Hva er Ransom Busters?

Det er en gruppe som hevder å ha hacket ransomware-operatørenes servere og tilbyr ransomware-ofre hjelp med å gjenopprette filer og slette stjålne data mot et gebyr, men det er sannsynligvis et andre utpressingsforsøk.

Hvor mye ber Ransom Busters ofrene betale?

Gruppen ber ofrene betale mellom 20 000 og 60 000 dollar.

Er Ransom Busters en legitim redningstjeneste?

Ingen uavhengig verifisering støtter påstandene deres, og artikkelen beskriver det som en falsk gjenopprettingssvindel som utnytter ransomware-ofre.

Hvordan fungerer Ransom Busters-svindelen?

Den retter seg mot ransomware-ofre som allerede er under press, og tilbyr en snarvei mot betaling, men insentivstrukturen er identisk med den opprinnelige utpressingen.

Hvorfor er det risikabelt å betale Ransom Busters?

Ofre har ingen måte å bekrefte at filer vil bli gjenopprettet eller stjålne data slettet, og de kan bli utpresset en tredje gang senere.

Ransom Busters: Falsk gjenopprettingssvindel utnytter ransomware-ofre

En gruppe som kaller seg Ransom Busters retter seg mot et publikum som allerede har hatt en forferdelig uke: ransomware-ofre. Ifølge rapporteringen om gruppens aktivitet hevder Ransom Busters å ha hacket seg inn på ransomware-operatørenes egne servere og tilbyr nå ofrene en avtale: betal mellom 20 000 og 60 000 dollar, så hjelper gruppen med å gjenopprette krypterte filer og slette stjålne data. Det høres ut som en livline. Det er mer sannsynlig et andre utpressingsforsøk forkledd som en redningsaksjon.

Denne historien betyr noe fordi den avdekker et voksende problem i ransomware-økosystemet: etter at en organisasjon blir rammet én gang, blir den et mål for opportunistiske aktører som utnytter kaoset, frykten og hastverket som følger et sikkerhetsbrudd. Å forstå hvordan denne falske ransomware-gjenopprettingssvindelen fungerer, og hvordan man skiller ekte hjelp fra svindel, er avgjørende for enhver organisasjon som befinner seg på feil side av et angrep.

Hva Ransom Busters hevder å tilby

Ifølge rapporteringen presenterer Ransom Busters seg selv som en ekstern part som har kompromittert infrastrukturen som brukes av ransomware-gjenger. Fremgangsmåten er enkel: gruppen sier den kan hente ut dekrypteringskapasitet eller stjålne filer, og kan sørge for at data som ble tatt under det opprinnelige angrepet blir slettet heller enn lekket. Som motytelse blir ofrene bedt om å betale et beløp fra 20 000 til 60 000 dollar, en betydelig sum for organisasjoner som allerede kan være i fritt fall på grunn av driftsmessige tap, nedetid eller et opprinnelig løsepenskrav.

På overflaten låner denne innrammingen troverdighet fra språket til etisk hacking og cybersikkerhetsforskning. Grupper som faktisk infiltrerer kriminell infrastruktur finnes, og rettshåndhevende myndigheter har av og til gjenopprettet dekrypteringsnøkler gjennom lignende midler. Men det er ingen uavhengig verifisering knyttet til Ransom Busters' påstander, og hele modellen hviler på at ofre stoler på en anonym tredjepart med penger etter allerede å ha blitt brent én gang.

Hvordan dobbeltutpressingssvindelen fungerer

Mekanismene her er enkle og deprimerende effektive. Ransomware-ofre er allerede under press: systemer er nede, kunder eller tilsynsmyndigheter kan stille spørsmål, og de opprinnelige angriperne presser på med en nedtelling. Inn i dette kaoset kommer en gruppe som tilbyr en snarvei, en måte å få problemet til å forsvinne mot et gebyr som kan se beskjedent ut sammenlignet med løsepenskravet eller kostnadene ved langvarig nedetid.

