Un gruppo ransomware è un'operazione criminale che pianifica, distribuisce e supporta campagne di malware orientate all'estorsione. Può includere sviluppatori, broker di accesso iniziale, distributori di malware, negoziatori e partner per il riciclaggio di denaro. Il nome del gruppo viene spesso usato per descrivere le persone e l'infrastruttura dietro la campagna, anziché un singolo software.
I gruppi ransomware sono importanti perché trasformano il malware in un'attività organizzata: ottengono accesso, distribuiscono strumenti di crittografia o di furto di dati, esercitano pressione sulle vittime e cercano di riscuotere il pagamento. Negli attacchi reali, un gruppo può fare affidamento su phishing, kit di exploit, abuso di accessi remoti o programmi di affiliazione per diffondere i payload. I difensori cercano l'intera catena, non solo il binario ransomware, monitorando i percorsi di accesso, il movimento laterale, l'attività di comando e controllo e i segnali di esfiltrazione dei dati. Interrompere gli operatori, l'infrastruttura o i canali di distribuzione può ridurre la capacità del gruppo di lanciare la campagna successiva.