Ein zweiter Räuber, der dieselben Opfer umkreist

Von Ransomware getroffen zu werden, ist schon schlimm genug. Nun findet ein Bedrohungsakteur namens „Ransom Busters“ einen Weg, dieselben Opfer gleich zweimal zur Kasse zu bitten. Laut Berichten über das Schema spricht diese Gruppe Organisationen an, die bereits einen Ransomware-Angriff erlitten haben, und bietet an, ihre gestohlenen Daten zu „löschen“ – für einen Preis zwischen 20.000 und 60.000 US-Dollar.

Der Pitch klingt an der Oberfläche fast hilfreich: Zahlen Sie uns, und wir sorgen dafür, dass Ihre gestohlenen Dateien niemals öffentlich auftauchen oder weiterverkauft werden. In Wirklichkeit haben Forscher, die die Werkzeuge und die Infrastruktur der Gruppe analysiert haben, kaum Hinweise darauf gefunden, dass eine Zahlung überhaupt irgendetwas garantiert. Der Ransom-Busters-Betrug scheint weniger ein Wiederherstellungsdienst zu sein als vielmehr ein zweiter Erpressungsversuch, der dem ersten aufgesetzt wird.

Wie das Ransom-Busters-Schema funktioniert

Die Sicherheitsanalyse der Aktivitäten der Gruppe weist auf ein Muster hin, das inzwischen in mehreren Berichten dokumentiert ist: Ransom Busters positioniert sich als Dritter mit Zugang zu den Servern einer Ransomware-Bande und behauptet, im Namen des Opfers eingreifen zu können. In einigen Fällen scheint die Gruppe eher ein Partner zu sein, der innerhalb desselben Ransomware-Ökosystems operiert, gegen das sie angeblich kämpft, statt ein externer Retter zu sein.

Forscher, die die hinter diesen Vorgehensweisen steckenden Werkzeuge untersuchten, identifizierten Backdoor-Marker und Infrastruktur-Überschneidungen, die eher auf Kontinuität mit bestehenden Ransomware-Operationen hindeuten als auf einen wirklich unabhängigen Wiederherstellungsdienst. Mit anderen Worten: Die Leute, die anbieten, Ihre gestohlenen Daten zu „löschen“, könnten selbst an dem Diebstahl beteiligt gewesen sein – oder zumindest enge Verbindungen zu denen haben, die es waren.

Das ist wichtig, weil es die Rechnung für die Opfer völlig verändert. Eine Zahlung in gutem Glauben an eine legitime Incident-Response-Firma ist das eine. Eine Zahlung an eine Einheit, die möglicherweise immer noch Ihre gestohlenen Dateien kontrolliert oder keine echte Fähigkeit hat, Löschung zu garantieren, ist etwas ganz anderes. Wie in Berichten darüber, wie gefälschte Wiederherstellungsfirmen sich hinter dem Ransomware-Betrug verstecken, behandelt wird, gibt es keinen überprüfbaren Mechanismus, um zu bestätigen, dass Daten tatsächlich vernichtet wurden, sobald eine lösegeldartige Zahlung den Besitzer gewechselt hat.

Warum Zahlungen nichts garantieren

Das Kernproblem jedes „Zahlen-und-wir-löschen“-Angebots – ob vom ursprünglichen Angreifer oder einem vermeintlichen Dritten wie Ransom Busters – ist die Verifizierung. Sobald gestohlene Daten das Netzwerk einer Organisation verlassen haben, hat das Opfer keine Möglichkeit zu bestätigen, was als Nächstes damit passiert. Ein Screenshot eines gelöschten Ordners oder eine mündliche Zusicherung ist kein Beweis. Kopien können erstellt werden, bevor eine „Löschung“ erfolgt, und es gibt keinen unabhängigen Prüfer, der die Einhaltung einer Zahlungsvereinbarung durch eine kriminelle Gruppe kontrolliert.

Dies ist ein Trend, den Sicherheitsexperten seit Jahren bei traditionellen Ransomware-Zahlungen anprangern – und er gilt hier umso mehr. Ransom Busters verlangt im Wesentlichen, dass Opfer einer Einheit vertrauen, deren gesamtes Geschäftsmodell darauf beruht, dass Opfer bereits verzweifelt sind, gerade ein Erpressungsereignis durchgemacht haben und nun einer zweiten Forderung von einer Partei gegenüberstehen, die angeblich Erleichterung anbietet. Der Warn-Trend, auf den Forscher hinweisen, ist unkompliziert: Die Erpressungswirtschaft diversifiziert sich, und neue Akteure finden Wege, die Angst der Opfer zu monetarisieren, selbst nachdem der ursprüngliche Angriff abgeschlossen ist.

Was das für Sie bedeutet

Wenn Ihre Organisation einen Ransomware-Vorfall erlebt hat und Sie danach jemand kontaktiert – per E-Mail, über ein Dark-Web-Portal oder eine direkte Nachricht – und anbietet, gestohlene Daten gegen eine Gebühr zu löschen, behandeln Sie diese Kontaktaufnahme mit derselben Skepsis, die Sie der ursprünglichen Lösegeldforderung entgegenbringen würden. Es gibt keine zuverlässige Möglichkeit, die Behauptung zu überprüfen, und Zahlen schafft keine durchsetzbare Garantie.

Der sicherste Weg ist, jeden solchen Kontakt über Ihr Incident-Response-Team oder eine vertrauenswürdige Cybersicherheitsfirma laufen zu lassen, statt direkt zu verhandeln. Strafverfolgungsbehörden, die Ransomware-Fälle bearbeiten, sind sich sekundärer Erpressungsschemata wie diesem in der Regel bewusst und können helfen einzuschätzen, ob ein bestimmtes Vorgehen glaubwürdig ist oder nur ein weiterer Winkel desselben Angriffs.

Umsetzbare Erkenntnisse

  • Behandeln Sie kein „Datenlöschungs“-Angebot nach einem Vorfall als legitim, ohne unabhängige Verifizierung durch Ihr Sicherheits- oder Rechtsteam.
  • Melden Sie Kontakt von Gruppen wie Ransom Busters den Strafverfolgungsbehörden, statt einseitig zu verhandeln.
  • Gehen Sie davon aus, dass alle Daten, die bei einem Ransomware-Angriff bereits abgeflossen sind, als dauerhaft exponiert betrachtet werden sollten – unabhängig von späteren Zahlungen.
  • Stärken Sie jetzt Backup- und Erkennungspraktiken, damit ein erster Ransomware-Vorfall und die Folge-Erpressung, die er einlädt, von vornherein unwahrscheinlicher werden.

Der Aufstieg von Schemata wie Ransom Busters ist eine Erinnerung daran, dass die Nachwirkungen von Ransomware genauso gefährlich sein können wie der ursprüngliche Angriff. Skeptisch gegenüber jedem zu bleiben, der eine Abkürzung zurück zur Sicherheit anbietet – besonders gegen Bezahlung – bleibt die beste Verteidigung.