Ransom Busters : une fausse offre de récupération qui s'attaque aux victimes de ransomware

Un groupe se faisant appeler Ransom Busters cible un public qui a déjà vécu une semaine terrible : les victimes de ransomware. Selon les informations publiées sur les activités du groupe, Ransom Busters prétend avoir piraté les serveurs des opérateurs de ransomware et propose désormais un marché aux victimes : payer entre 20 000 et 60 000 dollars, et le groupe aidera à récupérer les fichiers chiffrés et à supprimer les données volées. Cela ressemble à une bouée de sauvetage. C'est plus probablement une deuxième tentative d'extorsion déguisée en opération de sauvetage.

Cette histoire compte parce qu'elle expose un problème croissant dans l'écosystème des ransomwares : après qu'une organisation a été frappée une fois, elle devient une cible pour des acteurs opportunistes qui exploitent le chaos, la peur et l'urgence qui suivent une violation. Comprendre comment fonctionne cette fausse offre de récupération après ransomware, et comment distinguer une véritable aide d'une arnaque, est essentiel pour toute organisation qui se retrouve du mauvais côté d'une attaque.

Ce que Ransom Busters prétend offrir

Selon les informations publiées, Ransom Busters se présente comme un tiers qui a compromis l'infrastructure utilisée par les gangs de ransomwares. L'argument est simple : le groupe affirme pouvoir récupérer la capacité de déchiffrement ou les fichiers volés, et garantir que les données dérobées lors de l'attaque initiale seront supprimées plutôt que divulguées. En échange, les victimes doivent payer des frais allant de 20 000 à 60 000 dollars, une somme considérable pour des organisations qui peuvent déjà être ébranlées par des pertes opérationnelles, des temps d'arrêt ou une demande de rançon initiale.

En apparence, ce discours emprunte sa crédibilité au langage du piratage éthique et de la recherche en cybersécurité. Des groupes qui infiltrent réellement l'infrastructure criminelle existent, et les forces de l'ordre ont parfois récupéré des clés de déchiffrement par des moyens similaires. Mais aucune vérification indépendante ne vient étayer les affirmations de Ransom Busters, et tout le modèle repose sur la confiance que des victimes accordent à un tiers anonyme avec de l'argent, après avoir déjà été brûlées une fois.

Comment fonctionne l'arnaque de la double extorsion

Les mécanismes ici sont simples et d'une efficacité déprimante. Les victimes de ransomware sont déjà sous pression : les systèmes sont en panne, les clients ou les régulateurs posent des questions, et les attaquants d'origine font tourner un compte à rebours. Dans ce chaos surgit un groupe proposant un raccourci, un moyen de faire disparaître le problème moyennant des frais qui peuvent sembler modestes comparés à la demande de rançon ou au coût d'un temps d'arrêt prolongé.

C'est en réalité une deuxième extorsion superposée à la première. Que Ransom Busters ait ou non un réel accès à l'infrastructure des ransomwares, la structure d'incitation est identique à celle de l'attaque initiale : payer de l'argent à une partie non vérifiée en échange d'une promesse. Les victimes n'ont aucun moyen de confirmer que les fichiers seront récupérés, que les données volées seront réellement supprimées, ou qu'elles ne seront pas simplement extorquées une troisième fois par la suite. Ce schéma fait écho au mode opératoire observé dans d'autres incidents liés à l'extorsion, notamment les cas où des groupes comme ShinyHunters ont fixé des délais publics de divulgation pour faire pression sur les victimes, comme on le voit dans la violation de données ShinyHunters affectant les e-mails d'Inter-Con Security et les revendications de données Kodak liées à un délai de divulgation.

Vérifier les services de récupération légitimes face aux arnaques

La montée des fausses offres de récupération fait de la vérification une compétence essentielle pour toute organisation gérant un incident. Quelques contrôles pratiques permettent de distinguer une aide légitime d'une arnaque. Les cabinets légitimes de réponse aux incidents et les contacts des forces de l'ordre peuvent être vérifiés par des canaux établis, des licences professionnelles, des références de dossiers antérieurs et des contrats d'engagement formels. Ils n'apparaissent généralement pas de façon non sollicitée avec un prix fixe et une affirmation selon laquelle ils auraient personnellement piraté les serveurs de l'attaquant.

Les organisations doivent également se méfier de tout contact non sollicité après un incident de ransomware, qu'il prétende être un service de récupération, un journaliste, ou même une autre victime proposant de partager des informations. Les attaquants et les opportunistes savent tous qu'une entreprise violée est distraite et anxieuse, ce qui en fait une cible facile pour de nouvelles manipulations. Faire appel à un prestataire de réponse aux incidents connu et vérifié, et impliquer les forces de l'ordre, reste une voie plus sûre que de s'engager avec des groupes anonymes qui font des déclarations audacieuses sur des chats chiffrés ou des forums du dark web.

Pourquoi les sauvegardes valent mieux que de payer une rançon

La défense la plus durable contre la demande de rançon initiale et les arnaques qui s'ensuivent comme Ransom Busters est simple : des sauvegardes fiables et testées. Si les fichiers peuvent être restaurés à partir d'une sauvegarde propre et hors ligne, il n'y a aucune raison de négocier avec les attaquants d'origine ou de s'adresser à un tiers proposant une récupération payante. Cela élimine entièrement l'effet de levier.

L'industrie dans son ensemble évolue déjà dans cette direction. Comme le détaille la couverture sur la baisse des paiements de rançon à l'échelle du secteur, de moins en moins d'organisations choisissent de payer des demandes d'extorsion, en partie grâce à de meilleures pratiques de sauvegarde et en partie grâce à une prise de conscience croissante que le paiement ne garantit pas les résultats. Les menaces rapides, comme la variante de ransomware Spirals capable de chiffrer un réseau en moins de 24 heures, soulignent également pourquoi la prévention et la détection rapide comptent plus que toute négociation après incident, qu'elle soit réelle ou fictive.

Ce que cela signifie pour vous

Si votre organisation est un jour victime d'un ransomware, traitez toute offre de récupération non sollicitée, y compris celle d'un groupe comme Ransom Busters, avec la même suspicion que vous appliqueriez aux attaquants d'origine. Payer des milliers de dollars à une partie non vérifiée sur la base d'une affirmation de serveurs piratés est un pari sans aucune garantie exécutoire. La voie la plus sûre et la plus fiable consiste à maintenir des sauvegardes hors ligne, à faire appel à des professionnels vérifiés de réponse aux incidents et à signaler les incidents aux forces de l'ordre plutôt que de négocier dans l'ombre.

Points clés à retenir

• Traitez toute offre de récupération de ransomware non sollicitée comme une arnaque potentielle jusqu'à vérification indépendante.
• N'envoyez jamais de paiement à un tiers prétendant avoir accès aux serveurs sans preuve documentée ni conditions d'engagement formelles.
• Maintenez des sauvegardes hors ligne testées afin que les demandes de rançon, réelles ou fictives, perdent tout leur pouvoir de levier.
• Signalez les incidents de ransomware aux forces de l'ordre et travaillez avec des cabinets établis de réponse aux incidents plutôt qu'avec des groupes anonymes.
• Surveillez les tendances du secteur : alors que les paiements de rançon diminuent globalement, les attaquants et les opportunistes s'adaptent avec des stratagèmes comme les fausses offres de récupération, alors restez vigilants face aux nouvelles variations des mêmes tactiques de pression.