En ny twist på ett gammalt utpressningsmanus

Ransomware-gäng har länge förlitat sig på rädsla och brådska för att pressa offer att betala. Nu, enligt rapportering om ett upplägg som kallas "Ransom Busters", har åtminstone en ransomware-ansluten aktör hittat en ny vinkel: att utge sig för att vara just de personer som ska hjälpa offer att återhämta sig.

Istället för att bara kräva betalning och försvinna efter attacken, kontaktar denna aktör enligt uppgift offer med erbjudanden om hjälp och presenterar sig som en incidentåterställningstjänst. Haken är att denna "hjälp" inte är neutral. Den verkar vara utformad för att styra lösenbetalningar bort från legitima kanaler och tillbaka till fickorna på samma kriminella ekosystem som orsakade intrånget från första början.

Detta är en betydande förändring i taktik. Traditionella ransomware-verksamheter bygger på en enkel, om än brutal, transaktion: kryptera data, kräva betalning, tillhandahålla en dekrypteringsnyckel (kanske). Genom att införa ett falskt återställningslager i den processen kan angripare manipulera desperata offer två gånger – en gång vid det initiala intrånget, och en gång till när de försöker hitta en väg ut.

Varför offer är särskilt sårbara för detta knep

Organisationer som drabbas av ransomware befinner sig ofta i krisläge. System ligger nere, ledningen är under press och beslutsfattare kämpar för att hitta någon trovärdig väg för att återställa verksamheten. Den miljön är precis vad som gör en falsk "återställningstjänst" effektiv. Offer granskar inte nödvändigtvis varje hjälperbjudande med skeptiska ögon; de letar efter en snabb lösning.

Denna taktik spelar också på en bredare trend där ransomware-aktörer suddar ut gränsen mellan angripare och hjälpare. Den påminner om andra nyliga fall där hotaktörer har utgivit sig för att vara betrodda roller för att få åtkomst eller inflytande, såsom Silent Ransom Group som fysiskt utger sig för att vara IT-personal på advokatbyråer för att manipulera anställda inifrån. Oavsett om utgivandet sker i person eller genom ett falskt återställningsvarumärke, är målet detsamma: utnyttja förtroende vid exakt den tidpunkt då en organisation är minst rustad att verifiera vem de egentligen har att göra med.

Ransomware-grupper har också visat att de är villiga att rikta in sig på en bred uppsättning sektorer när tillfället ges, som när gruppen SpaceBears drabbade den franska telekomleverantören Stellar. Taktiker som "Ransom Busters"-upplägget tyder på att offer inom alla branscher inte kan anta att faran är över när förhandlingarna väl har börjat – inte ens efter en initial attack.

Integritetskonsekvenserna av falska återställningstjänster

Integritetskonsekvenserna här går utöver den ekonomiska vinkeln. När ett offer engagerar sig med vad de tror är en legitim återställningstjänst kan de dela känsliga uppgifter om sitt nätverk, sin dataexponering, sitt interna beslutsfattande och till och med sin vilja att betala. Om den "tjänsten" faktiskt kontrolleras av, eller är ansluten till, angriparen, går all den informationen raka vägen tillbaka till de personer som är ansvariga för intrånget.

Det skapar en återkopplingsslinga som gynnar angriparen i varje steg: de får betalt, de får underrättelser om hur offret reagerar, och de kan till och med få en andra chans att pressa fram pengar under sken av legitim assistans. För en organisation som redan hanterar komprometterad data multiplicerar den här typen av upplägg exponeringen istället för att lösa den.

Vad detta innebär för dig

Om din organisation någonsin drabbas av ransomware kan trycket att hitta en snabb lösning vara intensivt, men detta upplägg är en påminnelse om att inte varje hjälperbjudande under en kris är äkta. Återställningsföretag, förhandlare och cybersäkerhetskonsulter bör alltid verifieras oberoende, helst genom referenser, etablerat rykte eller din cyberförsäkringsleverantör, snarare än genom kontakter som dyker upp oombedda direkt efter en attack.

Det är också värt att komma ihåg att legitima incidenthanteringsföretag vanligtvis inte dyker upp från ingenstans med oönskade erbjudanden omedelbart efter ett intrång. All oväntad kontakt som påstår sig hjälpa till med lösenförhandling eller dataåterställning förtjänar extra granskning innan någon information eller några pengar byter händer.

Konkreta åtgärder

  • Verifiera alla incidentåterställnings- eller förhandlingstjänster via betrodda, oberoende kanaler innan du engagerar dig, särskilt om de kontaktar dig först.
  • Involvera brottsbekämpande myndigheter och din cyberförsäkringsleverantör tidigt; de kan hjälpa till att skilja legitima återställningspartners från opportunistiska aktörer.
  • Undvik att dela detaljerad information om ditt intrång, dina system eller dina betalningsavsikter med någon part vars meriter inte har bekräftats.
  • Behandla oönskade hjälperbjudanden efter ett intrång med samma skepticism som du skulle tillämpa på det ursprungliga lösenbrevet.

Upplägg som "Ransom Busters" visar att ransomware-utpressning inte alltid slutar när lösenbrevet dyker upp. Att vara försiktig med vem du litar på i efterdyningarna av en attack är lika viktigt som att försvara sig mot det initiala intrånget.