Ransom Busters: Gefälschter Wiederherstellungsbetrug zielt auf Ransomware-Opfer ab

Eine Gruppe namens Ransom Busters zielt auf ein Publikum ab, das bereits eine schreckliche Woche hinter sich hat: Ransomware-Opfer. Laut Berichten über die Aktivitäten der Gruppe behauptet Ransom Busters, sich in die eigenen Server von Ransomware-Betreibern gehackt zu haben, und bietet den Opfern nun einen Deal an: Zahlt zwischen 20.000 und 60.000 US-Dollar, und die Gruppe hilft dabei, verschlüsselte Dateien wiederherzustellen und gestohlene Daten zu löschen. Das klingt wie ein Rettungsanker. In Wirklichkeit ist es wahrscheinlich ein zweiter Erpressungsversuch, getarnt als Rettungsaktion.

Diese Geschichte ist wichtig, weil sie ein wachsendes Problem im Ransomware-Ökosystem aufdeckt: Nachdem eine Organisation einmal getroffen wurde, wird sie zum Ziel opportunistischer Akteure, die das Chaos, die Angst und die Dringlichkeit ausnutzen, die auf einen Vorfall folgen. Zu verstehen, wie dieser gefälschte Ransomware-Wiederherstellungsbetrug funktioniert und wie man echte Hilfe von einem Betrug unterscheidet, ist für jede Organisation, die sich am falschen Ende eines Angriffs wiederfindet, unerlässlich.

Was Ransom Busters zu bieten behauptet

Den Berichten zufolge präsentiert sich Ransom Busters als externe Partei, die die von Ransomware-Banden genutzte Infrastruktur kompromittiert hat. Der Pitch ist einfach: Die Gruppe sagt, sie könne Entschlüsselungsmöglichkeiten oder gestohlene Dateien wiederbeschaffen und sicherstellen, dass während des ursprünglichen Angriffs erbeutete Daten gelöscht statt geleakt werden. Im Gegenzug werden die Opfer gebeten, eine Gebühr zwischen 20.000 und 60.000 US-Dollar zu zahlen – eine beträchtliche Summe für Organisationen, die möglicherweise bereits unter Betriebsverlusten, Ausfallzeiten oder einer ersten Lösegeldforderung leiden.

Oberflächlich betrachtet leiht sich diese Rahmung Glaubwürdigkeit von der Sprache ethischer Hacking- und Cybersicherheitsforschung. Gruppen, die tatsächlich in kriminelle Infrastruktur eindringen, existieren, und Strafverfolgungsbehörden haben gelegentlich auf ähnlichem Wege Entschlüsselungsschlüssel zurückerlangt. Aber es gibt keine unabhängige Verifizierung für die Behauptungen von Ransom Busters, und das gesamte Modell beruht darauf, dass Opfer einer anonymen dritten Partei Geld anvertrauen, nachdem sie bereits einmal verbrannt wurden.

Wie der Doppel-Erpressungsbetrug funktioniert

Die Mechanik hier ist einfach und deprimierend effektiv. Ransomware-Opfer stehen bereits unter Druck: Systeme sind down, Kunden oder Aufsichtsbehörden stellen möglicherweise Fragen, und die ursprünglichen Angreifer setzen eine Countdown-Uhr in Gang. In dieses Chaos tritt eine Gruppe, die eine Abkürzung anbietet, einen Weg, das Problem für eine Gebühr verschwinden zu lassen, die im Vergleich zur Lösegeldforderung oder den Kosten längerer Ausfallzeiten bescheiden erscheinen mag.

Das ist funktional eine zweite Erpressung, die auf die erste aufgesetzt wird. Ob Ransom Busters nun echten Zugang zur Ransomware-Infrastruktur hat oder nicht, die Anreizstruktur ist identisch mit dem ursprünglichen Angriff: Geld an eine unverifizierte Partei zahlen im Austausch für ein Versprechen. Opfer haben keine Möglichkeit zu bestätigen, dass die Dateien wiederhergestellt werden, dass gestohlene Daten tatsächlich gelöscht werden oder dass sie nicht einfach ein drittes Mal erpresst werden. Dieses Muster spiegelt das Vorgehen wider, das bei anderen erpressungsgetriebenen Vorfällen zu sehen ist, einschließlich Fällen, in denen Gruppen wie ShinyHunters öffentliche Leak-Fristen gesetzt haben, um Opfer unter Druck zu setzen, wie beim ShinyHunters-Breach, der Inter-Con-Security-E-Mails betrifft und bei den Kodak-Datenansprüchen im Zusammenhang mit einer Leak-Frist.

