Un Secondo Predatore in Agguato sulle Stesse Vittime

Essere colpiti da un ransomware è già abbastanza grave. Ora un attore malintenzionato che si fa chiamare "Ransom Busters" sta trovando un modo per trarre profitto dalle stesse vittime due volte. Secondo le segnalazioni sullo schema, questo gruppo contatta organizzazioni che hanno già subito un attacco ransomware e offre di "cancellare" i loro dati rubati, a un prezzo che varia da 20.000 a 60.000 dollari.

La proposta sembra quasi utile in superficie: paga noi, e faremo in modo che i tuoi file rubati non vengano mai resi pubblici o venduti. In realtà, i ricercatori che hanno analizzato gli strumenti e l'infrastruttura del gruppo hanno trovato poco che suggerisca che il pagamento garantisca qualsiasi cosa. La truffa di Ransom Busters sembra essere meno un servizio di recupero e più un secondo tentativo di estorsione sovrapposto al primo.

Come Funziona lo Schema di Ransom Busters

L'analisi di sicurezza dell'attività del gruppo indica uno schema che è stato ora documentato in più report: Ransom Busters si presenta come una terza parte con accesso ai server di una gang di ransomware, affermando di poter intervenire per conto della vittima. In alcuni casi, il gruppo sembra essere un affiliato che opera all'interno dello stesso ecosistema ransomware che sostiene di combattere, piuttosto che un soccorritore esterno.

I ricercatori che hanno esaminato gli strumenti alla base di questi approcci hanno identificato marcatori di backdoor e sovrapposizioni infrastrutturali che suggeriscono continuità con le operazioni ransomware esistenti, piuttosto che un servizio di recupero genuinamente indipendente. In altre parole, le persone che offrono di "cancellare" i tuoi dati rubati potrebbero aver avuto un ruolo nel furto stesso, o quanto meno mantenere stretti legami con chi lo ha compiuto.

Questo è importante perché cambia completamente il calcolo per le vittime. Un pagamento fatto in buona fede a una legittima azienda di incident response è una cosa. Un pagamento fatto a un'entità che potrebbe ancora controllare i tuoi file rubati, o che non ha alcuna reale capacità di garantire la cancellazione, è un'altra. Come trattato nei report su come le false aziende di recupero si nascondono dietro la truffa ransomware, non esiste alcun meccanismo verificabile per confermare che i dati siano stati effettivamente distrutti una volta che un pagamento simile a un riscatto è stato effettuato.

Perché il Pagamento Non Garantisce Nulla

Il problema centrale di qualsiasi offerta di pagare-per-cancellare, sia da parte dell'attaccante originale che di una presunta terza parte come Ransom Busters, è la verifica. Una volta che i dati rubati lasciano la rete di un'organizzazione, la vittima non ha modo di confermare cosa gli accade dopo. Uno screenshot di una cartella cancellata o una rassicurazione verbale non sono prove. Copie possono essere fatte prima che avvenga qualsiasi "cancellazione", e non esiste un revisore indipendente che controlli la conformità di un gruppo criminale a un accordo di pagamento.

Questa è una tendenza che i professionisti della sicurezza segnalano da anni per quanto riguarda i pagamenti ransomware tradizionali, e qui si applica con ancora più forza. Ransom Busters sta essenzialmente chiedendo alle vittime di fidarsi di un'entità il cui intero modello di business dipende dal fatto che le vittime siano già disperate, avendo appena attraversato un evento di estorsione e ora affrontando una seconda richiesta da parte di una parte che afferma di offrire sollievo. Il trend di avvertimento che i ricercatori indicano è semplice: l'economia dell'estorsione si sta diversificando, con nuovi attori che trovano modi per monetizzare la paura delle vittime anche dopo che l'attacco originale è concluso.

Cosa Significa Questo Per Te

Se la tua organizzazione ha subito un incidente ransomware e qualcuno ti contatta successivamente, tramite email, portale dark web o messaggio diretto, offrendosi di cancellare i dati rubati a pagamento, tratta quel contatto con lo stesso scetticismo che applicheresti alla nota di riscatto originale. Non c'è un modo affidabile per verificare l'affermazione, e pagare non crea alcuna garanzia esecutiva.

La strada più sicura è instradare qualsiasi contatto del genere attraverso il tuo team di incident response o una società di cybersecurity fidata, piuttosto che negoziare direttamente. Le agenzie di polizia che gestiscono casi di ransomware sono generalmente a conoscenza di schemi di estorsione secondaria come questo e possono aiutare a valutare se un approccio specifico è credibile o semplicemente un altro angolo dello stesso attacco.

Punti Pratici da Ricordare

  • Non trattare alcuna offerta di "cancellazione dati" post-violazione come legittima senza una verifica indipendente dal tuo team di sicurezza o legale.
  • Segnala i contatti da gruppi come Ransom Busters alle forze dell'ordine piuttosto che negoziare unilateralmente.
  • Presumi che qualsiasi dato già esfiltrato in un attacco ransomware debba essere considerato permanentemente esposto, indipendentemente da qualsiasi pagamento effettuato successivamente.
  • Rafforza le pratiche di backup e rilevamento ora, così che un primo evento ransomware, e l'estorsione successiva che invita, diventino meno probabili in partenza.

L'ascesa di schemi come Ransom Busters è un promemoria che le conseguenze del ransomware possono essere pericolose quanto l'attacco iniziale. Mantenere lo scetticismo verso chiunque offra una scorciatoia verso la sicurezza, specialmente a pagamento, rimane la migliore difesa.