DragonForce offre agli affiliati strumenti per cifrare sistemi e pubblicare dati sottratti. Nel 2026 ha aggiunto l'analisi dei file e ha cercato sviluppatori e ricercatori di vulnerabilità.
Nel settembre 2026 DragonForce ha promosso un servizio per analizzare i dati sottratti alle aziende. Nello stesso periodo ha cercato sviluppatori, reverse engineer e ricercatori di vulnerabilità.
Il gruppo offre agli affiliati un'infrastruttura condivisa. Fornisce anche strumenti e servizi per rendere più efficace l'estorsione. Il nuovo servizio promette di individuare nei file aziendali vulnerabilità legali e operative, quindi di trasformarle in rapporti. Prepara anche copioni per telefonate e lettere di estorsione rivolte ai dirigenti.
Sul proprio sito di leak, DragonForce ha pubblicato un esempio di analisi basato su documenti attribuiti a un'impresa mineraria. Tra i materiali figuravano modelli geologici. L'esempio comprendeva anche registri di perforazione, dati geofisici e piani ingegneristici.
Il servizio punta a trasformare i dati rubati in pressioni negoziali mirate. Dà inoltre agli affiliati accesso a competenze specialistiche che potrebbero non avere. Il modello divide il lavoro tra operatori: uno può occuparsi della ricognizione, un altro del furto di credenziali. Altri ancora possono curare il movimento laterale, la sottrazione dei dati o la cifratura, usando strumenti forniti anche da gruppi ransomware distinti.
Un cartello per gli affiliati
DragonForce è entrato nel panorama ransomware nell'agosto 2023 come operazione ransomware-as-a-service. Le prime versioni si basavano sul codice trapelato di LockBit 3.0. In seguito, i ricercatori hanno individuato una build derivata da Conti v3. Comprendeva opzioni di cifratura configurabili e l'esecuzione programmata. Incorporava anche driver e funzioni per neutralizzare gli strumenti di sicurezza.
Nel giugno 2024 il gruppo ha promosso un programma di affiliazione. Ai partner offriva l'80% dei riscatti e un pannello per generare payload. Dal pannello potevano gestire vittime e permessi, condurre negoziazioni e programmare la fuga dei dati. Il sistema permetteva anche di distribuire chiavi di decrittazione. Dal marzo 2025 DragonForce ha presentato il modello come un "cartello": gli affiliati possono usare strumenti e infrastruttura del gruppo mantenendo marchi propri.
La competizione tra piattaforme ransomware passa anche dai servizi offerti ai partner. Secondo l'analisi di Barracuda, il programma di affiliazione di Qilin prevede una quota riportata tra l'80% e l'85% dei riscatti. Include inoltre strumenti e supporto operativo. Barracuda segnala che Qilin si è espanso dopo che RansomHub è diventato inattivo nell'aprile 2025. L'analisi di Barracuda offre un termine di confronto, ma non cambia la quota attribuita a DragonForce nel proprio programma.
DragonForce ha cercato spazio nel mercato anche con attacchi di defacement ai siti di leak di BlackLock e Mamona. Ha inoltre avuto una rivalità con RansomHub. Nel 2025 DragonForce, LockBit e Qilin hanno annunciato pubblicamente un'alleanza strategica, riportata anche da Security Affairs. Non è invece confermato un legame tra DragonForce Ransomware e DragonForce Malaysia, collettivo hacktivista noto per campagne pro-palestinesi. Le due entità non vanno considerate automaticamente la stessa organizzazione.
Vittime e metodi di intrusione
Le attività osservate si concentrano soprattutto negli Stati Uniti e nel Regno Unito. Sono state rilevate anche in Australia e Canada, oltre che in Italia. Gli obiettivi comprendono aziende manifatturiere e servizi professionali. Tra i settori colpiti figurano anche quello immobiliare, la logistica e la vendita al dettaglio. I casi riguardano inoltre sanità e tecnologia, oltre a media e servizi pubblici. Il modello di affiliazione lascia agli operatori ampia libertà nella scelta delle vittime.
