LERchek: история и текущий статус¶
LERchek (также пишется как Lurchek, LERCH3K) — российская группа киберпреступников, специализирующаяся на шифровальщиках (ransomware) и продаже доступов к скомпрометированным корпоративным сетям. Деятельность группы активно освещалась в отчётах международных кибербезопасных компаний в 2023—2024 годах; по состоянию на 2025 год сообщалось о значительном ослаблении её операционной активности.
¶История
Группа появилась в русскоязычном криминальном подпольном сообществе (как правило, на форумах в даркнете) ориентировочно в 2022 году. Основной моделью работы LERchek было не столько создание собственного шифровальщика, сколько выкуп и использование чужих вредоносных программ, а также продажа удалённого доступа (initial access) к корпоративным сетям другим группировкам, в том числе тем, что специализируются на шифровальщиках.
По оценкам ряда аналитиков, группа действовала как «коллектив хакеров» без чёткой иерархии: участники делили вырученные средства пропорционально вкладу. Сообщалось, что в состав входили как русскоязычные специалисты, так и хакеры из других стран бывшего СССР.
¶Модель атак
Типичная цепочка атаки LERchek выглядела следующим образом:
- Приобретение доступа. Группа покупала или самостоятельно добывала учётные данные корпоративных систем — через фишинг, эксплуатацию уязвимостей в публично доступных сервисах (VPN, почтовые шлюзы, RDP) или утечки паролей.
- Разведка и закрепление. После получения первичного доступа злоумышленники проводили разведку сети, повышали привилегии, создавали дополнительные учётные записи.
- Продажа доступа. Вместо того чтобы самостоятельно шифровать данные, группа часто продавала доступ третьим лицам — другим криминальным группировкам, которые затем проводили атаки шифровальщиками.
- Шифрование и выкуп. В части случаев группа самостоятельно запускала шифрование, используя приобретённые образцы вредоносного ПО (в частности, сообщалось об использовании версий LockBit и других шифровальщиков).
Среди заявленных жертв — компании из США, Европы, Азии и России. Группа публиковала данные украденных файлов на своих «шантаж-сайтах» (leak sites) для давления на жертв.
¶Следствие и расследования
Деятельностью LERchek занимались правоохранительные органы ряда стран. В 2024 году ФБР совместно с партнёрами из других юрисдикций провело операцию, в ходе которой были зафиксированы значительные активы группы.
В феврале 2025 года Министерство юстиции США объявило об обвинениях в отношении предполагаемого участника LERchek — российского гражданина Артёма Жечихина (в ряде СМИ также фигурирует фамилия Жечихин/Жечихин). Ему инкриминировали участие в преступной группе, связанной с шифровальщиками, и продажу доступов. Сообщалось, что обвиняемый был задержан в Грузии и экстрадирован в США.
Также в 2024—2025 годах правоохранительные органы провели ряд операций по блокировке инфраструктуры группы: конфискованы серверы, домены «шантаж-сайтов», задержаны предполагаемые участники в нескольких странах.
¶Текущий статус (2025)
По состоянию на вторую половину 2025 года операционная активность LERchek существенно снизилась. Аналитические отчёты кибербезопасных компаний (в частности, Group-IB, Trend Micro, Secureworks) указывают на следующее:
- Утечка внутренних данных. В 2024 году из чата группы был выведен массив внутренней переписки, что раскрыло идентификационные данные участников и нанесло серьёзный урон их операционной безопасности.
- Аресты и обвинения. Задержания и предъявления обвинений нескольким участникам подорвали структуру группы.
- Распад коллектива. Сообщалось, что часть участников прекратила сотрудничество, а часть перешла в другие криминальные группировки или действует самостоятельно в меньшем масштабе.
- Снижение публичной активности. «Шантаж-сайты» группы обновлялись реже, новые атаки с прямой привязкой к LERchek фиксировались значительно реже, чем в 2023—2024 годах.
При этом специалисты отмечают, что отдельные участники группы сохраняют навыки и связи, поэтому полностью исключать их возвращение к активной деятельности не следует. Часть бывших участников, по данным ряда обзоров, могла перейти в другие структуры русскоязычного киберкриминала.
¶Значение
Деятельность LERchek стала иллюстрацией модели «ransomware-as-a-service» и рынка продажи корпоративных доступов, которая получила широкое распространение в русскоязычном киберкриминале. Группа демонстрировала, что даже без собственного уникального вредоносного ПО можно извлекать значительную прибыль, выступая посредником между теми, кто получает доступ к сетям, и теми, кто проводит шифровальные атаки.
¶Источники
- Отчёты Group-IB о киберпреступности
- Публикации FBI и Министерства юстиции США
- Материалы Secureworks, Trend Micro, CrowdStrike
- Публикации изданий, освещающих кибербезопасность (Krebs on Security, The Record)