Dette er i praksis en andre utpressing lagt oppå den første. Enten Ransom Busters faktisk har reell tilgang til ransomware-infrastruktur eller ikke, er insentivstrukturen identisk med det opprinnelige angrepet: betal penger til en uverifisert part i bytte mot et løfte. Ofre har ingen måte å bekrefte at filene vil bli gjenopprettet, at stjålne data faktisk vil bli slettet, eller at de ikke bare vil bli utpresset en tredje gang senere. Dette mønsteret gjenspeiler fremgangsmåten sett i andre utpressingsdrevne hendelser, inkludert tilfeller der grupper som ShinyHunters har satt offentlige lekkasjefrister for å presse ofre, som sett i ShinyHunters-bruddet som påvirker Inter-Con Security-e-poster og Kodak-data påstandene knyttet til en lekkasjefrist.

Verifisering av legitime gjenopprettingstjenester vs. svindel

Fremveksten av falske gjenopprettingstilbud gjør verifisering til en kritisk ferdighet for enhver organisasjon som håndterer en hendelse. Noen praktiske kontroller kan skille ekte hjelp fra svindel. Legitime hendelsesresponsfirmaer og rettshåndhevende kontakter kan verifiseres gjennom etablerte kanaler, profesjonelle lisenser, tidligere saksreferanser og formelle engasjementskontrakter. De dukker vanligvis ikke opp uoppfordret med en fast prislapp og en påstand om å personlig ha brutt seg inn på angriperens servere.

Organisasjoner bør også være skeptiske til all uoppfordret kontakt etter en ransomware-hendelse, enten den hevder å være en gjenopprettingstjeneste, en journalist, eller til og med et medoffer som tilbyr å dele erfaringer. Angripere og opportunister vet at et selskap som er rammet av et brudd er distrahert og engstelig, noe som gjør det til et lett mål for ytterligere manipulasjon. Å involvere en kjent, kvalitetssikret hendelsesresponsleverandør og koble inn rettshåndhevende myndigheter forblir den tryggere veien sammenlignet med å engasjere seg med anonyme grupper som kommer med dristige påstander over kryptert chat eller dark web-fora.

Hvorfor sikkerhetskopier slår å betale løsepenger

Det mest varige forsvaret mot både det opprinnelige ransomware-kravet og oppfølgningssvindler som Ransom Busters er enkelt: pålitelige, testede sikkerhetskopier. Hvis filer kan gjenopprettes fra en ren, offline sikkerhetskopi, er det ingen grunn til å forhandle med de opprinnelige angriperne eller vurdere en tredjepart som tilbyr betalt gjenoppretting. Dette fjerner innflytelsen fullstendig.

Den bredere bransjen beveger seg allerede i denne retningen. Som beskrevet i dekningen av hvordan ransomware-betalinger synker på tvers av bransjen, velger færre organisasjoner å betale utpressingskrav i det hele tatt, delvis på grunn av forbedrede sikkerhetskopieringsrutiner og delvis på grunn av økende bevissthet om at betaling ikke garanterer resultater. Raskt bevegelige trusler, som Spirals-ransomware-varianten som kan kryptere et nettverk på under 24 timer, understreker også hvorfor forebygging og rask deteksjon betyr mer enn noen forhandling etter hendelsen, ekte eller falsk.

Hva dette betyr for deg

Hvis organisasjonen din noen gang blir rammet av ransomware, behandle ethvert uoppfordret gjenopprettingstilbud, inkludert et fra en gruppe som Ransom Busters, med samme mistenksomhet som du ville brukt mot de opprinnelige angriperne. Å betale en uverifisert part tusenvis av dollar basert på en påstand om hackede servere er et sjansespill uten håndhevbare garantier. Den tryggere, mer pålitelige veien er å opprettholde offline sikkerhetskopier, engasjere kvalitetssikrede hendelsesresponsproffesjonelle og rapportere hendelser til rettshåndhevende myndigheter heller enn å forhandle i mørket.

Viktige punkter

Behandle ethvert uoppfordret ransomware-gjenopprettingstilbud som en potensiell svindel til det er uavhengig verifisert.
Send aldri betaling til en tredjepart som hevder servertilgang uten dokumentert bevis og formelle engasjementsvilkår.
Oppretthold testede, offline sikkerhetskopier slik at løsepenskrav, ekte eller falske, mister sin innflytelse fullstendig.
Rapporter ransomware-hendelser til rettshåndhevende myndigheter og jobb med etablerte hendelsesresponsfirmaer heller enn anonyme grupper.
Følg med på bransjetrender: ettersom ransomware-betalinger synker totalt sett, tilpasser angripere og opportunister seg med opplegg som falske gjenopprettingstilbud, så vær årvåken for nye varianter av de samme pressetaktikkene.