Ransom Busters Exige $20,000-$60,000 por Datos "Eliminados"

Un Segundo Depredador Acechando a las Mismas Víctimas

Ser víctima de ransomware ya es bastante malo. Ahora un actor de amenazas que se hace llamar "Ransom Busters" está encontrando la manera de lucrarse dos veces de las mismas víctimas. Según los informes sobre este esquema, este grupo contacta a organizaciones que ya han sufrido un ataque de ransomware y ofrece "eliminar" sus datos robados, por un precio que oscila entre $20,000 y $60,000.

La propuesta suena casi útil en la superficie: págános y nos aseguraremos de que tus archivos robados nunca salgan a la luz pública ni se vendan. En realidad, los investigadores que analizan las herramientas y la infraestructura del grupo han encontrado poco que sugiera que el pago garantice algo en absoluto. La estafa de Ransom Busters parece menos un servicio de recuperación y más un segundo intento de extorsión superpuesto al primero.

Cómo Funciona el Esquema de Ransom Busters

El análisis de seguridad de la actividad del grupo apunta a un patrón que ya ha sido documentado en múltiples informes: Ransom Busters se posiciona como un tercero con acceso a los servidores de una banda de ransomware, afirmando que puede intervenir en nombre de la víctima. En algunos casos, el grupo parece ser un afiliado que opera dentro del mismo ecosistema de ransomware que dice combatir, en lugar de un rescatista externo.

Los investigadores que examinaron las herramientas detrás de estos enfoques identificaron marcadores de puerta trasera y superposiciones de infraestructura que sugieren continuidad con operaciones de ransomware existentes, en lugar de un servicio de recuperación genuinamente independiente. En otras palabras, las personas que ofrecen "eliminar" tus datos robados pueden haber tenido algo que ver con el robo en primer lugar, o al menos mantienen vínculos estrechos con quienes lo hicieron.

Esto importa porque cambia por completo el cálculo para las víctimas. Un pago hecho de buena fe a una firma legítima de respuesta a incidentes es una cosa. Un pago hecho a una entidad que aún puede tener control sobre tus archivos robados, o que no tiene capacidad real para garantizar su eliminación, es otra. Como se cubre en los informes sobre cómo las falsas empresas de recuperación se esconden detrás de la estafa del ransomware, no existe un mecanismo verificable para confirmar que los datos realmente han sido destruidos una vez que un pago de tipo rescate cambia de manos.

Por Qué el Pago No Garantiza Nada

El problema central con cualquier oferta de pagar para eliminar, ya sea del atacante original o de un supuesto tercero como Ransom Busters, es la verificación. Una vez que los datos robados salen de la red de una organización, la víctima no tiene manera de confirmar qué sucede con ellos después. Una captura de pantalla de una carpeta eliminada o una garantía verbal no es prueba. Se pueden hacer copias antes de que ocurra cualquier "eliminación", y no hay un auditor independiente que verifique el cumplimiento de un grupo criminal con un acuerdo de pago.

Esta es una tendencia que los profesionales de seguridad han señalado durante años con los pagos tradicionales de ransomware, y se aplica con aún más fuerza aquí. Ransom Busters esencialmente pide a las víctimas que confíen en una entidad cuyo modelo de negocio completo depende de que las víctimas ya estén desesperadas, habiendo pasado por un evento de extorsión y ahora enfrentando una segunda demanda de una parte que afirma ofrecer alivio. La tendencia de advertencia que los investigadores señalan es sencilla: la economía de la extorsión se está diversificando, con nuevos actores encontrando maneras de monetizar el miedo de las víctimas incluso después de que el ataque original ha concluido.

Qué Significa Esto Para Ti

Si tu organización ha experimentado un incidente de ransomware, y alguien te contacta después, ya sea por correo electrónico, un portal de la dark web o un mensaje directo, ofreciendo eliminar datos robados por una tarifa, trata ese contacto con el mismo escepticismo que aplicarías a la nota de rescate original. No hay una manera confiable de verificar la afirmación, y pagar no crea ninguna garantía ejecutable.

El camino más seguro es canalizar cualquier contacto de este tipo a través de tu equipo de respuesta a incidentes o una firma de ciberseguridad de confianza, en lugar de negociar directamente. Las agencias de aplicación de la ley que manejan casos de ransomware generalmente están al tanto de esquemas de extorsión secundaria como este y pueden ayudar a evaluar si un enfoque específico es creíble o simplemente otro ángulo del mismo ataque.

Conclusiones Accionables

• No trates ninguna oferta posterior a la violación de "eliminación de datos" como legítima sin verificación independiente de tu equipo de seguridad o legal.
• Reporta el contacto de grupos como Ransom Busters a las autoridades en lugar de negociar unilateralmente.
• Asume que cualquier dato ya exfiltrado en un ataque de ransomware debe tratarse como permanentemente expuesto, independientemente de cualquier pago realizado después.
• Refuerza las prácticas de respaldo y detección ahora para que un primer evento de ransomware, y la extorsión posterior que invita, sea menos probable en primer lugar.

El aumento de esquemas como Ransom Busters es un recordatorio de que las secuelas del ransomware pueden ser tan peligrosas como el ataque inicial. Mantener el escepticismo hacia cualquiera que ofrezca un atajo de regreso a la seguridad, especialmente por un precio, sigue siendo la mejor defensa.