GuidePoint deckt Erpressungsbetrug „Ransom Busters" auf

Eine zweite Erpressung, versteckt in der ersten

Ransomware-Opfer stehen bereits vor einer unmöglichen Wahl: eine kriminelle Gruppe bezahlen oder riskieren, dass gestohlene Daten geleakt werden. Nun sehen sich einige Opfer laut Forschern von GuidePoint Security einer dritten Option gegenüber, um die sie nie gebeten haben. Eine Organisation, die sich „Ransom Busters" nennt, nimmt Kontakt zu Unternehmen auf, die gerade von Ransomware getroffen wurden – bevor der Angriff öffentlich bekannt wird – und bietet an, verschlüsselte Dateien wiederherzustellen und gestohlene Daten zu löschen, und das für einen Bruchteil der ursprünglichen Forderung.

Auf dem Papier klingt dieses Angebot wie ein Rettungsanker. In der Praxis deuten die Erkenntnisse von GuidePoint darauf hin, dass es sich um einen Betrug handelt, der auf einem bereits verheerenden Verbrechen aufbaut. Wer auch immer hinter Ransom Busters steckt, scheint zu wissen, dass das Opfer bereits kompromittiert wurde, was stark auf eine Verbindung zur Ransomware-Operation selbst oder zumindest auf privilegierten Zugang zu deren Opferliste hindeutet. Dieses Timing ist der ganze Betrug: Er funktioniert, weil das Ziel verängstigt, verwirrt und verzweifelt nach jedem Ausweg sucht, der weniger kostet als die ursprüngliche Forderung des Angreifers.

Wie das Schema das Chaos eines Angriffs ausnutzt

Ransomware-Verhandlungen sind bereits undurchsichtig. Opfer wissen selten genau, mit wem sie es zu tun haben, ob gestohlene Dateien nach der Zahlung tatsächlich gelöscht wurden oder ob eine Zahlung einen erneuten Angriff einlädt. Genau diese Unsicherheit ist der Boden, in dem sich Ransom Busters ansiedelt. Indem das Schema sich als unabhängiges Wiederherstellungsunternehmen ausgibt und nicht als Erpresser, gibt es den Opfern das falsche Gefühl, mit einem neutralen Dritten zu verhandeln, statt direkt mit Kriminellen.

Dies ist nicht das erste Mal, dass Forscher auf diese spezielle Gruppe aufmerksam gemacht haben. Frühere Berichte über den Ransom-Busters-Betrug, der Ransomware-Opfer ausbeutet und ein separater Artikel über die gefälschte Ransom-Busters-Gruppe, die Ransomware-Opfer betrügt beschrieben beide dasselbe Muster: Kontaktaufnahme vor der öffentlichen Bekanntgabe, ein reduzierter Preis und Versprechen der Datenlöschung, die realistischerweise nicht überprüft werden können. Die neueste Forschung von GuidePoint bestätigt, dass dies kein einmaliger Phishing-Versuch ist, sondern ein laufendes, offenbar profitables Geschäft, das sich auf dem Rücken legitimer Ransomware-Angriffe bewegt.

Die unbequeme Ironie ist, dass dieser Betrug nur funktioniert, weil die Zahlung von Ransomware-Forderungen so normalisiert wurde, dass ein Opfer eine zweite, unaufgeforderte Zahlungsaufforderung für plausibel hält. Forschung von Proofpoint hat bereits gezeigt, dass 1 von 3 Ransomware-Zahlern erneut getroffen wird, was bedeutet, dass Organisationen, die einmal zahlen, statistisch gesehen mit höherer Wahrscheinlichkeit ein zweites Mal ins Visier genommen werden. Ransom Busters scheint genau diesen Kreislauf auszunutzen, nur aus einem anderen Blickwinkel.

Warum dies über den Lösegeldschein hinausgeht

Die datenschutzrechtlichen Risiken gehen hier über eine verschwendete Zahlung hinaus. Opfer von Ransom Busters sind per Definition Organisationen, denen bereits sensible Daten gestohlen wurden. Jeder zusätzliche Kommunikationskanal, den ein Opfer öffnet – insbesondere einer, der von einer nicht verifizierten Partei initiiert wird, die behauptet, Insiderwissen über den Vorfall zu haben – ist eine weitere Gelegenheit, dass diese Daten falsch behandelt, weiter offengelegt oder als Druckmittel verwendet werden. Wenn ein Opfer Ransom Busters bezahlt, in der Annahme, dass die gestohlenen Dateien gelöscht werden, hat es keinerlei echte Garantie, dass überhaupt etwas gelöscht wurde. Die Daten könnten immer noch verkauft, geleakt oder für zukünftige Erpressung aufbewahrt werden.

Dies fügt sich in ein breiteres Muster ein, das in der Berichterstattung darüber dokumentiert wurde, warum die Ransomware-Erpressungswirtschaft bis 2026 Bestand hat: Solange Zahlen üblich bleibt und Verifizierung nahezu unmöglich ist, werden Kriminelle weiterhin neue Wege finden, sich in den Zahlungsprozess einzubringen. Ransom Busters ist nur die neueste Variante, die dieselbe Vertrauenslücke ausnutzt, die Ransomware überhaupt erst profitabel macht.

Was das für Sie bedeutet

Wenn Ihre Organisation von Ransomware getroffen wird, behandeln Sie jedes unaufgeforderte Angebot von Wiederherstellungshilfe mit derselben Skepsis, die Sie auch der Lösegeldforderung selbst entgegenbringen würden. Legitime Incident-Response-Firmen werden von Ihnen beauftragt, nicht umgekehrt, und sie melden sich in der Regel nicht proaktiv, bevor ein Angriff überhaupt öffentlich geworden ist. Eine Nachricht, die Insiderzugang zu Ihren Vorfallsdetails behauptet und verdächtig schnell eintrifft, ist eine große rote Flagge und keine Abkürzung.

Organisationen sollten jeden Ransomware-Vorfall über einen bekannten, geprüften Incident-Response-Anbieter oder einen Strafverfolgungskontakt abwickeln, anstatt direkt mit jemandem zu verhandeln, der sich zuerst bei ihnen meldet. Identität verifizieren, alle Kommunikation dokumentieren und dem Druck widerstehen, schnell zu handeln, sind die besten Verteidigungsmaßnahmen gegen einen Betrug, der darauf ausgelegt ist, Panik auszunutzen.

Wichtige Erkenntnisse

• Seien Sie vorsichtig bei jedem, der „Wiederherstellungs"-Dienste für Ransomware anbietet und Sie kontaktiert, bevor Ihr Vorfall öffentlich bekannt ist.
• Gehen Sie niemals davon aus, dass eine reduzierte Zahlung Datenlöschung garantiert; es gibt keinen zuverlässigen Weg, dieses Versprechen zu überprüfen.
• Arbeiten Sie nur mit Incident-Response-Firmen zusammen, die Sie oder Ihr Rechtsbeistand unabhängig geprüft haben.
• Melden Sie verdächtige Wiederherstellungsangebote der Strafverfolgung, da sie auf Insiderwissen über den ursprünglichen Angriff hindeuten können.
• Verstehen Sie, dass die Zahlung an eine Partei in einem Ransomware-Vorfall – ob ursprünglicher Angreifer oder nicht – Risiken birgt und die Sicherheit Ihrer Daten nicht garantiert.