Un presunto fornitore di ransomware per il recupero ransomware che si fa chiamare Ransom Busters si sta avvicinando alle organizzazioni poco dopo che sono state attaccate e offrendo di fornire chiavi di decrittazione e cancellare informazioni rubate per decine di migliaia di dollari. I ricercatori di sicurezza ritengono che l’operazione possa essere in realtà controllata da un affiliato ransomware coinvolto nelle intrusioni originali.
L’attività insolita è stata individuata durante GuidePoint Security’s Research and Intelligence Team (GRIT) l’indagine su diversi episodi di ransomware. Le vittime hanno ricevuto email non richieste da Ransom Busters che offrivano assistenza prima che le informazioni sui loro attacchi diventassero pubbliche.
Quel tempismo ha sollevato subito una domanda: come faceva un servizio di recupero apparentemente indipendente a sapere quali organizzazioni erano state recentemente compromesse? Ransom Busters ha fornito una propria spiegazione. Ha affermato di aver scoperto vulnerabilità nei pannelli amministrativi gestiti da gruppi ransomware-as-a-service (RaaS), presumibilmente permettendogli di recuperare le chiavi di crittografia delle vittime e accedere ai dati rubati durante gli attacchi. Ha offerto di rimuovere le informazioni detenute sulle infrastrutture associate alle operazioni ransomware, tra cui DragonForce, Settra e Anubis.
I prezzi dei presunti servizi di recupero variavano da 20.000 a 60.000 dollari. Tuttavia, l’indagine di GRIT ha scoperto somiglianze tecniche che indicano una spiegazione diversa. Le prove di due incidenti collegavano gli attacchi tramite strumenti e infrastrutture comuni. Entrambi coinvolgevano SoftPerfect Network Scanner, l’utilità da riga di comando s5cmd e lo strumento di gestione remota Remotely.
I ricercatori hanno anche osservato la creazione di un account backdoor locale utilizzando la stessa password “Numlock!123”. Gli incidenti condividevano inoltre il nome host controllato dall’attaccante “DESKTOP-BBETH6K.”
Unito all’attività che si sovrappone a diverse operazioni RaaS, queste somiglianze hanno portato GRIT a valutare con moderata sicurezza che Ransom Busters sia probabilmente un singolo affiliato ransomware piuttosto che un fornitore di recupero indipendente.
Secondo questa teoria, l’affiliato potrebbe tentare di trarre profitto due volte da organizzazioni compromesse. Dopo aver partecipato ad attacchi ransomware tramite operazioni RaaS consolidate, lo stesso attore potrebbe avvicinarsi privatamente alle vittime sotto l’identità di Ransom Busters e offrire accesso a informazioni o chiavi di crittografia ottenute attraverso la sua posizione all’interno dell’ecosistema ransomware.
Un simile accordo potrebbe anche permettere all’affiliato di deviare denaro che altrimenti sarebbero condivisi con gli operatori del servizio ransomware.
I ricercatori non hanno identificato una vittima che abbia pagato Ransom Busters. In un caso indagato, tuttavia, l’organizzazione ha pagato invece l’operazione ransomware responsabile dell’attacco. La vittima successivamente non è apparsa sul sito pubblico di fuga di notizie di quell’operazione, e i ricercatori non hanno trovato prove che Ransom Busters abbia rilasciato separatamente le sue informazioni.