Verifizierung legitimer Wiederherstellungsdienste im Vergleich zu Betrug

Der Aufstieg gefälschter Wiederherstellungsangebote macht Verifizierung zu einer kritischen Fähigkeit für jede Organisation, die einen Vorfall bearbeitet. Ein paar praktische Checks können legitime Hilfe von einem Betrug trennen. Legitime Incident-Response-Firmen und Strafverfolgungskontakte können über etablierte Kanäle, berufliche Zulassungen, frühere Fallreferenzen und formelle Engagement-Verträge verifiziert werden. Sie tauchen typischerweise nicht unaufgefordert mit einem festen Preis und der Behauptung auf, persönlich die Server des Angreifers gehackt zu haben.

Organisationen sollten auch skeptisch gegenüber jedem unaufgeforderten Kontakt nach einem Ransomware-Vorfall sein, egal ob er sich als Wiederherstellungsdienst, Journalist oder sogar als mitbetroffenes Opfer ausgibt, das Notizen teilen möchte. Angreifer und Opportunisten wissen gleichermaßen, dass ein kompromittiertes Unternehmen abgelenkt und ängstlich ist, was es zu einem weichen Ziel für weitere Manipulation macht. Die Einbeziehung eines bekannten, geprüften Incident-Response-Anbieters und die Hinzuziehung der Strafverfolgungsbehörden bleibt der sicherere Weg, verglichen mit der Interaktion mit anonymen Gruppen, die über verschlüsselten Chat oder Dark-Web-Foren kühne Behauptungen aufstellen.

Warum Backups besser sind als jegliche Lösegeldzahlung

Die dauerhafteste Verteidigung gegen sowohl die ursprüngliche Ransomware-Forderung als auch Folge-Betrügereien wie Ransom Busters ist einfach: zuverlässige, getestete Backups. Wenn Dateien aus einem sauberen, Offline-Backup wiederhergestellt werden können, gibt es keinen Grund, mit den ursprünglichen Angreifern zu verhandeln oder eine dritte Partei in Betracht zu ziehen, die bezahlte Wiederherstellung anbietet. Das entzieht der Erpressung vollständig die Hebelwirkung.

Die breitere Branche bewegt sich bereits in diese Richtung. Wie in der Berichterstattung darüber detailliert, wie Ransomware-Zahlungen branchenweit sinken, entscheiden sich immer weniger Organisationen dafür, Erpressungsforderungen überhaupt zu zahlen – teils wegen verbesserter Backup-Praktiken, teils wegen wachsender Erkenntnis, dass Zahlung keine Ergebnisse garantiert. Schnell bewegende Bedrohungen wie die Spirals-Ransomware-Variante, die ein Netzwerk in unter 24 Stunden verschlüsseln kann, unterstreichen ebenfalls, warum Prävention und schnelle Erkennung wichtiger sind als jede Verhandlung nach dem Vorfall, ob echt oder fake.

Was das für Sie bedeutet

Wenn Ihre Organisation jemals von Ransomware getroffen wird, behandeln Sie jedes unaufgeforderte Wiederherstellungsangebot, einschließlich eines von einer Gruppe wie Ransom Busters, mit demselben Misstrauen, das Sie den ursprünglichen Angreifern entgegenbringen würden. Tausende Dollar an eine unverifizierte Partei zu zahlen, basierend auf einer Behauptung über gehackte Server, ist ein Glücksspiel ohne durchsetzbare Garantie. Der sicherere, zuverlässigere Weg ist, Offline-Backups zu pflegen, geprüfte Incident-Response-Experten einzubinden und Vorfälle den Strafverfolgungsbehörden zu melden, anstatt im Dunkeln zu verhandeln.

Wichtige Erkenntnisse

• Behandeln Sie jedes unaufgeforderte Ransomware-Wiederherstellungsangebot als potenziellen Betrug, bis es unabhängig verifiziert wurde.
• Senden Sie niemals Zahlungen an eine dritte Partei, die Serverzugang behauptet, ohne dokumentierte Beweise und formelle Engagement-Bedingungen.
• Pflegen Sie getestete, Offline-Backups, damit Lösegeldforderungen, ob echt oder fake, ihre Hebelwirkung vollständig verlieren.
• Melden Sie Ransomware-Vorfälle den Strafverfolgungsbehörden und arbeiten Sie mit etablierten Incident-Response-Firmen zusammen, statt mit anonymen Gruppen.
• Beobachten Sie Branchentrends: Da Ransomware-Zahlungen insgesamt sinken, passen sich Angreifer und Opportunisten mit Schemata wie gefälschten Wiederherstellungsangeboten an – bleiben Sie wachsam gegenüber neuen Varianten derselben Drucktaktiken.