En gruppe, der kalder sig Ransom Busters, retter sig mod et publikum, der allerede har haft en forfærdelig uge: ransomware-ofre. Ifølge rapportering om gruppens aktivitet hævder Ransom Busters at have hacket sig ind på ransomware-operatørernes egne servere og tilbyder nu ofrene en aftale: betal mellem 20.000 og 60.000 dollars, og gruppen vil hjælpe med at gendanne krypterede filer og slette stjålne data. Det lyder som en redningsline. Det er mere sandsynligt et andet afpresningsforsøg forklædt som en redningsaktion.

Denne historie betyder noget, fordi den afslører et voksende problem i ransomware-økosystemet: efter at en organisation er blevet ramt én gang, bliver den et mål for opportunistiske aktører, der udnytter kaosset, frygten og presset, der følger efter et sikkerhedsbrud. At forstå, hvordan denne falske ransomware-gendannelsessvindel fungerer, og hvordan man skelner ægte hjælp fra et bedrag, er afgørende for enhver organisation, der befinder sig på den forkerte side af et angreb.

Hvad Ransom Busters hævder at tilbyde

Ifølge rapporteringen præsenterer Ransom Busters sig selv som en ekstern part, der har kompromitteret infrastrukturen, som ransomware-bander bruger. Tilbuddet er ligetil: Gruppen siger, at den kan fremskaffe dekrypteringskapacitet eller stjålne filer og kan sikre, at data, der blev taget under det oprindelige angreb, bliver slettet frem for lækket. Til gengæld bliver ofrene bedt om at betale et gebyr på mellem 20.000 og 60.000 dollars – en betydelig sum for organisationer, der måske allerede vakler under operationelle tab, nedetid eller et oprindeligt løsesumskrav.

På overfladen låner denne fremstilling troværdighed fra sproget i etisk hacking og cybersikkerhedsforskning. Grupper, der reelt infiltrerer kriminel infrastruktur, findes, og retshåndhævende myndigheder har lejlighedsvis gendannet dekrypteringsnøgler gennem lignende metoder. Men der er ingen uafhængig verifikation knyttet til Ransom Busters' påstande, og hele modellen bygger på, at ofre stoler på en anonym tredjepart med penge, efter de allerede er blevet brændt én gang.

Hvordan dobbelt-afpresningssvindelen fungerer

Mekanikken her er enkel og deprimerende effektiv. Ransomware-ofre er allerede under pres: Systemer er nede, kunder eller myndigheder stiller måske spørgsmål, og de oprindelige angribere presser på med en nedtælling. Ind i det kaos træder en gruppe, der tilbyder en genvej, en måde at få problemet til at forsvinde mod et gebyr, der måske ser beskedent ud sammenlignet med løsesumskravet eller omkostningerne ved langvarig nedetid.

Dette er reelt en anden afpresning lagt oven på den første. Uanset om Ransom Busters har nogen reel adgang til ransomware-infrastrukturen, er incitamentsstrukturen identisk med det oprindelige angreb: betal penge til en ubekræftet part i bytte for et løfte. Ofre har ingen mulighed for at bekræfte, at filerne vil blive gendannet, at stjålne data faktisk vil blive slettet, eller at de ikke blot vil blive afpresset en tredje gang længere henne. Dette mønster afspejler den taktik, man ser i andre afpresningsdrevne hændelser, herunder tilfælde, hvor grupper som ShinyHunters har sat offentlige lækagefrister for at presse ofre, som set i ShinyHunters-bruddet, der påvirker Inter-Con Security-e-mails og Kodak-datakravene knyttet til en lækagefrist.

Verificering af legitime gendannelsestjenester mod svindel

Fremkomsten af falske gendannelsestilbud gør verificering til en kritisk færdighed for enhver organisation, der håndterer en hændelse. Et par praktiske kontroller kan adskille legitim hjælp fra et bedrag. Legitime incident response-firmaer og retshåndhævende kontakter kan verificeres gennem etablerede kanaler, professionel autorisation, tidligere sagsreferencer og formelle engagementskontrakter. De dukker typisk ikke uopfordret op med en fast prisseddel og en påstand om personligt at have brudt angribernes servere.

Organisationer bør også være skeptiske over for enhver uopfordret kontakt efter en ransomware-hændelse, uanset om vedkommende hævder at være en gendannelsestjeneste, en journalist eller endda et medoffer, der tilbyder at dele erfaringer. Angribere og opportunister ved begge, at en ramt virksomhed er distraheret og angst, hvilket gør den til et let mål for yderligere manipulation. At involvere en kendt, gennemtestet incident response-udbyder og inddrage retshåndhævelse forbliver den sikrere vej sammenlignet med at engagere sig med anonyme grupper, der kommer med dristige påstande over krypteret chat eller dark web-fora.

Hvorfor backups slår at betale enhver løsesum

Det mest holdbare forsvar mod både det oprindelige ransomware-krav og efterfølgende svindelnumre som Ransom Busters er enkelt: pålidelige, testede backups. Hvis filer kan gendannes fra en ren, offline backup, er der ingen grund til at forhandle med de oprindelige angribere eller underholde en tredjepart, der tilbyder betalt gendannelse. Dette fjerner presset fuldstændigt.

Den bredere industri bevæger sig allerede i denne retning. Som beskrevet i dækningen af, hvordan ransomware-betalinger falder på tværs af industrien, vælger færre organisationer overhovedet at betale afpresningskrav, delvist på grund af forbedrede backup-praksisser og delvist på grund af voksende bevidsthed om, at betaling ikke garanterer resultater. Hurtigt bevægende trusler, som Spirals-ransomware-varianter, der kan kryptere et netværk på under 24 timer, understreger også, hvorfor forebyggelse og hurtig detektion betyder mere end enhver forhandling efter en hændelse, uanset om den er ægte eller falsk.

Hvad dette betyder for dig

Hvis din organisation nogensinde bliver ramt af ransomware, så behandl ethvert uopfordret gendannelsestilbud, herunder et fra en gruppe som Ransom Busters, med samme mistænksomhed, som du ville anvende over for de oprindelige angribere. At betale en ubekræftet part tusindvis af dollars baseret på en påstand om hackede servere er et hasardspil uden nogen håndhævbar garanti. Den sikrere, mere pålidelige vej er at opretholde offline backups, engagere gennemtestede incident response-professionelle og rapportere hændelser til retshåndhævelsen frem for at forhandle i mørket.

Vigtigste pointer

  • Behandl ethvert uopfordret ransomware-gendannelsestilbud som en potentiel svindel, indtil det er uafhængigt verificeret.
  • Send aldrig betaling til en tredjepart, der hævder serveradgang, uden dokumenteret bevis og formelle engagementsvilkår.
  • Oprethold testede, offline backups, så løsesumskrav, ægte eller falske, mister deres pres fuldstændigt.
  • Rapportér ransomware-hændelser til retshåndhævelsen og arbejd sammen med etablerede incident response-firmaer frem for anonyme grupper.
  • Hold øje med industritendenser: Efterhånden som ransomware-betalinger falder samlet set, tilpasser angribere og opportunister sig med ordninger som falske gendannelsestilbud, så vær opmærksom på nye variationer af de samme pressetaktikker.