GuidePoint Securityは、Ransom Bustersと呼ばれる組織が、ランサムウェア攻撃の被害者を復旧させるサービスを装って活動していると警告した。一方、証拠からは、同組織が攻撃の実行者、またはその提携先である可能性が示されている。同組織は攻撃が公になる前に被害者へ接触し、金銭と引き換えに復号キーの提供と盗み出したデータの削除を申し出ている。
GuidePoint Securityのリサーチ・インテリジェンスチーム、通称GRITは、複数の最近のランサムウェア攻撃への対応後、この活動を明らかにした。被害者がRansom Bustersからメッセージを受け取っていたためである。同組織が公表前の攻撃を把握していたことは、直ちに疑念を招いた。というのも、公称上は復旧サービスである組織が、未公表のインシデントに関する情報へどのようにアクセスできたのかが明らかではなかったからだ。
暗号化キーとデータへのアクセスを主張
Ransom Bustersは、ランサムウェア・アズ・ア・サービス、またはRaaSの運用者が使用する管理パネルの脆弱性を悪用し、被害者の暗号化キーと盗み出されたデータにアクセスできたと主張した。同組織は、DragonForce、Settra、Anubisに関連するサーバーを含む、ランサムウェア運用者のサーバーからデータを削除する見返りとして、2万ドルから6万ドルの支払いを要求した。
しかしGRITは、技術面および運用面で一致する兆候が現れた2件のインシデントを関連付けた。いずれのケースでも攻撃者は、SoftPerfect Network Scanner、s5cmd、リモート監視ツールのRemotelyなど、同じツールを使用していた。また、Numlock!123というパスワードを使ってバックドアとなるローカルアカウントを作成し、攻撃者が管理する同じホスト名、DESKTOP-BBETH6Kを使用していた。
なぜこの展開が重要なのか
GRITは中程度の確信度で、複数のRaaS運用にまたがって活動が重複していることから、ギャングの攻撃へのアクセス権を利用し、通常の収益分配の取り決めとは別に追加の支払いを横取りしている単一の提携先が存在する可能性が高いと述べている。同社はこれまでのところ、Ransom Bustersに支払った被害者を確認しておらず、被害者に対して同組織へ支払わないよう促した。あるケースでは、被害者は代わりに攻撃の背後にいるランサムウェア運用者へ支払った。
ランサムウェア攻撃の交渉を専門とするCovewareは、少なくとも1件のインシデントで、同じ組織、またはそれに関係する人物が、復号キーと盗み出されたデータを保有していると主張して被害者に接触していたことを、BleepingComputerに認めた。Covewareは、2024年以降、別の名称を使う同様の仲介者を確認してきたが、今回の違いは、Ransom Bustersがまだ公表されていないインシデントについて接触していた点だと指摘した。
この介入によって被害者のリスクは高まる。なぜなら、主要な運用者に身代金を支払っても、データのコピーを保有するすべての当事者がデータを漏えいしないと保証されるとは限らないからだ。現時点でGRITは、RaaS運用の環境外でデータが公開された証拠を確認しておらず、ある被害者のデータもランサムウェア運用者のリークサイトには掲載されていない。Covewareは、ランサムウェア運用者とその提携先の間で信頼が低下すれば、より多くのアフィリエイトが独自に利益を得ようとする可能性があるとみている。