Un deuxième prédateur qui tourne autour des mêmes victimes

Se faire frapper par un ransomware est déjà assez grave. Voilà qu'un acteur malveillant se faisant appeler « Ransom Busters » trouve un moyen de profiter deux fois des mêmes victimes. Selon les informations publiées sur ce stratagème, ce groupe approche des organisations ayant déjà subi une attaque par ransomware et leur propose de « supprimer » leurs données volées, moyennant un prix allant de 20 000 à 60 000 $.

À première vue, l'offre semble presque utile : payez-nous, et nous veillerons à ce que vos fichiers volés ne soient jamais divulgués publiquement ou vendus. En réalité, les chercheurs qui ont analysé les outils et l'infrastructure de ce groupe n'ont trouvé que peu d'éléments suggérant que le paiement garantit quoi que ce soit. L'escroquerie Ransom Busters semble moins être un service de récupération qu'une seconde tentative d'extorsion par-dessus la première.

Comment fonctionne le stratagème Ransom Busters

L'analyse de sécurité des activités du groupe met en évidence un schéma désormais documenté dans plusieurs rapports : Ransom Busters se positionne comme un tiers ayant accès aux serveurs d'un gang de ransomware, affirmant pouvoir intervenir au nom de la victime. Dans certains cas, le groupe semble être un affilié opérant au sein du même écosystème de ransomware qu'il prétend combattre, plutôt qu'un sauveteur extérieur.

Les chercheurs qui ont examiné les outils derrière ces approches ont identifié des marqueurs de porte dérobée et des chevauchements d'infrastructure qui suggèrent une continuité avec les opérations de ransomware existantes, plutôt qu'un service de récupération véritablement indépendant. En d'autres termes, les personnes qui proposent de « supprimer » vos données volées pourraient bien avoir participé au vol en premier lieu, ou à tout le moins entretenir des liens étroits avec ceux qui l'ont commis.

Cela importe parce que cela change entièrement la donne pour les victimes. Un paiement effectué de bonne foi à une entreprise légitime de réponse aux incidents est une chose. Un paiement versé à une entité qui contrôle peut-être encore vos fichiers volés, ou qui n'a pas la capacité réelle de garantir leur suppression, en est une autre. Comme le montre le reportage sur la façon dont les fausses entreprises de récupération se cachent derrière l'escroquerie par ransomware, il n'existe aucun mécanisme vérifiable pour confirmer que les données ont réellement été détruites une fois qu'un paiement de type rançon a changé de mains.

Pourquoi le paiement ne garantit rien

Le problème central de toute offre de paiement contre suppression, qu'elle vienne de l'attaquant d'origine ou d'un tiers prétendu comme Ransom Busters, est la vérification. Une fois que les données volées quittent le réseau d'une organisation, la victime n'a aucun moyen de confirmer ce qu'il en advient ensuite. Une capture d'écran d'un dossier supprimé ou une assurance verbale n'est pas une preuve. Des copies peuvent être faites avant toute « suppression », et aucun auditeur indépendant ne vérifie qu'un groupe criminel respecte un accord de paiement.

C'est une tendance que les professionnels de la sécurité signalent depuis des années concernant les paiements de rançon traditionnels, et elle s'applique avec encore plus de force ici. Ransom Busters demande essentiellement aux victimes de faire confiance à une entité dont tout le modèle économique repose sur le désespoir des victimes, qui viennent de traverser un événement d'extorsion et qui font maintenant face à une seconde demande de la part d'une partie prétendant offrir un soulagement. L'avertissement que les chercheurs pointent est simple : l'économie de l'extorsion se diversifie, avec de nouveaux acteurs qui trouvent des moyens de monétiser la peur des victimes même après la conclusion de l'attaque initiale.

Ce que cela signifie pour vous

Si votre organisation a vécu un incident de ransomware et que quelqu'un vous contacte ensuite, que ce soit par courriel, via un portail du dark web ou un message direct, pour proposer de supprimer des données volées contre des honoraires, traitez cette sollicitation avec le même scepticisme que vous appliqueriez à la note de rançon initiale. Il n'existe aucun moyen fiable de vérifier la revendication, et payer ne crée aucune garantie exécutoire.

La voie la plus sûre est de faire transiter tout contact de ce type par votre équipe de réponse aux incidents ou par une entreprise de cybersécurité de confiance, plutôt que de négocier directement. Les organismes chargés de l'application de la loi qui traitent les affaires de ransomware sont généralement au courant des stratagèmes d'extorsion secondaire comme celui-ci et peuvent aider à évaluer si une approche précise est crédible ou simplement un autre angle sur la même attaque.

Points à retenir concrets

  • Ne traitez aucune offre de « suppression de données » après une violation comme légitime sans vérification indépendante de la part de votre équipe de sécurité ou juridique.
  • Signalez tout contact de groupes comme Ransom Busters aux forces de l'ordre plutôt que de négocier unilatéralement.
  • Présumez que toute donnée déjà exfiltrée lors d'une attaque par ransomware doit être considérée comme exposée en permanence, quel que soit le paiement effectué par la suite.
  • Renforcez dès maintenant vos pratiques de sauvegarde et de détection afin qu'un premier événement de ransomware, et l'extorsion qui s'ensuit, devienne moins probable en premier lieu.

La montée de stratagèmes comme Ransom Busters rappelle que les suites d'un ransomware peuvent être tout aussi dangereuses que l'attaque initiale. Rester sceptique envers quiconque propose un raccourci vers la sécurité, surtout contre de l'argent, demeure la meilleure défense.