рейтинговые платформы, на которых злоумышленники соревнуются в мощности атак. Участник направляет трафик на специально выделенный ресурс, после чего платформа измеряет нагрузку и заносит результат в общую таблицу. Высокая позиция помогает продемонстрировать технические возможности и выделиться среди конкурентов. Для продавцов подобные испытания становятся способом подтвердить заявленные характеристики своих сервисов.
Развитие партнёрств происходит на фоне растущей доступности арендных ботнетов и готовых инструментов для проведения атак. Такие сервисы позволяют запускать DDoS-кампании без самостоятельного создания сети заражённых устройств. Для хактивистов аренда мощностей упрощает подготовку операций, а коммерческие поставщики получают дополнительный поток клиентов за счёт публичной активности группировок.
По оценке Касперского, теневой рынок DDoS-услуг всё больше напоминает обычный бизнес с конкуренцией, рекламой и борьбой за покупателей. Изучение связей между поставщиками и хактивистами помогает специалистам по кибербезопасности выявлять новых участников, отслеживать каналы продвижения вредоносных услуг и прогнозировать развитие атак.