Oszustwo „Ransom Busters” żeruje na ofiarach ataków ransomware

Nowy zwrot w starym scenariuszu wymuszeń

Ataki ransomware są wystarczająco stresujące, gdy nie pojawia się w dodatku drugi drapieżnik. Według najnowszych doniesień, cyberprzestępca działający pod nazwą „Ransom Busters” celuje obecnie w organizacje, które już padły ofiarą ransomware, tym razem podszywając się pod usługę odzyskiwania danych. Podmiot ten twierdzi, że może przywrócić zaszyfrowane pliki, oferując coś, co wygląda na deskę ratunku dla firm desperacko pragnących odzyskać dane bez płacenia okupu.

Jednak ta oferta nie jest tym, czym się wydaje. Zamiast działać jako niezależna firma zajmująca się odzyskiwaniem danych, Ransom Busters jest podobno powiązany z samą operacją ransomware, pełniąc funkcję partnera, który czerpie zyski z ataków, którym rzekomo pomaga zaradzić. Dla ofiar już zmagających się z chaosem po naruszeniu bezpieczeństwa, tego rodzaju oszustwo dodaje niebezpieczną nową warstwę ryzyka do i tak już trudnej sytuacji.

Jak działa to oszukańcze odzyskiwanie danych

Sedno całego schematu opiera się na zaufaniu i pilności, dwóch rzeczach, których ofiarom ransomware brakuje. Gdy systemy firmy są zablokowane, a pliki zaszyfrowane, osoby podejmujące decyzje często gorączkowo szukają jakiejkolwiek realnej ścieżki odzyskania danych. Grupa przedstawiająca się jako specjalista od odzyskiwania danych, zwłaszcza taka, która wydaje się mieć wewnętrzną wiedzę na temat ataku, może wyglądać na wiarygodną opcję.

Ta postrzegana wiarygodność jest pułapką. Jak szczegółowo opisano we wcześniejszym artykule na temat schematu Ransom Busters, podmiot ten najwyraźniej wykorzystuje swoją pozycję partnera ransomware, aby wtrącić się w proces negocjacji, skutecznie kierując ofiary ku płatnościom, które ostatecznie przynoszą korzyść temu samemu przestępczemu ekosystemowi odpowiedzialnemu za pierwotny atak. Zamiast niezależnej strony trzeciej pracującej nad ograniczeniem szkód, ofiary mogą mieć do czynienia z przemianowanym ramieniem atakującego, wystylizowanym tak, by wyglądał na rozwiązanie, a nie kontynuację problemu.

Ta taktyka wykorzystuje realną lukę w krajobrazie reagowania na ransomware. Istnieją legalne firmy zajmujące się reagowaniem na incydenty i odzyskiwaniem danych, a zdesperowane organizacje często zwracają się o pomoc z zewnątrz, gdy wewnętrzne zespoły IT są przeciążone. Ransom Busters najwyraźniej wykorzystuje tę uzasadnioną potrzebę, używając jej jako przykrywki do dalszego wyciągania pieniędzy od ofiar, które wierzą, że negocjują z neutralną stroną.

Dlaczego ma to znaczenie dla prywatności danych

Poza bezpośrednim ryzykiem finansowym, schematy takie jak Ransom Busters budzą poważne obawy dotyczące prywatności. Ataki ransomware często wiążą się z kradzieżą danych obok szyfrowania, co oznacza, że wrażliwe dane klientów, informacje o pracownikach i wewnętrzna korespondencja mogą już znajdować się w rękach atakującego. Gdy organizacja-ofiara nawiązuje współpracę z fałszywą usługą odzyskiwania danych, może przekazać jeszcze więcej informacji, w tym szczegóły dotyczące jej sieci, danych i skłonności do płacenia — wszystko to może zostać wykorzystane do eskalacji presji lub odsprzedaży dostępu innym grupom przestępczym.

Jest też narastający problem zaufania. Ofiary ransomware już muszą martwić się tym, czy atakujący dotrzymają obietnic usunięcia skradzionych danych po zapłaceniu okupu — co jest gwarancją, która nigdy nie była niezawodna. Nałożenie na to fałszywej usługi odzyskiwania danych oznacza, że ofiary muszą teraz weryfikować nie tylko twierdzenia atakującego, ale także wiarygodność każdego, kto oferuje pomoc, dokładnie w momencie, gdy są najmniej przygotowane do przeprowadzenia takiego due diligence.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja kiedykolwiek padnie ofiarą ransomware, presja znalezienia szybkiego rozwiązania może zaburzyć ocenę sytuacji. Sprawa Ransom Busters jest przypomnieniem, że nie każda oferta pomocy jest autentyczna, nawet te, które wydają się pochodzić spoza samego ataku. Zanim nawiążesz współpracę z jakąkolwiek usługą odzyskiwania danych, zweryfikuj jej tożsamość niezależnie, sprawdź potwierdzoną historię działalności i zaangażuj zaufanych specjalistów ds. reagowania na incydenty lub organy ścigania, zamiast polegać wyłącznie na nieproszonych ofertach pojawiających się w trakcie lub bezpośrednio po ataku.

Podkreśla to również szerszą lekcję dotyczącą prywatności, która wykracza daleko poza ransomware. Im mniej wrażliwych danych organizacja przechowuje lub udostępnia niepotrzebnie, tym mniejszym celem się staje. Solidne praktyki tworzenia kopii zapasowych, segmentacja sieci i jasne plany reagowania na incydenty zmniejszają przewagę, jaką atakujący — a jak się okazuje, także fałszywe podmioty odzyskujące dane — mają nad ofiarami.

Praktyczne wnioski

• Traktuj nieproszone oferty odzyskiwania danych ze sceptycyzmem, zwłaszcza te pojawiające się natychmiast po incydencie ransomware.
• Weryfikuj każdą firmę zajmującą się reagowaniem na incydenty lub odzyskiwaniem danych przez niezależne kanały, zanim udostępnisz szczegóły dotyczące sieci lub dokonasz płatności.
• Angażuj organy ścigania i uznanych specjalistów ds. cyberbezpieczeństwa, zamiast negocjować w pojedynkę z nieznanymi stronami.
• Utrzymuj offline'owe, przetestowane kopie zapasowe, aby odzyskanie danych nie zależało od zaufania atakującemu lub pośrednikowi.
• Bądź na bieżąco z ewoluującymi taktykami ransomware, ponieważ schematy takie jak Ransom Busters pokazują, jak szybko metody wymuszeń potrafią się adaptować.

Ransomware pozostaje poważnym zagrożeniem, a oszustwa takie jak Ransom Busters pokazują, że niebezpieczeństwo nie zawsze kończy się wraz z początkowym atakiem. Zachowanie ostrożności, weryfikowanie każdego twierdzenia i poleganie na zaufanych zasobach bezpieczeństwa to najlepsza obrona przed byciem ofiarą dwa razy.