En ny twist på en gammal utpressningsspelbok

Ransomware-attacker är stressiga nog utan att en andra rovdjur dyker upp. Enligt nya rapporter riktar sig en hotaktör som går under namnet "Ransom Busters" nu mot organisationer som redan fallit offer för ransomware, denna gång genom att utge sig för att vara en återställningstjänst. Aktören hävdar att den kan återställa krypterade filer och erbjuder det som ser ut som en livlina för företag som desperat vill få tillbaka sina data utan att betala lösen.

Men erbjudandet är inte vad det verkar vara. I stället för att agera som ett oberoende återställningsföretag är Ransom Busters enligt uppgift kopplat till själva ransomware-verksamheten och fungerar som en affiliate som tjänar på just de attacker som man påstår sig hjälpa till att lösa. För offer som redan hanterar kaoset efter ett intrång innebär den här typen av bedrägeri en farlig ny risknivå ovanpå en redan svår situation.

Så fungerar det bedrägliga återställningserbjudandet

Kärnan i upplägget bygger på förtroende och brådska, två saker som ransomware-offer har ont om. När ett företags system är låsta och filer är krypterade försöker beslutsfattare ofta febrilt hitta någon möjlig väg till återställning. En grupp som presenterar sig som en specialist på dataåterställning, särskilt en som verkar ha insiderkunskap om attacken, kan framstå som ett trovärdigt alternativ.

Den upplevda trovärdigheten är fällan. Som beskrivs i tidigare rapportering om Ransom Busters-upplägget verkar aktören utnyttja sin position som ransomware-affiliate för att kliva in i förhandlingsprocessen och effektivt styra offer mot betalningar som i slutändan gynnar samma kriminella ekosystem som ansvarar för den ursprungliga attacken. I stället för en oberoende tredje part som arbetar för att minska skadan kan offer ha att göra med en omprofilierad gren av angriparen, utklädd för att se ut som en lösning snarare än en fortsättning på problemet.

Denna taktik utnyttjar en verklig lucka i landskapet för ransomware-återställning. Legitima incidenthanterings- och dataåterställningsföretag finns, och desperata organisationer vänder sig ofta till extern hjälp när interna IT-team är överväldigade. Ransom Busters verkar kapitalisera på det legitima behovet och använda det som täckmantel för att fortsätta pressa pengar ur offer som tror att de förhandlar med en neutral part.

Varför detta är viktigt för datasekretess

Bortom den omedelbara ekonomiska risken väcker upplägg som Ransom Busters allvarliga integritetsfrågor. Ransomware-attacker innebär ofta datastöld i kombination med kryptering, vilket betyder att känsliga kundregister, anställdas uppgifter och intern kommunikation redan kan vara i angriparens händer. När en offerorganisation engagerar en falsk återställningstjänst kan den lämna ifrån sig ännu mer information, inklusive detaljer om sitt nätverk, sina data och sin betalningsvilja, allt som kan användas för att öka pressen eller sälja vidare åtkomst till andra kriminella grupper.

Det finns också ett förvärrat förtroendeproblem. Ransomware-offer måste redan oroa sig för om angripare kommer att hålla löften om att radera stulna data efter att en lösen är betald, en garanti som aldrig har varit tillförlitlig från första början. Att lägga en falsk återställningstjänst ovanpå den dynamiken innebär att offer nu måste verifiera inte bara angriparens påståenden, utan också trovärdigheten hos alla som erbjuder hjälp, precis vid den tidpunkt då de är sämst rustade att genomföra den typen av due diligence.

Vad detta betyder för dig

Om din organisation någonsin drabbas av ransomware kan pressen att hitta en snabb lösning grumla omdömet. Ransom Busters-fallet är en påminnelse om att inte alla hjälperbjudanden är äkta, inte ens de som verkar komma utifrån själva attacken. Innan du engagerar en återställningstjänst, verifiera dess identitet oberoende, kontrollera att den har en verifierbar affärshistorik och involvera betrodda incidenthanteringsproffs eller brottsbekämpande myndigheter i stället för att enbart förlita dig på oönskad uppsökande kontakt som dyker upp under eller omedelbart efter en attack.

Detta understryker också en bredare integritetsläxa som gäller långt bortom ransomware. Ju mindre känslig data en organisation lagrar eller exponerar i onödan, desto mindre måltavla utgör den. Goda rutiner för säkerhetskopiering, nätverkssegmentering och tydliga incidenthanteringsplaner minskar den hävstång som angripare, och nu tydligen även falska återställningsaktörer, har över offer från första början.

Praktiska slutsatser

  • Betrakta oönskade återställningserbjudanden med skepsis, särskilt de som dyker upp omedelbart efter en ransomware-incident.
  • Verifiera alla incidenthanterings- eller återställningsföretag genom oberoende kanaler innan du delar nätverksdetaljer eller gör betalningar.
  • Involvera brottsbekämpande myndigheter och etablerade cybersäkerhetsproffs i stället för att förhandla ensam med okända parter.
  • Håll offline-testa säkerhetskopior så att återställning inte beror på att du litar på en angripare eller en mellanhand.
  • Håll dig uppdaterad om föränderliga ransomware-taktiker, eftersom upplägg som Ransom Busters visar hur snabbt utpressningsmetoder kan anpassa sig.

Ransomware är fortfarande ett allvarligt hot, och bluffar som Ransom Busters visar att faran inte alltid slutar när den första attacken är över. Att vara försiktig, verifiera varje påstående och lita på betrodda säkerhetsresurser är de bästa försvaren mot att bli offer två gånger.