Predator Kedua yang Mengintai Korban yang Sama

Terkena ransomware saja sudah cukup buruk. Kini aktor ancaman yang menyebut dirinya "Ransom Busters" mencari cara untuk meraup keuntungan dari korban yang sama dua kali. Menurut laporan tentang skema ini, kelompok ini mendekati organisasi yang telah menjadi korban serangan ransomware dan menawarkan untuk "menghapus" data curian mereka, dengan harga berkisar antara $20.000 hingga $60.000.

Tawaran ini terdengar hampir membantu di permukaan: bayar kami, dan kami akan memastikan file curian Anda tidak pernah muncul di publik atau dijual. Pada kenyataannya, para peneliti yang menganalisis perangkat dan infrastruktur kelompok ini menemukan sedikit bukti bahwa pembayaran menjamin apa pun. Penipuan Ransom Busters tampaknya kurang seperti layanan pemulihan dan lebih seperti upaya pemerasan kedua yang ditumpuk di atas pemerasan pertama.

Cara Kerja Skema Ransom Busters

Analisis keamanan terhadap aktivitas kelompok ini menunjukkan pola yang kini telah didokumentasikan di beberapa laporan: Ransom Busters memposisikan dirinya sebagai pihak ketiga yang memiliki akses ke server geng ransomware, mengklaim dapat campur tangan atas nama korban. Dalam beberapa kasus, kelompok ini tampaknya merupakan afiliasi yang beroperasi di dalam ekosistem ransomware yang sama yang mereka klaim lawan, bukan penyelamat dari luar.

Para peneliti yang memeriksa perangkat di balik pendekatan ini mengidentifikasi penanda backdoor dan tumpang tindih infrastruktur yang menunjukkan kesinambungan dengan operasi ransomware yang ada, bukan layanan pemulihan yang benar-benar independen. Dengan kata lain, orang-orang yang menawarkan untuk "menghapus" data curian Anda mungkin memiliki andil dalam pencurian tersebut sejak awal, atau setidaknya memiliki hubungan erat dengan para pelakunya.

Ini penting karena mengubah perhitungan bagi korban sepenuhnya. Pembayaran yang dilakukan dengan itikad baik kepada firma respons insiden yang sah adalah satu hal. Pembayaran kepada entitas yang mungkin masih mengendalikan file curian Anda, atau yang tidak memiliki kemampuan nyata untuk menjamin penghapusan, adalah hal lain. Sebagaimana tercakup dalam laporan tentang bagaimana perusahaan pemulihan palsu bersembunyi di balik penipuan ransomware, tidak ada mekanisme yang dapat diverifikasi untuk mengonfirmasi bahwa data benar-benar telah dimusnahkan setelah pembayaran bergaya tebusan berpindah tangan.

Mengapa Pembayaran Tidak Menjamin Apa Pun

Masalah inti dengan penawaran bayar-untuk-hapus, baik dari penyerang asli maupun pihak ketiga yang diduga seperti Ransom Busters, adalah verifikasi. Setelah data curian meninggalkan jaringan organisasi, korban tidak memiliki cara untuk mengonfirmasi apa yang terjadi selanjutnya. Tangkapan layar folder yang dihapus atau jaminan lisan bukanlah bukti. Salinan dapat dibuat sebelum "penghapusan" terjadi, dan tidak ada auditor independen yang memeriksa kepatuhan kelompok kriminal terhadap perjanjian pembayaran.

Ini adalah tren yang telah disorot para profesional keamanan selama bertahun-tahun terkait pembayaran ransomware tradisional, dan berlaku lebih kuat lagi di sini. Ransom Busters pada dasarnya meminta korban untuk mempercayai entitas yang seluruh model bisnisnya bergantung pada korban yang sudah putus asa, baru saja melalui satu peristiwa pemerasan dan kini menghadapi tuntutan kedua dari pihak yang mengklaim menawarkan kelegaan. Tren peringatan yang ditunjukkan para peneliti cukup sederhana: ekonomi pemerasan semakin terdiversifikasi, dengan aktor-aktor baru menemukan cara untuk memonetisasi ketakutan korban bahkan setelah serangan awal selesai.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda mengalami insiden ransomware, dan seseorang menghubungi Anda setelahnya, baik melalui email, portal web gelap, atau pesan langsung, menawarkan untuk menghapus data curian dengan bayaran, perlakukan kontak tersebut dengan skeptisisme yang sama seperti Anda memperlakukan catatan tebusan asli. Tidak ada cara yang dapat diandalkan untuk memverifikasi klaim tersebut, dan membayar tidak menciptakan jaminan yang dapat ditegakkan.

Jalur teraman adalah meneruskan kontak semacam itu melalui tim respons insiden Anda atau firma keamanan siber tepercaya daripada bernegosiasi langsung. Lembaga penegak hukum yang menangani kasus ransomware umumnya menyadari skema pemerasan sekunder seperti ini dan dapat membantu menilai apakah pendekatan tertentu kredibel atau hanya sudut lain dari serangan yang sama.

Kesimpulan yang Dapat Ditindaklanjuti

  • Jangan memperlakukan tawaran "penghapusan data" pasca-pelanggaran sebagai sah tanpa verifikasi independen dari tim keamanan atau hukum Anda.
  • Laporkan kontak dari kelompok seperti Ransom Busters kepada penegak hukum daripada bernegosiasi secara sepihak.
  • Anggaplah data apa pun yang telah dieksfiltrasi dalam serangan ransomware harus diperlakukan sebagai terekspos permanen, terlepas dari pembayaran apa pun yang dilakukan setelahnya.
  • Perkuat praktik pencadangan dan deteksi sekarang sehingga peristiwa ransomware pertama, dan pemerasan lanjutan yang diunduhnya, menjadi lebih kecil kemungkinannya sejak awal.

Munculnya skema seperti Ransom Busters adalah pengingat bahwa dampak pasca-ransomware bisa sama berbahayanya dengan serangan awal. Tetap skeptis terhadap siapa pun yang menawarkan jalan pintas kembali ke keamanan, terutama dengan imbalan uang, tetap menjadi pertahanan terbaik.