Een Tweede Roofdier dat dezelfde Slachtoffers Omsingelt

Getroffen worden door ransomware is al erg genoeg. Nu vindt een dreigingsacteur die zichzelf "Ransom Busters" noemt een manier om twee keer winst te maken op dezelfde slachtoffers. Volgens berichtgeving over de opzet benadert deze groep organisaties die al een ransomware-aanval hebben ondergaan en biedt aan om hun gestolen gegevens te "verwijderen", voor een prijs variërend van 20.000 tot 60.000 dollar.

De pitch klinkt oppervlakkig bijna behulpzaam: betaal ons, en we zorgen ervoor dat je gestolen bestanden nooit openbaar verschijnen of worden doorverkocht. In werkelijkheid hebben onderzoekers die de tools en infrastructuur van de groep analyseerden weinig gevonden dat erop wijst dat betaling ook maar iets garandeert. De Ransom Busters-oplichting lijkt minder een herstel service en meer een tweede afpersingspoging bovenop de eerste.

Hoe de Ransom Busters-opzet Werkt

Beveiligingsanalyse van de activiteiten van de groep wijst op een patroon dat nu is gedocumenteerd in meerdere rapporten: Ransom Busters positioneert zichzelf als een derde partij met toegang tot de servers van een ransomware-bende en beweert namens het slachtoffer te kunnen ingrijpen. In sommige gevallen lijkt de groep een affiliate te zijn die opereert binnen hetzelfde ransomware-ecosysteem waar het zegt tegen te vechten, in plaats van een externe redder.

Onderzoekers die de tools achter deze benaderingen onderzochten, identificeerden backdoor-markeringen en overlappingen in infrastructuur die wijzen op continuïteit met bestaande ransomware-operaties in plaats van een werkelijk onafhankelijke herstelservice. Met andere woorden, de mensen die aanbieden om je gestolen gegevens te "verwijderen" hebben mogelijk zelf een hand gehad in de diefstal, of onderhouden op zijn minst nauwe banden met degenen die dat deden.

Dit is belangrijk omdat het de overwegingen voor slachtoffers volledig verandert. Een betaling te goeder trouw aan een legitiem incidentresponsbedrijf is één ding. Een betaling aan een entiteit die mogelijk nog steeds je gestolen bestanden onder controle heeft, of die geen echte mogelijkheid heeft om verwijdering te garanderen, is iets anders. Zoals behandeld in de berichtgeving over hoe nep-herstelbedrijven zich verschuilen achter de ransomware-oplichting, is er geen verifieerbaar mechanisme om te bevestigen dat gegevens daadwerkelijk zijn vernietigd zodra een losgeldachtige betaling van eigenaar is gewisseld.

Waarom Betaling Niets Garandeert

Het kernprobleem met elk betaal-om-te-verwijderen-aanbod, of het nu van de oorspronkelijke aanvaller komt of van een vermeende derde partij zoals Ransom Busters, is verificatie. Zodra gestolen gegevens het netwerk van een organisatie verlaten, heeft het slachtoffer geen manier om te bevestigen wat er daarna mee gebeurt. Een screenshot van een verwijderde map of een mondelinge geruststelling is geen bewijs. Kopieën kunnen worden gemaakt voordat enige "verwijdering" plaatsvindt, en er is geen onafhankelijke controleur die de naleving van een betalingsovereenkomst door een criminele groep controleert.

Dit is een trend waar beveiligingsprofessionals jarenlang voor hebben gewaarschuwd bij traditionele ransomware-betalingen, en het geldt hier nog sterker. Ransom Busters vraagt slachtoffers in wezen om een entiteit te vertrouwen wiens hele bedrijfsmodel afhankelijk is van slachtoffers die al wanhopig zijn, net door één afpersingsgebeurtenis zijn gegaan en nu worden geconfronteerd met een tweede eis van een partij die beweert verlichting te bieden. De waarschuwingstrend waar onderzoekers op wijzen is eenvoudig: de afpersingseconomie diversifieert, met nieuwe actoren die manieren vinden om winst te maken uit de angst van slachtoffers, zelfs nadat de oorspronkelijke aanval is afgerond.

Wat Dit Voor Jou Betekent

Als jouw organisatie een ransomware-incident heeft meegemaakt en iemand neemt daarna contact met je op, via e-mail, een darkweb-portaal of een direct bericht, met het aanbod om gestolen gegevens te verwijderen voor een vergoeding, behandel dat contact dan met dezelfde scepsis die je op het oorspronkelijke losgeldbriefje zou toepassen. Er is geen betrouwbare manier om de bewering te verifiëren, en betalen creëert geen afdwingbare garantie.

De veiligste weg is om dergelijk contact via je incidentrespons-team of een vertrouwd cyberbeveiligingsbedrijf te laten lopen in plaats van rechtstreeks te onderhandelen. Wetshandhavingsinstanties die ransomware-zaken behandelen zijn over het algemeen op de hoogte van secundaire afpersingsschema's zoals deze en kunnen helpen beoordelen of een specifieke benadering geloofwaardig is of gewoon een andere invalshoek op dezelfde aanval.

Praktische Aanbevelingen

  • Behandel geen enkel aanbod tot "gegevensverwijdering" na een inbreuk als legitiem zonder onafhankelijke verificatie door je beveiligings- of juridische team.
  • Meld contact van groepen zoals Ransom Busters aan wetshandhaving in plaats van unilateraal te onderhandelen.
  • Ga ervan uit dat gegevens die al zijn buitgemaakt bij een ransomware-aanval als permanent blootgesteld moeten worden beschouwd, ongeacht welke betaling daarna wordt gedaan.
  • Versterk back-up- en detectiepraktijken nu, zodat een eerste ransomware-gebeurtenis, en de daaropvolgende afpersing die het uitlokt, in de eerste plaats minder waarschijnlijk wordt.

De opkomst van schema's zoals Ransom Busters is een herinnering dat de nasleep van ransomware net zo gevaarlijk kan zijn als de eerste aanval. Scepsis blijven tonen tegenover iedereen die een kortere weg terug naar veiligheid aanbiedt, vooral voor een prijs, blijft de beste verdediging.