En ny drejning på en gammel afpresningsmanuskript
Ransomware-bander har længe stolet på frygt og hastværk for at presse ofre til at betale. Nu, ifølge rapportering om en ordning kaldet 'Ransom Busters,' har mindst én ransomware-associeret fundet en ny vinkel: at udgive sig for at være netop dem, der skal hjælpe ofre med at komme sig.
I stedet for blot at kræve betaling og forsvinde efter angrebet, henvender denne aktør sig angiveligt til ofre med tilbud om assistance og præsenterer sig selv som en incident-genopretningstjeneste. Hagen er, at denne 'hjælp' ikke er neutral. Den ser ud til at være designet til at omdirigere løsesumsbetalinger væk fra legitime kanaler og tilbage i lommen på det samme kriminelle økosystem, der forårsagede bruddet i første omgang.
Dette er et markant taktisk skift. Traditionelle ransomware-operationer er bygget op omkring en ligetil, om end brutal, transaktion: krypter data, kræv betaling, lever en dekrypteringsnøgle (måske). Ved at indsætte et falsk genopretningslag i den proces kan angribere manipulere desperate ofre to gange, én gang under det oprindelige brud, og igen mens de forsøger at finde en vej ud af det.
Hvorfor ofre er særligt sårbare over for dette trick
Organisationer ramt af ransomware opererer ofte i krisetilstand. Systemer er nede, ledelsen er under pres, og beslutningstagere kæmper for enhver troværdig vej til at genoprette driften. Det miljø er præcis det, der gør en falsk 'genopretningstjeneste' effektiv. Ofre gransker ikke nødvendigvis hvert tilbud om hjælp med et skeptisk øje; de leder efter en hurtig løsning.
Denne taktik spiller også på en bredere tendens, hvor ransomware-aktører udvisker grænsen mellem angriber og hjælper. Den ekkoer andre nylige sager, hvor trusselsaktører har efterlignet betroede roller for at få adgang eller indflydelse, såsom Silent Ransom Group, der fysisk efterligner it-personale hos advokatfirmaer for at manipulere medarbejdere indefra. Uanset om efterligningen sker personligt eller gennem et falsk genopretningsbrand, er målet det samme: udnytte tillid i præcis det øjeblik, hvor en organisation er mindst rustet til at verificere, hvem de reelt har med at gøre.
Ransomware-grupper har også vist, at de er villige til at målrette en bred vifte af sektorer, når muligheden byder sig, som set da gruppen SpaceBears ramte den franske teleudbyder Stellar. Taktikker som 'Ransom Busters'-ordningen tyder på, at selv efter et indledende angreb kan ofre på tværs af brancher ikke antage, at faren er overstået, når forhandlingerne begynder.
Privatlivets konsekvenser ved falske genopretningstjenester
Privatlivets konsekvenser her rækker ud over den økonomiske vinkel. Når et offer engagerer sig med noget, de tror er en legitim genopretningstjeneste, kan de dele følsomme oplysninger om deres netværk, deres dataeksponering, deres interne beslutningsprocesser og endda deres villighed til at betale. Hvis den 'tjeneste' faktisk er kontrolleret af eller tilknyttet angriberen, flyder alle disse oplysninger direkte tilbage til dem, der er ansvarlige for bruddet.
Det skaber en feedback-loop, der gavner angriberen i alle faser: de får betaling, de får efterretninger om, hvordan offeret reagerer, og de kan endda få en ny chance for at presse penge ud under dække af legitim assistance. For enhver organisation, der allerede håndterer kompromitterede data, multiplicerer denne slags ordning eksponeringen i stedet for at løse den.
Hvad dette betyder for dig
Hvis din organisation nogensinde bliver ramt af ransomware, kan presset for at finde en hurtig løsning være intenst, men denne ordning er en påmindelse om, at ikke ethvert tilbud om hjælp under en krise er ægte. Genopretningsfirmaer, forhandlere og cybersikkerhedskonsulenter bør altid verificeres uafhængigt, ideelt gennem henvisninger, etableret omdømme eller din cyberforsikringsudbyder, snarere end gennem kontakter, der dukker op uopfordret lige efter et angreb.
Det er også værd at huske, at legitime incident-response-firmaer typisk ikke dukker op ud af ingenting med uopfordrede tilbud umiddelbart efter et brud. Enhver uventet henvendelse, der hævder at hjælpe med løsesumsforhandling eller datagenopretning, fortjener ekstra granskning, før nogen information eller penge skifter hænder.
Handlingsorienterede pointer
- Verificér enhver incident-genopretnings- eller forhandlingstjeneste gennem troværdige, uafhængige kanaler, før du engagerer dig, især hvis de kontakter dig først.
- Involvér politi og din cyberforsikringsudbyder tidligt; de kan hjælpe med at skelne legitime genopretningspartnere fra opportunistiske aktører.
- Undgå at dele detaljerede oplysninger om dit brud, dine systemer eller dine betalingshensigter med nogen part, hvis legitimationsoplysninger ikke er bekræftet.
- Behandl uopfordrede tilbud om hjælp efter et brud med samme skepsis, som du ville anvende over for den oprindelige løsesumseddel.
Ordninger som 'Ransom Busters' viser, at ransomware-afpresning ikke altid slutter, når løsesumsedlen dukker op. At være på vagt over for, hvem du stoler på i kølvandet på et angreb, er lige så vigtigt som at forsvare sig mod det indledende brud.
