Le RaaS (Ransomware-as-a-Service) fonctionne comme le modèle SaaS (Software-as-a-Service) dans lequel les logiciels sont accessibles en ligne sur la base d’un abonnement. Cependant, le modèle RaaS continue également d’évoluer à sa manière, et cet écosystème entièrement fonctionnel et indépendant prospère dans le sous-sol. L’un des acteurs clés de ce modèle commercial est appelé opérateurs, qui développent et distribuent des ransomware, travaillant souvent en groupes structurés avec et ont des rôles désignés comme des dirigeants, des développeurs et des administrateurs système. Les groupes plus avancés peuvent également avoir d’autres rôles, tels que les testeurs de pénétration, les analystes victimes et les négociateurs pour affiner leurs attaques. 

Certaines tâches sont externalisées ou obtenues via des programmes affiliés, tels que l’accès en tant que service (AaaS), qui fournit des points d’entrée dans les organisations cibles. Les testeurs de pénétration qualifiés peuvent manquer d’outils de ransomware et fonctionner en tant qu’affiliés, en utilisant l’infrastructure RaaS pour exécuter des attaques. 

Un groupe criminel RaaS développe ou acquiert d’abord des logiciels de ransomware, puis recrute des affiliés via des forums, Telegram ou des réseaux personnels, investissant parfois jusqu’à 1 million USD en recrutement. Une fois intégrés, les affiliés mènent des attaques de manière indépendante. 

Le RaaS profite aux deux parties : les opérateurs profitent des paiements des affiliés, tandis que les affiliés accèdent aux ransomware sans frais de développement. Les modèles de revenus varient, y compris les abonnements, les frais ponctuels, l’intéressement ou le marketing d’affiliation. Cela permet aux opérateurs de se concentrer sur l’amélioration des ransomware, tandis que les affiliés gèrent l’exécution, faisant du RaaS un modèle de cybercriminalité hautement spécialisé et rentable. 

Ce modèle est également adopté par la communauté de la cybercriminalité, et l’exemple le plus important est « RaaS - Ransomware as a Service ». Par le passé, les attaques de ransomware étaient principalement menées par les développeurs de ransomware eux-mêmes. Contrairement au RaaS, les développeurs de ransomware n’effectuent pas eux-mêmes les attaques, mais rassemblent plutôt les soi-disant « affiliés » pour mener les attaques et leur fournir le ransomware. Si l’attaque de l’affilié est réussie et que la rançon est payée, les bénéfices sont répartis entre le développeur de ransomware et l’affilié en tant que frais de réussite.