Ein angeblicher Ransomware-Wiederherstellungsanbieter namens Ransom Busters wendet sich kurz nach dem Angriff an Organisationen und bietet an, Entschlüsselungsschlüssel bereitzustellen und gestohlene Informationen für zehntausende Dollar zu löschen. Sicherheitsforscher gehen davon aus, dass die Operation tatsächlich von einem Ransomware-Partner kontrolliert wird, der an den ursprünglichen Eindringlingen beteiligt war.
Die ungewöhnliche Aktivität wurde während der Untersuchung mehrerer Ransomware-Vorfälle identifiziert GuidePoint Security’s Research and Intelligence Team (GRIT) . Die Opfer erhielten ungefragte E-Mails von Ransom Busters, die Hilfe anboten, bevor Informationen über ihre Angriffe öffentlich wurden.
Dieser Zeitpunkt warf sofort eine Frage auf: Wie wusste ein scheinbar unabhängiger Wiederherstellungsdienst, welche Organisationen kürzlich kompromittiert worden waren? Ransom Busters lieferte seine eigene Erklärung. Es behauptete, Schwachstellen in Verwaltungspanels entdeckt zu haben, die von Ransomware-as-a-Service-(RaaS)-Gruppen betrieben wurden, was angeblich erlaubte, die Verschlüsselungsschlüssel der Opfer zu erhalten und auf während Angriffen gestohlene Daten zuzugreifen. Es bot an, Informationen über Infrastrukturen im Zusammenhang mit Ransomware-Operationen wie DragonForce, Settra und Anubis zu entfernen.
Die Preise für die angeblichen Wiederherstellungsdienste lagen zwischen 20.000 und 60.000 US-Dollar. Die Untersuchung von GRIT deckte jedoch technische Ähnlichkeiten auf, die auf eine andere Erklärung hindeuten. Beweise aus zwei Vorfällen verknüpften die Angriffe über gemeinsame Werkzeuge und Infrastrukturen. Beide betrafen den SoftPerfect Network Scanner, das s5cmd-Kommandozeilen-Tool und das Remotely-Remote-Management-Tool.
Forscher beobachteten außerdem die Erstellung eines lokalen Backdoor-Kontos mit demselben Passwort “Numlock!123”. Die Vorfälle teilten sich zusätzlich den von Angreifern kontrollierten Hostnamen “DESKTOP-BBETH6K”.
In Kombination mit Überschneidungen mehrerer RaaS-Operationen führten diese Ähnlichkeiten dazu, dass GRIT mit mäßiger Sicherheit einschätzte, dass Ransom Busters wahrscheinlich ein einzelner Ransomware-Partner und kein unabhängiger Wiederherstellungsanbieter ist.
Nach dieser Theorie könnte der Partner versuchen, zweimal von kompromittierten Organisationen zu profitieren. Nach der Teilnahme an Ransomware-Angriffen über etablierte RaaS-Operationen könnte derselbe Akteur privat Opfer unter der Identität Ransom Busters ansprechen und Zugang zu Informationen oder Verschlüsselungsschlüsseln anbieten, die über seine Position im Ransomware-Ökosystem erhalten wurden.
Eine solche Vereinbarung könnte es dem Partner auch ermöglichen, Geld umzuleiten, das sonst mit den Betreibern des Ransomware-Dienstes geteilt würde.
Forscher haben kein Opfer identifiziert, das Ransom Busters bezahlt hat. In einem untersuchten Vorfall bezahlte die Organisation jedoch die Ransomware-Operation, die für den Angriff verantwortlich war. Das Opfer erschien anschließend nicht auf der öffentlichen Leckseite dieser Operation, und die Forscher fanden keine Beweise dafür, dass Ransom Busters seine Informationen separat veröffentlicht hatte.