Un supposé fournisseur de rétablissement de ransomware, se faisant appeler Ransom Busters, contacte des organisations peu après leur attaque et propose de fournir des clés de déchiffrement et d’effacer des informations volées pour des dizaines de milliers de dollars. Les chercheurs en sécurité pensent que l’opération pourrait en réalité être contrôlée par un affilié de ransomware impliqué dans les intrusions initiales.
Cette activité inhabituelle a été identifiée lors GuidePoint Security’s Research and Intelligence Team (GRIT) de l’enquête sur plusieurs incidents de ransomware. Les victimes ont reçu des e-mails non sollicités de Ransom Busters offrant leur aide avant que les informations sur leurs attaques ne soient rendues publiques.
Ce moment a soulevé une question immédiate : comment un service de récupération apparemment indépendant savait-il quelles organisations avaient récemment été compromises ? Ransom Busters a fourni sa propre explication. Il a affirmé avoir découvert des vulnérabilités dans des panneaux administratifs gérés par des groupes de ransomware en tant que service (RaaS), ce qui lui aurait permis de récupérer les clés de chiffrement des victimes et d’accéder aux données volées lors des attaques. Il a proposé de supprimer les informations détenues sur les infrastructures liées aux opérations de ransomware, notamment DragonForce, Settra et Anubis.
Les prix des services de récupération supposés variaient de 20 000 à 60 000 dollars. Cependant, l’enquête de GRIT a révélé des similitudes techniques qui indiquent une explication différente. Les preuves issues de deux incidents reliaient les attaques via des outils et infrastructures communs. Les deux impliquaient SoftPerfect Network Scanner, l’utilitaire en ligne de commande s5cmd et l’outil de gestion à distance Remotely.
Les chercheurs ont également observé la création d’un compte dérobé local utilisant le même mot de passe « Numlock ! 123 ». Les incidents partageaient également le nom d’hôte contrôlé par l’attaquant « DESKTOP-BBETH6K ».
Combinées à une activité qui chevauche plusieurs opérations RaaS, ces similitudes ont conduit GRIT à évaluer avec une confiance modérée que Ransom Busters est probablement un affilié de ransomware unique plutôt qu’un fournisseur indépendant de récupération.
Selon cette théorie, l’affilié pourrait tenter de tirer deux profits sur des organisations compromises. Après avoir participé à des attaques de ransomware via des opérations RaaS établies, le même acteur pourrait approcher en privé les victimes sous l’identité de Ransom Busters et offrir un accès à des informations ou des clés de chiffrement obtenues via sa position dans l’écosystème des ransomwares.
Un tel arrangement pourrait également permettre à l’affilié de détourner de l’argent qui serait autrement partagé avec les opérateurs du service de ransomware.
Les chercheurs n’ont pas identifié de victime ayant payé Ransom Busters. Dans un incident enquêté, cependant, l’organisation a payé l’opération de ransomware responsable de l’attaque. La victime n’est ensuite pas apparue sur le site public de fuite de cette opération, et les chercheurs n’ont trouvé aucune preuve que Ransom Busters ait publié ses informations séparément.