Gli affiliati possono cambiare marchio e riutilizzare tecniche e infrastrutture, una dinamica più ampia nell'economia criminale del ransomware. In attività tracciate da Microsoft, il gruppo Storm-2570 ha impiegato DragonForce insieme a Qilin. Ha usato anche Anubis e BERT contro organizzazioni negli Stati Uniti e in Canada. Le attività hanno riguardato inoltre il Regno Unito, la Spagna e i Paesi Bassi, oltre a Porto Rico, secondo una ricostruzione delle attività monitorate.
Nell'aprile 2025 gli analisti hanno collegato affiliati di Scattered Spider agli attacchi contro il commercio al dettaglio britannico. Un altro caso, nel maggio 2025, ha mostrato il rischio per i clienti di un fornitore IT. Un intruso ha compromesso l'ambiente SimpleHelp di un MSP e ha raggiunto le reti di più clienti. Ha poi distribuito DragonForce e rubato dati. Gli investigatori hanno valutato con media confidenza che l'attacco abbia concatenato tre vulnerabilità di SimpleHelp: CVE-2024-57727, CVE-2024-57728 e CVE-2024-57726.
Il manifatturiero compare anche in un'analisi sulle fabbriche. In questo profilo, però, le attività di DragonForce sono descritte come opportunistiche e non limitate a un singolo comparto.
Le intrusioni documentate possono iniziare con account validi o accessi remoti esposti. Altri punti d'ingresso sono applicazioni vulnerabili, l'impersonificazione dell'help desk o la compromissione di un MSP. Nelle fasi successive compaiono PowerShell e attività pianificate. Gli operatori possono rubare credenziali con Mimikatz e muoversi lateralmente via RDP. Tra gli strumenti usati figurano Cobalt Strike e SystemBC. Prima della cifratura, gli affiliati possono sottrarre dati; nei casi esaminati, le modalità di esfiltrazione non sono state documentate con coerenza.
Per aggirare le difese, gli operatori manomettono gli strumenti di sicurezza e usano driver vulnerabili. Tra questi figurano TrueSight.sys e RentDrv.sys, impiegati per disabilitare il monitoraggio. Sono stati osservati anche la cancellazione dei log e l'eliminazione delle copie shadow. Gli attacchi possono interrompere processi e servizi. I payload cifrano sistemi Windows e VMware ESXi.
Patch e controlli prima della cifratura
Bitsight ha segnalato attività e rivendicazioni sul sito di leak in diverse aree geografiche anche nel 2026. Non tutte le rivendicazioni corrispondono però a violazioni verificate. Nel rapporto di settembre, il gruppo cercava sviluppatori esperti in C/C++, Rust e Go. Cercava anche reverse engineer e ricercatori in possesso di exploit zero-day, offrendo una collaborazione con condivisione dei ricavi.
Oltre alle tre vulnerabilità SimpleHelp collegate con media confidenza all'incidente dell'MSP, Bitsight cita altre falle in report di threat intelligence correlati. Si tratta di CVE-2024-21893 e CVE-2024-21887. Il rapporto menziona anche CVE-2023-46805 e CVE-2024-21412, oltre a CVE-2021-44228. Queste vulnerabilità riguardano prodotti Ivanti e Microsoft Defender SmartScreen. La CVE-2021-44228 è Log4Shell. Il materiale non attribuisce tutte queste falle direttamente a una campagna DragonForce.
Per ridurre il rischio, le organizzazioni dovrebbero applicare le patch a SimpleHelp e agli altri strumenti RMM. Dovrebbero segmentare le connessioni dei fornitori e controllare le distribuzioni massive di software. MFA resistente al phishing e verifiche rigorose per i reset dell'help desk riducono il rischio legato agli account compromessi. Anche la revoca delle sessioni sospette aiuta a limitare gli accessi non autorizzati.
Il monitoraggio di installazioni di driver inattese può aiutare a individuare un'intrusione prima della cifratura. Lo stesso vale per gli arresti dei servizi di sicurezza e gli accessi anomali ai file. Le organizzazioni dovrebbero controllare anche i trasferimenti in uscita. Per il ripristino servono copie di backup offline o immutabili, con credenziali separate dal dominio di produzione. Occorrono inoltre test di recupero dei sistemi e dei carichi VMware.
