A GuidePoint Security alertou sobre a atividade de uma entidade chamada Ransom Busters, que se passa por um serviço de recuperação para vítimas de ataques de ransomware, enquanto as evidências indicam que ela pode ser a responsável pelos ataques ou uma afiliada. A entidade entra em contato com as vítimas antes que os ataques se tornem públicos e oferece fornecer chaves de descriptografia e excluir os dados roubados em troca de valores financeiros.
A equipe de pesquisa e inteligência da GuidePoint Security, conhecida pela sigla GRIT, descobriu a atividade depois de responder a vários ataques recentes de ransomware cujas vítimas receberam mensagens da Ransom Busters. O conhecimento da entidade sobre os ataques antes de sua divulgação levantou suspeitas imediatas, pois não estava claro como um suposto serviço de recuperação havia obtido informações sobre incidentes não divulgados.
Alegação de acesso às chaves de criptografia e aos dados
A Ransom Busters alegou ter explorado vulnerabilidades em painéis administrativos usados por operações de ransomware como serviço, ou RaaS, o que teria permitido acessar as chaves de criptografia e os dados roubados das vítimas. A entidade solicitou valores entre 20 mil e 60 mil dólares para excluir os dados dos servidores das operações de ransomware, incluindo servidores associados aos grupos DragonForce, Settra e Anubis.
No entanto, a GRIT vinculou dois incidentes nos quais surgiram indicadores técnicos e operacionais idênticos. Em ambos os casos, os invasores usaram as mesmas ferramentas, incluindo o SoftPerfect Network Scanner, o s5cmd e a ferramenta de monitoramento remoto Remotely. Eles também criaram uma conta local de acesso persistente usando a senha Numlock!123 e adotaram o mesmo nome de host controlado pelos invasores: DESKTOP-BBETH6K.
Por que essa evolução é importante?
A GRIT afirma, com confiança moderada, que a atividade sobreposta em várias operações de RaaS indica a existência de um único parceiro que explora seu acesso aos ataques das quadrilhas para roubar pagamentos adicionais fora dos acordos habituais de divisão de receitas. Até o momento, a empresa não viu nenhuma vítima pagar à Ransom Busters e orientou as vítimas a não efetuarem pagamentos à entidade. Em um dos casos, a vítima pagou, em vez disso, à operação de ransomware responsável pelo ataque.
A Coveware, especializada na negociação de ataques de ransomware, confirmou ao BleepingComputer que lidou recentemente com pelo menos um incidente no qual a própria entidade, ou um indivíduo associado a ela, entrou em contato com uma vítima alegando possuir a chave de descriptografia e os dados roubados. A Coveware afirmou ter observado corretores semelhantes com outros nomes desde 2024, mas a diferença, neste caso, é que a Ransom Busters entrou em contato sobre incidentes que ainda não haviam sido divulgados.
Essa intervenção aumenta os riscos para as vítimas, pois pagar o resgate ao operador principal pode não garantir que todas as partes que possuem uma cópia dos dados se comprometam a não vazá-los. Até o momento, a GRIT não encontrou evidências de publicação dos dados fora do ambiente das operações de RaaS, e os dados de uma das vítimas também não foram publicados no site de vazamentos da operação de ransomware. A Coveware considera que a redução da confiança entre operadores de ransomware e seus parceiros pode levar mais afiliados a tentar obter lucros independentes.