GuidePoint Security warnte vor den Aktivitäten einer Stelle namens Ransom Busters, die sich als Dienst zur Wiederherstellung für Opfer von Ransomware-Angriffen ausgibt, während die Beweise darauf hindeuten, dass sie möglicherweise die Angriffe selbst durchführt oder als mit ihnen verbundener Partner agiert. Die Stelle kontaktiert Opfer, bevor die Angriffe öffentlich bekannt werden, und bietet an, Entschlüsselungsschlüssel bereitzustellen und gestohlene Daten gegen Geld zu löschen.
Das Forschungs- und Geheimdienstteam von GuidePoint Security, kurz GRIT genannt, entdeckte die Aktivitäten, nachdem es auf mehrere aktuelle Ransomware-Angriffe reagiert hatte, deren Opfer Nachrichten von Ransom Busters erhalten hatten. Das Wissen der Stelle über die Angriffe vor deren Bekanntgabe weckte unmittelbar Verdacht, da unklar war, wie ein angeblicher Wiederherstellungsdienst Zugang zu Informationen über nicht öffentlich gemachte Vorfälle erhalten konnte.
Behaupteter Zugriff auf Verschlüsselungsschlüssel und Daten
Ransom Busters behauptete, Schwachstellen in Administrationspanels ausgenutzt zu haben, die von Ransomware-as-a-Service-Operationen oder RaaS verwendet werden. Dadurch habe die Stelle Zugriff auf die Verschlüsselungsschlüssel und die von den Opfern gestohlenen Daten erhalten. Sie verlangte zwischen 20.000 und 60.000 US-Dollar für die Löschung der Daten von den Servern der Ransomware-Operationen, darunter Server, die mit den Gruppen DragonForce, Settra und Anubis verbunden sind.
GRIT stellte jedoch zwischen zwei Vorfällen einen Zusammenhang her, bei denen identische technische und operative Indikatoren auftraten. In beiden Fällen verwendeten die Angreifer dieselben Tools, darunter SoftPerfect Network Scanner, s5cmd und das Fernüberwachungstool Remotely. Außerdem legten sie mithilfe des Passworts Numlock!123 ein lokales Hintertürkonto an und verwendeten denselben von den Angreifern kontrollierten Hostnamen: DESKTOP-BBETH6K.
Warum ist diese Entwicklung wichtig?
GRIT ist mit mittlerer Zuversicht der Ansicht, dass die überschneidenden Aktivitäten über mehrere RaaS-Operationen auf einen einzelnen Partner hindeuten, der seinen Zugang zu Angriffen von Banden ausnutzt, um zusätzlich zu den üblichen Vereinbarungen zur Aufteilung der Einnahmen weitere Zahlungen zu stehlen. Das Unternehmen hat bislang kein Opfer gesehen, das an Ransom Busters gezahlt hat, und riet den Opfern, nicht an die Stelle zu zahlen. In einem Fall zahlte das Opfer stattdessen an die Ransomware-Operation, die hinter dem Angriff stand.
Coveware, ein auf die Verhandlung bei Ransomware-Angriffen spezialisiertes Unternehmen, bestätigte gegenüber BleepingComputer, dass es kürzlich mindestens einen Vorfall bearbeitet hat, bei dem dieselbe Stelle oder eine mit ihr verbundene Person ein Opfer kontaktierte und behauptete, den Entschlüsselungsschlüssel und die gestohlenen Daten zu besitzen. Coveware erklärte, seit 2024 ähnliche Vermittler unter anderen Namen beobachtet zu haben. Der Unterschied bestehe hier jedoch darin, dass Ransom Busters wegen Vorfällen Kontakt aufnahm, die noch nicht öffentlich bekannt waren.
Diese Einmischung erhöht die Risiken für die Opfer, da die Zahlung des Lösegelds an den ursprünglichen Betreiber nicht gewährleisten muss, dass alle Parteien, die über eine Kopie der Daten verfügen, auf deren Veröffentlichung verzichten. Bislang hat GRIT keine Beweise dafür gefunden, dass Daten außerhalb der Umgebung der RaaS-Operationen veröffentlicht wurden. Auch wurden die Daten eines Opfers nicht auf der Leak-Website der Ransomware-Operation veröffentlicht. Coveware ist der Ansicht, dass ein schwindendes Vertrauen zwischen Ransomware-Betreibern und ihren Partnern weitere Affiliates dazu bewegen könnte, unabhängig Gewinne zu erzielen.