Nowo opisany przypadek z Niemiec uwydatnia niepokojący zwrot w ekonomii ransomware: ta sama grupa przestępcza, która blokuje dane ofiary, może być również tą, która oferuje ich odblokowanie, ukrywając się pod postacią pomocnej strony trzeciej. Zgodnie z raportem IT-Daily, podejrzewany partner oprogramowania ransomware działa pod nazwą Ransom Busters, prezentując się jako niezależna firma odzyskująca dane, a nie – jak uważają śledczy – jako partner w operacji ransomware.
Co się wydarzyło
Sedno raportu jest proste, ale niepokojące. Aktor zagrożeń powiązany z grupą ransomware najwyraźniej zbudował odrębną tożsamość, Ransom Busters, reklamowaną jako samodzielna usługa odzyskiwania danych. Zamiast działać otwarcie jako część ekipy wymuszającej, ta persona pozycjonuje się jako neutralny ratownik, do którego ofiary mogą się zwrócić po ataku. Implikacja jest taka, że ten sam podmiot, który czerpie zyski z początkowego wdrożenia ransomware, może również czerpać zyski po raz drugi, oferując „naprawę" szkód, które sam wyrządził.
Tego rodzaju podwójna rola nie jest całkowicie nowa w świecie cyberprzestępczości, ale przypomina, jak bardzo zamazana stała się granica między atakującymi a usługami, które twierdzą, że pomagają ich ofiarom. Ekosystemy ransomware jako usługi (RaaS) już obejmują wiele stron: twórców złośliwego oprogramowania, partnerów je wdrażających oraz negocjatorów zajmujących się komunikacją z ofiarami. Firma odzyskująca dane, która jest potajemnie powiązana z tą samą siecią, dodaje kolejną warstwę wykorzystania, opartą całkowicie na zaufaniu i oszustwie, a nie na technicznej ingerencji.
Jak fałszywe firmy odzyskujące dane wykorzystują ofiary
Gdy firma lub osoba fizyczna pada ofiarą ransomware, priorytet jest prawie zawsze taki sam: odzyskać dane jak najszybciej i jak najtaniej. Ta pilność tworzy podatny grunt dla złych aktorów. Fałszywa firma odzyskująca dane może zaoferować „negocjacje" z atakującymi, po cichu zgarniając opłatę, robiąc niewiele więcej niż przekazanie klucza deszyfrującego, który grupa kontrolowała od początku. W bardziej agresywnych wersjach tego schematu fałszywa firma może pobierać zawyżone opłaty, zwodzić ofiary lub wykorzystać okazję do zebrania większej ilości informacji o celu na potrzeby przyszłych ataków.
To właśnie dlatego sprawa Ransom Busters ma znaczenie wykraczające poza jej konkretne szczegóły. Ilustruje ona szerszy wzorzec, w którym ofiary szukające pomocy w internecie mogą natknąć się na usługi, które na pierwszy rzut oka wydają się legalne, ale są finansowo lub operacyjnie powiązane z przestępcami, którzy spowodowali problem w pierwszej kolejności. Dla organizacji już mierzących się z wyciekiem danych nakłada się to na obawy widoczne w innych incydentach naruszeń, takich jak naruszenie danych Napoleon Perdis, gdzie wyciekłe rekordy mogą krążyć i być wykorzystywane długo po pierwotnym incydencie, czasem przez podmioty oferujące usługi naprawcze lub monitorujące.
Dlaczego to ma znaczenie dla prywatności i zaufania
Ataki ransomware są w swej istocie incydentami dotyczącymi prywatności. Często obejmują nie tylko szyfrowanie, ale także kradzież danych, co oznacza, że wrażliwe dane osobowe lub biznesowe mogą już znajdować się w rękach atakującego, zanim pojawi się jakakolwiek notatka o okupie. Gdy na scenę wkracza fałszywa firma odzyskująca dane, ofiary stają w obliczu skumulowanego ryzyka: mogą zapłacić dwa razy – raz pośrednio poprzez żądanie okupu, a drugi raz poprzez usługę, która nie oferuje żadnej realnej niezależnej wartości. Co gorsza, zaangażowanie firmy odzyskującej dane, która jest potajemnie powiązana z atakującymi, może oznaczać przekazanie dodatkowych wrażliwych szczegółów, danych uwierzytelniających lub informacji o płatnościach osobom odpowiedzialnym za naruszenie.
Ta erozja zaufania rozciąga się na szerszą branżę odzyskiwania danych i reagowania na incydenty, gdzie legalne firmy polegają na reputacji i przejrzystości, aby wykonywać swoją pracę. Przypadki takie jak ten utrudniają ofiarom ustalenie, komu ufać w jednym z najbardziej stresujących momentów, jakie może przeżyć firma.
Co to oznacza dla Ciebie
Jeśli Twoja organizacja lub osobiste konta kiedykolwiek zostaną dotknięte ransomware, weryfikacja tego, z kim pracujesz, jest równie ważna jak sama reakcja techniczna. Kilka praktycznych kroków może pomóc:
- Potwierdź historię, kwalifikacje i referencje klientów każdej firmy odzyskującej dane przed zaangażowaniem się, zwłaszcza jeśli skontaktuje się z Tobą bez zapowiedzi po ataku.
- Zaangażuj organy ścigania lub uznanego dostawcę usług reagowania na incydenty cyberbezpieczeństwa, zamiast polegać wyłącznie na firmie znalezionej przez szybkie wyszukiwanie.
- Podchodź sceptycznie do usług odzyskiwania danych, które gwarantują szybkie odszyfrowanie bez wyjaśnienia swoich metod, ponieważ legalne odzyskiwanie rzadko jest proste ani szybkie.
- Utrzymuj solidne, przetestowane kopie zapasowe, aby nigdy nie być całkowicie zależnym od negocjacji z nieznaną stroną trzecią.
- Przejrzyj swój szerszy ślad cyfrowy i rozważ narzędzia, które zmniejszają narażenie na wycieki danych, ponieważ ogólna higiena prywatności, w tym zasoby takie jak niezawodny VPN dla dodatkowej ochrony, może zmniejszyć ilość dostępnych do wykorzystania informacji dla atakujących.
Podsumowanie
Sprawa Ransom Busters to mały, ale wymowny przykład tego, jak ekonomia ransomware stale ewoluuje. Nie chodzi już tylko o blokowanie plików i żądanie zapłaty. Obejmuje ona teraz drugorzędne schematy zaprojektowane do wykorzystywania tych samych osób, które próbują odzyskać się po ataku. Świadomość oszustw związanych z odzyskiwaniem po ransomware, takich jak to, oraz weryfikacja tego, komu ufasz w czasie kryzysu, to jedna z najskuteczniejszych dostępnych obron. Poświęcenie czasu na sprawdzenie partnerów do odzyskiwania danych przed incydentem, a nie w jego trakcie, może zadecydować o różnicy między czystym odzyskaniem danych a drugą rundą wykorzystania.
