En grupp som kallar sig Ransom Busters riktar sig mot en målgrupp som redan haft en fruktansvärd vecka: ransomware-offer. Enligt rapportering om gruppens aktivitet hävdar Ransom Busters att de hackat sig in i ransomware-operatörernas egna servrar och erbjuder nu offer en deal: betala mellan 20 000 och 60 000 dollar, så hjälper gruppen till att återställa krypterade filer och radera stulna data. Det låter som en livlina. Det är mer troligt ett andra utpressningsförsök förklätt som en räddningsinsats.

Den här berättelsen är viktig eftersom den blottlägger ett växande problem i ransomware-ekosystemet: efter att en organisation drabbats en gång blir den ett mål för opportunistiska aktörer som utnyttjar kaoset, rädslan och brådskan som följer på en intrångshändelse. Att förstå hur denna falska ransomware-återställningsbluff fungerar, och hur man skiljer äkta hjälp från en bluff, är avgörande för alla organisationer som befinner sig på fel sida av en attack.

Vad Ransom Busters påstår sig erbjuda

Enligt rapporteringen framställer sig Ransom Busters som en extern part som komprometterat infrastrukturen som används av ransomware-ligor. Budskapet är rakt på sak: gruppen säger sig kunna hämta tillbaka avkrypteringsförmåga eller stulna filer, och kan säkerställa att data som tagits under den ursprungliga attacken raderas snarare än läcker ut. I utbyte ombeds offer att betala en avgift på mellan 20 000 och 60 000 dollar, en betydande summa för organisationer som redan kan vara påverkade av driftsförluster, stillestånd eller ett ursprungligt lösenkrav.

På ytan lånar denna framställning trovärdighet från språket kring etisk hacking och cybersäkerhetsforskning. Grupper som verkligen infiltrerar kriminell infrastruktur existerar, och brottsbekämpande myndigheter har ibland återhämtat avkrypteringsnycklar genom liknande metoder. Men det finns ingen oberoende verifiering kopplad till Ransom Busters påståenden, och hela modellen vilar på att offer litar på en anonym tredje part med pengar efter att redan ha blivit brända en gång.

Hur den dubbla utpressningsbluffen fungerar

Mekaniken här är enkel och deprimerande effektiv. Ransomware-offer är redan under press: system ligger nere, kunder eller tillsynsmyndigheter kan ställa frågor, och de ursprungliga angriparna driver på med en nedräkningsklocka. In i det kaoset kliver en grupp som erbjuder en genväg, ett sätt att få problemet att försvinna mot en avgift som kan verka blygsam jämfört med lösenkravet eller kostnaden för ett långvarigt stillestånd.

Detta är i praktiken en andra utpressning staplad ovanpå den första. Oavsett om Ransom Busters har någon verklig åtkomst till ransomware-infrastruktur eller inte, är incitamentsstrukturen identisk med den ursprungliga attacken: betala pengar till en overifierad part i utbyte mot ett löfte. Offer har inget sätt att bekräfta att filerna kommer att återställas, att stulna data verkligen raderas, eller att de inte helt enkelt kommer att utpressas en tredje gång längre fram. Detta mönster speglar strategin som setts i andra utpressningsdrivna incidenter, inklusive fall där grupper som ShinyHunters satt offentliga deadline för dataläckor för att pressa offer, vilket ses i ShinyHunters intrång som påverkar Inter-Con Securitys e-post och Kodak-dataanspråken kopplade till en deadline för dataläcka.

Verifiera legitima återställningstjänster jämfört med bluffar

Framväxten av falska återställningserbjudanden gör verifiering till en kritisk färdighet för alla organisationer som hanterar en incident. Några praktiska kontroller kan skilja legitim hjälp från en bluff. Legitima incidenthanteringsföretag och brottsbekämpande kontakter kan verifieras genom etablerade kanaler, professionell licensiering, tidigare fallreferenser och formella uppdragsavtal. De dyker vanligtvis inte upp oombedda med ett fast pris och ett påstående om att de personligen hackat angriparnas servrar.

Organisationer bör också vara skeptiska till all oombedd kontakt efter en ransomware-incident, oavsett om den påstår sig vara en återställningstjänst, en journalist, eller till och med ett medoffer som erbjuder sig att dela erfarenheter. Angripare och opportunister vet båda att ett drabbat företag är distraherat och oroligt, vilket gör det till ett mjukt mål för ytterligare manipulation. Att involvera en känd, granskad incidenthanteringsleverantör, och koppla in brottsbekämpande myndigheter, förblir den säkrare vägen jämfört med att engagera anonyma grupper som gör djärva påståenden över krypterad chatt eller dark web-forum.

Varför säkerhetskopior slår att betala vilket lösen som helst

Det mest hållbara försvaret mot både det ursprungliga ransomware-kravet och uppföljningsbluffar som Ransom Busters är enkelt: pålitliga, testade säkerhetskopior. Om filer kan återställas från en ren, offline-kopia finns det ingen anledning att förhandla med de ursprungliga angriparna eller underhålla en tredje part som erbjuder betald återställning. Detta tar bort hävstången helt.

Den bredare branschen rör sig redan i denna riktning. Som beskrivits i rapporteringen om hur ransomware-betalningar minskar branschövergripande, väljer allt färre organisationer att betala utpressningskrav alls, delvis på grund av förbättrade säkerhetskopieringsmetoder och delvis på grund av växande medvetenhet om att betalning inte garanterar resultat. Snabbrörliga hot, som Spirals ransomware-variant som kan kryptera ett nätverk på under 24 timmar, understryker också varför förebyggande och snabb upptäckt betyder mer än någon förhandling efter en incident, verklig eller falsk.

Vad detta betyder för dig

Om din organisation någonsin drabbas av ransomware, behandla alla oombedda återställningserbjudanden, inklusive ett från en grupp som Ransom Busters, med samma misstänksamhet som du skulle rikta mot de ursprungliga angriparna. Att betala en overifierad part tusentals dollar baserat på ett påstående om hackade servrar är ett spel med inga verkställbara garantier. Den säkrare, mer pålitliga vägen är att upprätthålla offline-säkerhetskopior, engagera granskade incidenthanteringsproffs, och rapportera incidenter till brottsbekämpande myndigheter snarare än att förhandla i mörker.

Viktiga slutsatser

  • Behandla alla oombedda ransomware-återställningserbjudanden som en potentiell bluff tills de oberoende verifierats.
  • Skicka aldrig betalning till en tredje part som påstår sig ha serveråtkomst utan dokumenterade bevis och formella uppdragsvillkor.
  • Upprätthåll testade, offline-säkerhetskopior så att lösenkrav, verkliga eller falska, förlorar sin hävstång helt.
  • Rapportera ransomware-incidenter till brottsbekämpande myndigheter och arbeta med etablerade incidenthanteringsföretag snarare än anonyma grupper.
  • Håll koll på branschtrender: när ransomware-betalningar minskar överlag anpassar sig angripare och opportunister med upplägg som falska återställningserbjudanden, så var vaksam på nya variationer av samma påtryckningstaktik.