Ransom Busters krever 20 000–60 000 dollar for "slettede" data

Et andre rovdyr som sirkler rundt de samme ofrene

Å bli rammet av løsepengevirus er ille nok. Nå finner en trusselaktør som kaller seg "Ransom Busters" en måte å tjene på de samme ofrene to ganger. Ifølge rapporteringen om opplegget nærmer denne gruppen seg organisasjoner som allerede har vært utsatt for et løsepengeangrep og tilbyr å "slette" deres stjålne data, for en pris som varierer fra 20 000 til 60 000 dollar.

Vinklingen høres nesten hjelpsom ut på overflaten: betal oss, så sørger vi for at de stjålne filene dine aldri blir offentliggjort eller solgt videre. I virkeligheten har forskere som har analysert gruppens verktøy og infrastruktur, funnet lite som tyder på at betaling garanterer noe som helst. Ransom Busters-svindelen ser ut til å være mindre en gjenopprettingstjeneste og mer et andre utpressingsforsøk lagt oppå det første.

Hvordan Ransom Busters-opplegget fungerer

Sikkerhetsanalyse av gruppens aktivitet peker på et mønster som nå er dokumentert i flere rapporter: Ransom Busters posisjonerer seg som en tredjepart med tilgang til en løsepengevirus-gjengs servere, og hevder å kunne gripe inn på vegne av offeret. I noen tilfeller ser gruppen ut til å være en partner som opererer innenfor det samme løsepengevirus-økosystemet den hevder å bekjempe, snarere enn en ekstern redningsaktør.

Forskere som har undersøkt verktøyene bak disse tilnærmingene, identifiserte bakdørsmarkører og infrastrukturoverlapp som tyder på kontinuitet med eksisterende løsepengevirus-operasjoner snarere enn en genuint uavhengig gjenopprettingstjeneste. Med andre ord: folkene som tilbyr å "slette" dine stjålne data, kan ha hatt en finger med i spillet da dataene ble stjålet i utgangspunktet, eller i det minste ha tette bånd til dem som sto bak.

Dette betyr noe fordi det endrer regnestykket for ofrene fullstendig. En betaling i god tro til et legitimt hendelsesresponsfirma er én ting. En betaling til en enhet som fortsatt kan kontrollere dine stjålne filer, eller som ikke har noen reell evne til å garantere sletting, er noe annet. Som dekket i rapporteringen om hvordan falske gjenopprettingsfirmaer skjuler seg bak løsepengevirus-svindelen, finnes det ingen verifiserbar mekanisme for å bekrefte at data faktisk har blitt ødelagt når en løsepengelignende betaling har skiftet hender.

Hvorfor betaling ikke garanterer noe

Kjerneproblemet med ethvert betal-for-sletting-tilbud, enten det kommer fra den opprinnelige angriperen eller en antatt tredjepart som Ransom Busters, er verifisering. Når stjålne data først har forlatt en organisasjons nettverk, har offeret ingen måte å bekrefte hva som skjer med dem videre. Et skjermbilde av en slettet mappe eller en muntlig forsikring er ikke bevis. Kopier kan bli laget før enhver "sletting" finner sted, og det finnes ingen uavhengig revisor som sjekker at en kriminell gruppe overholder en betalingsavtale.

Dette er en trend sikkerhetseksperter i årevis har flagget med hensyn til tradisjonelle løsepengebetalinger, og den gjelder med enda større kraft her. Ransom Busters ber i praksis ofrene om å stole på en enhet hvis hele forretningsmodell avhenger av at ofrene allerede er desperate, nettopp ha vært gjennom én utpressingshendelse og nå står overfor et andre krav fra en part som hevder å tilby lettelse. Advarselstrenden forskerne peker på er enkel: utpressingsøkonomien diversifiserer seg, med nye aktører som finner måter å tjene på ofrenes frykt selv etter at det opprinnelige angrepet er avsluttet.

Hva dette betyr for deg

Hvis organisasjonen din har opplevd et løsepengevirus-angrep, og noen kontakter deg i etterkant, enten via e-post, en mørk nettportal eller en direktemelding, og tilbyr å slette stjålne data mot et gebyr, behandle den henvendelsen med samme skepsis som du ville brukt på den opprinnelige løsepengevarselet. Det finnes ingen pålitelig måte å verifisere påstanden på, og betaling skaper ingen håndhevbar garanti.

Den tryggeste veien er å dirigere all slik kontakt gjennom hendelsesrespons-teamet ditt eller et pålitelig cybersikkerhetsfirma i stedet for å forhandle direkte. Rettshåndhevende myndigheter som håndterer løsepengevirus-saker er generelt klar over sekundære utpressingsordninger som denne og kan hjelpe med å vurdere om en spesifikk henvendelse er troverdig eller bare en annen vinkel på samme angrep.

Konkrete tiltak

• Ikke behandle noe "dataslettings"-tilbud etter et datainnbrudd som legitimt uten uavhengig verifisering fra sikkerhets- eller juridisk team ditt.
• Rapporter kontakt fra grupper som Ransom Busters til rettshåndhevende myndigheter i stedet for å forhandle ensidig.
• Anta at data som allerede er eksfiltrert i et løsepengevirus-angrep bør behandles som permanent eksponert, uavhengig av betalinger som gjøres i etterkant.
• Styrk sikkerhetskopierings- og deteksjonsrutiner nå, slik at en første løsepengevirus-hendelse, og den oppfølgende utpressingen den inviterer til, blir mindre sannsynlig i utgangspunktet.

Fremveksten av ordninger som Ransom Busters er en påminnelse om at etterdønningene av løsepengevirus kan være like farlige som selve angrepet. Å forholde seg skeptisk til alle som tilbyr en snarvei tilbake til trygghet, spesielt mot en pris, forblir det beste forsvaret.