Ein mutmaßlicher Ransomware-Affiliate gibt sich als Wiederherstellungsdienst namens Ransom Busters aus und kontaktiert Opfer, bevor deren Angriffe öffentlich bekannt werden, warnen Forscher.
Die Gruppe behauptet, Entschlüsselungsschlüssel bereitstellen und gestohlene Daten von Ransomware-Servern löschen zu können. Anschließend fordert sie die Opfer auf, eine separate Gebühr für ihre Dienste zu zahlen.
Forscher gehen davon aus, dass Ransom Busters wahrscheinlich kein unabhängiges Wiederherstellungsunternehmen ist. Stattdessen vermuten sie einen Ransomware-Affiliate, der versucht, außerhalb der üblichen Umsatzbeteiligungsmodelle von Ransomware-as-a-Service-Operationen Geld zu verdienen.
Ransom Busters kontaktiert Opfer vor der öffentlichen Bekanntgabe
Ransom Busters hat Organisationen kurz nach Ransomware-Angriffen per E-Mail kontaktiert und darum gebeten, mit Führungskräften oder IT-Verantwortlichen zu sprechen.
Der Zeitpunkt sorgte sofort für Bedenken. Seriöse Cybersicherheitsunternehmen können Hilfe anbieten, nachdem ein Vorfall öffentlich bekannt geworden ist. Ransom Busters schien jedoch von Angriffen zu wissen, die die Opfer noch nicht öffentlich gemacht hatten.
Die Gruppe erklärte den Opfern, sie habe Schwachstellen in den Administrationsoberflächen der Ransomware-Betreiber gefunden. Sie behauptete, dieser Zugriff verschaffe ihr Kontrolle über gestohlene Dateien, Backups und Verschlüsselungsschlüssel.
Ransom Busters soll angeboten haben, Daten von Opfern aus der Infrastruktur mehrerer Ransomware-Operationen zu löschen, darunter DragonForce, Settra und Anubis. Die geforderten Gebühren lagen zwischen 20.000 und 60.000 Dollar.
Forscher bringen das Vorgehen mit Ransomware-Aktivitäten in Verbindung
Ermittler untersuchten zwei Vorfälle, an denen die Gruppe beteiligt war, und stellten Überschneidungen bei Tools, Taktiken und Infrastruktur fest.
In beiden Fällen nutzten die Angreifer dieselbe Software für Netzwerk-Scans, Fernverwaltung und Datenübertragung. Außerdem erstellten sie ein identisches Backdoor-Konto und verwendeten denselben von den Angreifern kontrollierten Hostnamen.
Auf Grundlage dieser Beweise gehen die Forscher mit mittlerer Sicherheit davon aus, dass ein einzelner Ransomware-Affiliate Ransom Busters innerhalb mehrerer Ransomware-as-a-Service-Gruppen betreibt.
Der Affiliate scheint privilegierten Zugriff zu nutzen, um Opfer direkt zu kontaktieren. Anschließend bietet er einen alternativen Zahlungsweg an, der es ihm ermöglichen könnte, das Geld zu behalten, anstatt es mit der Ransomware-Operation hinter dem Angriff zu teilen.
Die Forscher erklärten, bislang keinen Fall beobachtet zu haben, in dem ein Opfer Ransom Busters bezahlt hat. In einem beobachteten Fall zahlte das Opfer stattdessen an die Ransomware-Operation. Der Name des Opfers und die gestohlenen Daten erschienen nicht auf der Leak-Seite der Gruppe, und die Ermittler fanden keine Hinweise darauf, dass Ransom Busters die Daten außerhalb der Ransomware-Umgebung veröffentlicht hatte.
Opfer sollten nicht verifizierte Wiederherstellungsangebote meiden
Spezialisten für Ransomware-Verhandlungen haben ebenfalls ähnliche Vorgehensweisen beobachtet. Sie berichten, dass Vermittler seit Jahren unter anderen Namen öffentlich bekannte Opfer kontaktieren.
Dieser Fall birgt jedoch ein größeres Risiko, da Ransom Busters Organisationen kontaktierte, bevor deren Vorfälle öffentlich bekannt wurden. Das deutet auf einen Zugang zu Informationen hin, über die ein externer Wiederherstellungsanbieter nicht verfügen sollte.
Ein weiterer Akteur mit Zugriff auf gestohlene Daten kann zudem die Verhandlungen erschweren. Eine Zahlung an die ursprüngliche Ransomware-Operation stellt möglicherweise nicht mehr sicher, dass jeder Akteur mit einer Kopie der Daten eine Vereinbarung einhält, diese nicht zu veröffentlichen.
Opfer sollten unaufgeforderte Wiederherstellungsangebote mit äußerster Vorsicht behandeln. Sie sollten mit vertrauenswürdigen Spezialisten für die Reaktion auf Sicherheitsvorfälle zusammenarbeiten, sämtliche Behauptungen unabhängig überprüfen und keine Zahlungen an unbekannte Dritte senden.
0 Kommentare zu „Ransom Busters gibt sich als Ransomware-Wiederherstellungsfirma aus“