Un affiliato ransomware si finge società di recupero 'Ransom Busters', contattando le vittime prima che l'attacco sia reso pubblico e chiedendo denaro per la decrittazione e la cancellazione dei dati, ma secondo gli esperti si appropria dei pagamenti senza fornire aiuto reale.
Un affiliato ransomware sospettato sta impersonando un servizio di recupero chiamato "Ransom Busters", contattando le vittime di attacchi informatici prima che questi vengano resi pubblici. Il gruppo promette la fornitura di chiavi di decrittazione e la cancellazione dei dati rubati in cambio di un pagamento, ma secondo GuidePoint Security GRIT, si tratta probabilmente degli stessi autori degli attacchi che cercano di incassare ulteriori riscatti.
Modalità di azione e indizi tecnici
GRIT ha rilevato che le email di "Ransom Busters" arrivano alle vittime prima che l'attacco sia noto pubblicamente, sollevando dubbi su come il gruppo sia a conoscenza degli incidenti. Il gruppo sostiene di aver sfruttato vulnerabilità nei pannelli amministrativi delle operazioni ransomware-as-a-service (RaaS), ottenendo così accesso alle chiavi di cifratura e ai dati sottratti. Offre la cancellazione dei dati dai server ransomware, tra cui quelli di DragonForce, Settra e Anubis, per cifre tra 20.000 e 60.000 dollari. Tuttavia, in almeno due casi, GRIT ha riscontrato che gli strumenti e le tattiche usate dagli attaccanti coincidono con quelle impiegate durante l'attacco iniziale, come l'uso di SoftPerfect Network Scanner, s5cmd, Remotely e la creazione di account backdoor con la password 'Numlock!123'.
Obiettivo: sottrarre riscatti anche ai gruppi ransomware
Secondo GRIT, l'attività di "Ransom Busters" suggerisce che si tratti di un singolo affiliato che tenta di incassare riscatti sia dalle vittime sia dai gruppi RaaS con cui collabora, sfruttando l'accesso privilegiato ai dati. Finora non risultano vittime che abbiano pagato "Ransom Busters" e gli esperti sconsigliano di farlo. In un caso, la vittima ha scelto di pagare direttamente il gruppo RaaS, evitando la pubblicazione dei dati rubati.
Rischi crescenti per le vittime
Coveware, società specializzata in negoziazione ransomware, ha confermato di aver gestito almeno un caso simile, dove una terza parte ha contattato la vittima sostenendo di possedere sia la chiave di decrittazione sia i dati sottratti. Secondo Coveware, questa interferenza su incidenti non ancora pubblici è particolarmente preoccupante, poiché aumenta il rischio che il pagamento al gruppo ransomware non garantisca più la non diffusione dei dati, dato che più soggetti potrebbero averne accesso.
Un fenomeno in crescita nel panorama ransomware
Coveware segnala che casi di "intermediari" che si propongono come recuperatori sono noti dal 2024, ma la differenza principale è che "Ransom Busters" agisce su incidenti ancora non pubblici, a differenza dei classici "ambulance chasers" che si muovono solo dopo la divulgazione degli attacchi. Questo fenomeno riflette una crescente sfiducia interna tra operatori e affiliati RaaS, che cercano di massimizzare i profitti anche a scapito dei propri partner.
Contesto e precedenti
La redazione di BleepingComputer aveva già avvertito che alcuni servizi di recupero ransomware creano account su forum e contattano privatamente le vittime note, promettendo la decrittazione dei file. Tuttavia, la capacità di "Ransom Busters" di individuare incidenti non pubblici rappresenta un salto di qualità nella minaccia. Il fenomeno si inserisce in un contesto di crescente sofisticazione delle strategie ransomware, come già osservato in recenti attacchi che hanno colpito infrastrutture critiche negli Stati Uniti.
