Un grup care se autointitulează Ransom Busters vizează un public care a avut deja o săptămână teribilă: victimele ransomware. Conform relatărilor despre activitatea grupului, Ransom Busters susține că a pătruns în serverele proprii ale operatorilor de ransomware și acum oferă victimelor o înțelegere: plătiți între 20.000 și 60.000 de dolari, iar grupul va ajuta la recuperarea fișierelor criptate și la ștergerea datelor furate. Sună ca o salvare. Mai probabil, este o a doua încercare de extorcare deghizată în operațiune de salvare.

Această poveste contează pentru că expune o problemă tot mai mare în ecosistemul ransomware: după ce o organizație este lovită o dată, devine o țintă pentru actori oportuniști care exploatează haosul, frica și urgența care urmează unei breșe de securitate. Înțelegerea modului în care funcționează această escrocherie falsă de recuperare ransomware și cum poți deosebi ajutorul real de o înșelătorie este esențială pentru orice organizație care se găsește în postura greșită în urma unui atac.

Ce susține Ransom Busters că oferă

Conform relatărilor, Ransom Busters se prezintă ca o parte externă care a compromis infrastructura folosită de bandele de ransomware. Discursul este simplu: grupul spune că poate obține capacitatea de decriptare sau fișierele furate și poate asigura că datele luate în timpul atacului inițial sunt șterse, nu scurse. În schimb, victimelor li se cere să plătească o sumă între 20.000 și 60.000 de dolari, o sumă considerabilă pentru organizații care s-ar putea să se resimtă deja din cauza pierderilor operaționale, timpilor morți sau unei cereri inițiale de răscumpărare.

La suprafață, această prezentare împrumută credibilitate din limbajul hacking-ului etic și al cercetării în securitate cibernetică. Grupuri care pătrund cu adevărat în infrastructura criminală există, iar agențiile de aplicare a legii au recuperat ocazional chei de decriptare prin mijloace similare. Dar nu există nicio verificare independentă legată de afirmațiile Ransom Busters, iar întregul model se bazează pe victime care au încredere într-o terță parte anonimă cu bani, după ce au fost deja păcălite o dată.

Cum funcționează escrocheria dublei extorcări

Mecanismele aici sunt simple și de o eficiență descurajantă. Victimele ransomware sunt deja sub presiune: sistemele sunt căzute, clienții sau autoritățile de reglementare ar putea pune întrebări, iar atacatorii inițiali împing un ceas cu numărătoare inversă. În acest haos apare un grup care oferă o scurtătură, o modalitate de a face problema să dispară pentru o sumă care poate părea modestă în comparație cu cererea de răscumpărare sau cu costul unui timp mort prelungit.

Aceasta este funcțional o a doua extorcare suprapusă peste prima. Indiferent dacă Ransom Busters are sau nu acces real la infrastructura ransomware, structura de stimulare este identică cu atacul inițial: plătești bani unei părți neverificate în schimbul unei promisiuni. Victimele nu au nicio modalitate de a confirma că fișierele vor fi recuperate, că datele furate vor fi efectiv șterse sau că nu vor fi pur și simplu extorcate a treia oară mai târziu. Acest tipar ecouă scenariul văzut în alte incidente conduse de extorcare, inclusiv cazuri în care grupuri precum ShinyHunters au stabilit termene publice de scurgere pentru a face presiuni asupra victimelor, așa cum se vede în breșa ShinyHunters care afectează e-mailurile Inter-Con Security și în afirmațiile despre datele Kodak legate de un termen de scurgere.

Verificarea serviciilor legitime de recuperare vs. escrocherii

Creșterea ofertelor false de recuperare face ca verificarea să fie o abilitate critică pentru orice organizație care gestionează un incident. Câteva verificări practice pot separa ajutorul legitim de o escrocherie. Firmele legitime de răspuns la incidente și contactele din aplicarea legii pot fi verificate prin canale stabilite, licențe profesionale, referințe din cazuri anterioare și contracte formale de angajare. Ele nu apar de obicei nesolicitate cu un preț fix și o afirmație că au pătruns personal în serverele atacatorului.

Organizațiile ar trebui, de asemenea, să fie sceptice față de orice contact nesolicitat după un incident ransomware, indiferent dacă pretinde că este un serviciu de recuperare, un jurnalist sau chiar o altă victimă care oferă să împărtășească informații. Atacatorii și oportuniștii știu la fel de bine că o companie breșată este distrasă și anxioasă, ceea ce o face o țintă ușoară pentru manipulare ulterioară. Implicarea unui furnizor cunoscut și verificat de răspuns la incidente și informarea autorităților rămâne calea mai sigură în comparație cu implicarea cu grupuri anonime care fac afirmații îndrăznețe pe chat criptat sau forumuri de pe dark web.

De ce backup-urile bat orice plată de răscumpărare

Cea mai durabilă apărare atât împotriva cererii inițiale de ransomware, cât și împotriva escrocheriilor conexe precum Ransom Busters este simplă: backup-uri fiabile și testate. Dacă fișierele pot fi restaurate dintr-un backup curat, offline, nu există niciun motiv să negociezi cu atacatorii inițiali sau să iei în considerare o terță parte care oferă recuperare contra cost. Aceasta elimină complet pârghia.

Industria în ansamblu se îndreaptă deja în această direcție. Așa cum este detaliat în acoperirea despre cum plățile ransomware scad la nivel de industrie, tot mai puține organizații aleg să plătească cereri de extorcare, parțial datorită practicilor îmbunătățite de backup și parțial datorită conștientizării tot mai mari că plata nu garantează rezultate. Amenințările cu mișcare rapidă, precum varianta de ransomware Spirals capabilă să cripteze o rețea în mai puțin de 24 de ore, subliniază, de asemenea, de ce prevenirea și detectarea rapidă contează mai mult decât orice negociere post-incident, reală sau falsă.

Ce înseamnă asta pentru tine

Dacă organizația ta este lovită vreodată de ransomware, tratează orice ofertă nesolicitată de recuperare, inclusiv una de la un grup precum Ransom Busters, cu aceeași suspiciune pe care ai aplica-o atacatorilor inițiali. Să plătești unei părți neverificate mii de dolari pe baza unei afirmații despre servere compromise este o pariură fără nicio garanție executorie atașată. Calea mai sigură și mai fiabilă este menținerea backup-urilor offline, implicarea profesioniștilor verificați de răspuns la incidente și raportarea incidentelor către autorități, mai degrabă decât negocierea în întuneric.

Concluzii cheie

  • Tratează orice ofertă nesolicitată de recuperare ransomware ca o potențială escrocherie până când este verificată independent.
  • Nu trimite niciodată plăți unei terțe părți care pretinde acces la servere fără dovezi documentate și termeni formali de angajare.
  • Menține backup-uri testate, offline, astfel încât cererile de răscumpărare, reale sau false, să-și piardă complet pârghia.
  • Raportează incidentele ransomware către autorități și lucrează cu firme stabilite de răspuns la incidente, nu cu grupuri anonime.
  • Urmărește tendințele din industrie: pe măsură ce plățile ransomware scad în general, atacatorii și oportuniștii se adaptează cu scheme precum ofertele false de recuperare, așa că rămâi vigilent la noi variații ale acelorași tactici de presiune.