Um Segundo Predador Cercando as Mesmas Vítimas

Ser atingido por ransomware já é ruim o suficiente. Agora, um agente de ameaça que se autodenomina "Ransom Busters" está encontrando uma maneira de lucrar com as mesmas vítimas duas vezes. De acordo com reportagens sobre o esquema, esse grupo aborda organizações que já sofreram um ataque de ransomware e oferece "excluir" seus dados roubados, por um preço que varia de US$ 20.000 a US$ 60.000.

A proposta parece quase útil à primeira vista: pague-nos e garantiremos que seus arquivos roubados nunca sejam expostos publicamente ou vendidos. Na realidade, pesquisadores que analisaram as ferramentas e a infraestrutura do grupo encontraram pouco que sugira que o pagamento garanta qualquer coisa. O golpe do Ransom Busters parece menos um serviço de recuperação e mais uma segunda tentativa de extorsão sobreposta à primeira.

Como Funciona o Esquema do Ransom Busters

A análise de segurança da atividade do grupo aponta para um padrão que já foi documentado em múltiplos relatórios: o Ransom Busters se posiciona como um terceiro com acesso aos servidores de uma gangue de ransomware, alegando poder intervir em nome da vítima. Em alguns casos, o grupo parece ser um afiliado que opera dentro do mesmo ecossistema de ransomware que afirma combater, em vez de um resgatador externo.

Pesquisadores que examinaram as ferramentas por trás dessas abordagens identificaram marcadores de backdoor e sobreposições de infraestrutura que sugerem continuidade com operações de ransomware existentes, em vez de um serviço de recuperação genuinamente independente. Em outras palavras, as pessoas que se oferecem para "excluir" seus dados roubados podem ter participado do roubo em primeiro lugar ou, no mínimo, mantêm laços estreitos com quem o fez.

Isso importa porque muda completamente o cálculo para as vítimas. Um pagamento feito de boa-fé a uma empresa legítima de resposta a incidentes é uma coisa. Um pagamento feito a uma entidade que ainda pode controlar seus arquivos roubados, ou que não tem capacidade real de garantir a exclusão, é outra. Conforme abordado em reportagens sobre como empresas falsas de recuperação se escondem atrás do golpe de ransomware, não há mecanismo verificável para confirmar que os dados foram realmente destruídos após um pagamento nos moldes de resgate mudar de mãos.

Por Que o Pagamento Não Garante Nada

O problema central em qualquer oferta de pagar-para-excluir, seja do atacante original ou de um suposto terceiro como o Ransom Busters, é a verificação. Uma vez que os dados roubados saem da rede de uma organização, a vítima não tem como confirmar o que acontece com eles em seguida. Uma captura de tela de uma pasta excluída ou uma garantia verbal não é prova. Cópias podem ser feitas antes de qualquer "exclusão" ocorrer, e não há auditor independente verificando o cumprimento de um acordo de pagamento por parte de um grupo criminoso.

Essa é uma tendência que profissionais de segurança alertam há anos em relação a pagamentos tradicionais de ransomware, e ela se aplica com ainda mais força aqui. O Ransom Busters está essencialmente pedindo que as vítimas confiem em uma entidade cujo modelo de negócios inteiro depende de vítimas que já estão desesperadas, tendo acabado de passar por um evento de extorsão e agora enfrentando uma segunda demanda de uma parte que alega oferecer alívio. A tendência de alerta que os pesquisadores apontam é direta: a economia da extorsão está se diversificando, com novos atores encontrando maneiras de monetizar o medo das vítimas mesmo após o ataque original ter sido concluído.

O Que Isso Significa Para Você

Se sua organização passou por um incidente de ransomware e alguém entrar em contato depois, seja por e-mail, portal na dark web ou mensagem direta, oferecendo excluir dados roubados por uma taxa, trate esse contato com o mesmo ceticismo que você aplicaria à nota de resgate original. Não há maneira confiável de verificar a alegação, e pagar não cria nenhuma garantia executável.

O caminho mais seguro é encaminhar qualquer contato desse tipo para sua equipe de resposta a incidentes ou uma empresa de cibersegurança de confiança, em vez de negociar diretamente. Agências de aplicação da lei que lidam com casos de ransomware geralmente estão cientes de esquemas de extorsão secundária como este e podem ajudar a avaliar se uma abordagem específica é crível ou apenas mais um ângulo do mesmo ataque.

Conclusões Práticas

  • Não trate nenhuma oferta de "exclusão de dados" pós-violação como legítima sem verificação independente da sua equipe de segurança ou jurídica.
  • Relate contatos de grupos como o Ransom Busters às autoridades em vez de negociar unilateralmente.
  • Presuma que qualquer dado já exfiltrado em um ataque de ransomware deve ser tratado como permanentemente exposto, independentemente de qualquer pagamento feito depois.
  • Reforce práticas de backup e detecção agora para que um primeiro evento de ransomware, e a extorsão subsequente que ele atrai, se torne menos provável em primeiro lugar.

O surgimento de esquemas como o Ransom Busters é um lembrete de que o pós-ransomware pode ser tão perigoso quanto o ataque inicial. Manter-se cético em relação a qualquer um que ofereça um atalho de volta à segurança, especialmente por um preço, continua sendo a melhor defesa.