Drugi drapieżnik krążący wokół tych samych ofiar

Padnięcie ofiarą ransomware to już wystarczająco zła sytuacja. Teraz aktor zagrażający, nazywający siebie „Ransom Busters”, znajduje sposób, by zarobić na tych samych ofiarach dwukrotnie. Zgodnie z doniesieniami na temat tego procederu, grupa ta podchodzi do organizacji, które już padły ofiarą ataku ransomware, i oferuje „usunięcie” ich skradzionych danych za cenę od 20 000 do 60 000 dolarów.

Ta propozycja na pierwszy rzut oka brzmi niemal pomocnie: zapłać nam, a my zadbamy o to, by Twoje skradzione pliki nigdy nie ujrzały światła dziennego ani nie zostały sprzedane. W rzeczywistości badacze analizujący narzędzia i infrastrukturę tej grupy znaleźli niewiele dowodów na to, by płatność gwarantowała cokolwiek. Oszustwo Ransom Busters wydaje się być mniej usługą odzyskiwania danych, a bardziej drugą próbą wymuszenia nałożoną na pierwszą.

Jak działa schemat Ransom Busters

Analiza bezpieczeństwa działalności tej grupy wskazuje na wzorzec udokumentowany już w wielu raportach: Ransom Busters pozycjonuje się jako strona trzecia mająca dostęp do serwerów gangu ransomware, twierdząc, że może interweniować w imieniu ofiary. W niektórych przypadkach grupa ta wydaje się być afiliantem działającym w ramach tego samego ekosystemu ransomware, z którym rzekomo walczy, a nie zewnętrznym wybawicielem.

Badacze analizujący narzędzia stojące za tymi działaniami zidentyfikowali znaczniki backdoorów i nakładanie się infrastruktury, co sugeruje ciągłość z istniejącymi operacjami ransomware, a nie prawdziwie niezależną usługę odzyskiwania danych. Innymi słowy, ludzie oferujący „usunięcie” Twoich skradzionych danych mogli mieć udział w ich kradzieży od samego początku lub przynajmniej utrzymywać bliskie powiązania z tymi, którzy to zrobili.

To ma znaczenie, ponieważ całkowicie zmienia rachunek zysków i strat dla ofiar. Płatność dokonana w dobrej wierze na rzecz legalnej firmy zajmującej się reagowaniem na incydenty to jedno. Płatność na rzecz podmiotu, który wciąż może kontrolować Twoje skradzione pliki lub nie ma realnej możliwości zagwarantowania ich usunięcia, to co innego. Jak opisano w raportach o tym, jak fałszywe firmy odzyskujące dane ukrywają się za oszustwem ransomware, nie istnieje żaden weryfikowalny mechanizm potwierdzający, że dane zostały faktycznie zniszczone po dokonaniu płatności w stylu okupu.

Dlaczego płatność niczego nie gwarantuje

Główny problem z każdą ofertą „zapłać za usunięcie”, czy to od pierwotnego atakującego, czy od rzekomej strony trzeciej, takiej jak Ransom Busters, to weryfikacja. Gdy skradzione dane opuszczą sieć organizacji, ofiara nie ma sposobu, by potwierdzić, co się z nimi dalej dzieje. Zrzut ekranu usuniętego folderu lub słowne zapewnienie to nie dowód. Kopie mogą zostać wykonane przed jakimkolwiek „usunięciem” i nie ma niezależnego audytora sprawdzającego przestrzeganie umowy płatniczej przez grupę przestępczą.

To trend, na który specjaliści ds. bezpieczeństwa zwracają uwagę od lat w kontekście tradycyjnych płatności okupu i ma on jeszcze większe zastosowanie w tym przypadku. Ransom Busters w istocie prosi ofiary o zaufanie podmiotowi, którego cały model biznesowy opiera się na tym, że ofiary są już zdesperowane, właśnie przeszły przez jedno wymuszenie, a teraz stają w obliczu drugiego żądania od strony podającej się za wybawiciela. Ostrzeżenie, na które wskazują badacze, jest proste: gospodarka wymuszeń dywersyfikuje się, a nowi aktorzy znajdują sposoby na monetyzację strachu ofiar nawet po zakończeniu pierwotnego ataku.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja doświadczyła incydentu ransomware i ktoś skontaktuje się z Tobą później — przez e-mail, portal w ciemnej sieci lub bezpośrednią wiadomość — oferując usunięcie skradzionych danych za opłatą, traktuj ten kontakt z takim samym sceptycyzmem, jaki zastosowałbyś wobec oryginalnej notatki okupu. Nie ma wiarygodnego sposobu na weryfikację tego twierdzenia, a płatność nie tworzy żadnej egzekwowalnej gwarancji.

Najbezpieczniejsza ścieżka to skierowanie takiego kontaktu przez zespół reagowania na incydenty lub zaufaną firmę zajmującą się cyberbezpieczeństwem, zamiast negocjowania bezpośrednio. Organy ścigania zajmujące się sprawami ransomware są zazwyczaj świadome wtórnych schematów wymuszeń, takich jak ten, i mogą pomóc ocenić, czy konkretne podejście jest wiarygodne, czy po prostu kolejnym kątem ataku na ten sam problem.

Praktyczne wnioski

  • Nie traktuj żadnej oferty „usunięcia danych” po naruszeniu jako legalnej bez niezależnej weryfikacji ze strony zespołu ds. bezpieczeństwa lub prawnego.
  • Zgłaszaj kontakt od grup takich jak Ransom Busters organom ścigania, zamiast negocjować jednostronnie.
  • Zakładaj, że wszelkie dane już wykradzione podczas ataku ransomware należy traktować jako trwale ujawnione, niezależnie od płatności dokonanej później.
  • Wzmocnij praktyki tworzenia kopii zapasowych i wykrywania zagrożeń już teraz, aby pierwszy incydent ransomware i następujące po nim wymuszenie stały się mniej prawdopodobne.

Powstanie schematów takich jak Ransom Busters przypomina, że następstwa ransomware mogą być równie niebezpieczne jak sam atak. Zachowanie sceptycyzmu wobec każdego, kto oferuje skrót do bezpieczeństwa, zwłaszcza za cenę, pozostaje najlepszą obroną.