La société GuidePoint Security a mis en garde contre l’activité d’une entité appelée Ransom Busters, qui se fait passer pour un service de récupération destiné aux victimes d’attaques par rançongiciel, alors que les éléments disponibles indiquent qu’elle pourrait être à l’origine des attaques ou y être affiliée. L’entité contacte les victimes avant que les attaques ne soient rendues publiques et propose de fournir les clés de déchiffrement et de supprimer les données volées en échange de sommes d’argent.
L’équipe de recherche et de renseignement de GuidePoint Security, connue sous l’acronyme GRIT, a découvert cette activité après avoir répondu à plusieurs attaques récentes par rançongiciel dont les victimes avaient reçu des messages de Ransom Busters. Le fait que l’entité connaisse les attaques avant leur annonce a immédiatement suscité des soupçons, car on ne savait pas comment un prétendu service de récupération avait pu accéder à des informations concernant des incidents non divulgués.
Une prétendue accessibilité aux clés de chiffrement et aux données
Ransom Busters a affirmé avoir exploité des vulnérabilités dans des panneaux d’administration utilisés par les opérations de rançongiciel en tant que service, ou RaaS, ce qui lui aurait permis d’accéder aux clés de chiffrement et aux données volées aux victimes. L’entité a demandé des sommes comprises entre 20 000 et 60 000 dollars en échange de la suppression des données des serveurs des opérations de rançongiciel, notamment des serveurs associés aux groupes DragonForce, Settra et Anubis.
Mais GRIT a établi un lien entre deux incidents présentant des indicateurs techniques et opérationnels identiques. Dans les deux cas, les attaquants ont utilisé les mêmes outils, notamment SoftPerfect Network Scanner, s5cmd et l’outil de surveillance à distance Remotely. Ils ont également créé un compte local de secours à l’aide du mot de passe Numlock!123 et utilisé le même nom d’hôte contrôlé par les attaquants : DESKTOP-BBETH6K.
Pourquoi cette évolution est-elle importante ?
GRIT estime, avec un niveau de confiance moyen, que cette activité qui se chevauche entre plusieurs opérations de RaaS suggère la présence d’un seul partenaire exploitant son accès aux attaques des groupes pour voler des paiements supplémentaires en dehors des accords habituels de partage des revenus. La société n’a jusqu’à présent identifié aucune victime ayant payé Ransom Busters et a exhorté les victimes à ne pas lui verser d’argent. Dans un cas, la victime a plutôt payé l’opération de rançongiciel à l’origine de l’attaque.
Coveware, spécialisée dans la négociation lors d’attaques par rançongiciel, a confirmé à BleepingComputer avoir récemment traité au moins un incident dans lequel la même entité, ou une personne qui lui est liée, avait contacté une victime en prétendant détenir la clé de déchiffrement et les données volées. Coveware a indiqué avoir repéré des intermédiaires similaires sous d’autres noms depuis 2024, mais la différence, ici, est que Ransom Busters a contacté des victimes au sujet d’incidents qui n’avaient pas encore été rendus publics.
Cette intervention accroît les risques pour les victimes, car le paiement de la rançon à l’opérateur principal ne garantit pas que chaque partie détenant une copie des données s’abstiendra de les divulguer. Jusqu’à présent, GRIT n’a trouvé aucune preuve de publication des données en dehors de l’environnement des opérations de RaaS, et les données de l’une des victimes n’ont pas non plus été publiées sur le site de fuite de l’opération de rançongiciel. Coveware estime que la baisse de confiance entre les opérateurs de rançongiciels et leurs partenaires pourrait inciter davantage d’affiliés à tenter de réaliser des bénéfices indépendants.