Wprowadzenie do problemu / definicja
Na krajobrazie cyberzagrożeń pojawił się nowy wariant wtórnej ekstorsji powiązanej z ransomware. Podmiot przedstawiający się jako „Ransom Busters” kontaktuje się z organizacjami dotkniętymi incydentem i deklaruje, że włamał się na serwery operatorów ransomware. W zamian za opłatę oferuje usunięcie skradzionych danych, odzyskanie dostępu do plików lub zniszczenie kopii przechowywanych przez przestępców.
Choć przekaz może brzmieć jak oferta ratunkowa, w praktyce chodzi o kolejną formę wymuszenia. Z perspektywy ofiary nie jest to pomoc po incydencie, lecz próba dodatkowej monetyzacji tego samego ataku.
W skrócie
„Ransom Busters” ma żądać od ofiar od 20 tys. do 60 tys. dolarów za rzekome usunięcie wykradzionych danych z infrastruktury grup ransomware. Analiza incydentów sugeruje jednak, że nie musi chodzić o niezależny podmiot, ale o operatora lub afilianta powiązanego z wcześniejszą kompromitacją.
- atakujący zmienia narrację z klasycznego okupu na ofertę „pomocy”,
- techniczne artefakty wskazują na podobieństwa między różnymi incydentami,
- zapłata nie daje gwarancji usunięcia danych ani zakończenia ryzyka,
- organizacje mogą paść ofiarą wielokrotnego wymuszenia w ramach jednego incydentu.
Kontekst / historia
Model ransomware od lat przechodzi ewolucję. Początkowo ataki koncentrowały się głównie na szyfrowaniu plików i żądaniu okupu za klucz deszyfrujący. Z czasem przestępcy zaczęli eksfiltrować dane i grozić ich publikacją, co dało początek podwójnej ekstorsji. Obecnie coraz częściej obserwujemy model wielowarstwowy, w którym ten sam incydent staje się źródłem kolejnych żądań finansowych.
W tym schemacie istotną rolę odgrywają afilianci działający w ekosystemie ransomware-as-a-service. To oni często odpowiadają za uzyskanie dostępu do środowiska ofiary, rekonesans, ruch boczny, instalację narzędzi oraz eksfiltrację danych. Przypadek „Ransom Busters” pokazuje, że ten sam uczestnik łańcucha może później wrócić do ofiary pod nową tożsamością i zaoferować jej pozorne „rozwiązanie” problemu.
Według obserwacji badaczy podobny schemat miał pojawiać się w incydentach związanych z różnymi markami ransomware, w tym DragonForce, Settra i Anubis. To ważny sygnał, że współczesny rynek ransomware staje się coraz bardziej rozproszony, ale jednocześnie bardziej agresywny w maksymalizowaniu zysku z jednego włamania.
Analiza techniczna
Analiza dwóch incydentów wskazała na wyraźne nakładanie się wskaźników operacyjnych. W obu przypadkach zaobserwowano użycie tych samych lub bardzo podobnych narzędzi do rekonesansu i eksfiltracji danych. Wśród nich znalazły się SoftPerfect Network Scanner do rozpoznania sieci, s5cmd do transferu danych do chmury z wykorzystaniem AWS oraz oprogramowanie klasy RMM instalowane przez skrypty PowerShell.
Najbardziej niepokojące są jednak powtarzalne artefakty. W obu włamaniach odnotowano utworzenie lokalnego konta backdoor z hasłem „Numlock!123”, a także obecność tego samego hosta kontrolowanego przez atakującego: DESKTOP-BBETH6K. Taka zgodność sugeruje wspólnego operatora lub bardzo bliskie powiązanie między podmiotem żądającym okupu a wcześniejszym etapem kompromitacji.
Z punktu widzenia technik, taktyk i procedur taki model jest spójny. Jeśli afiliant miał już dostęp do środowiska lub danych, może później wykorzystać tę wiedzę do wtórnego szantażu. Zamiast żądać opłaty za odszyfrowanie, proponuje „wyczyszczenie” danych lub ich rzekome usunięcie z infrastruktury grupy ransomware. To nadal opiera się na tej samej presji: strachu przed ujawnieniem danych, przestojem operacyjnym i skutkami regulacyjnymi.
Taki scenariusz ma również wymiar operacyjnie niebezpieczny. Jeżeli organizacja uzna, że kontaktuje się z nią niezależny pośrednik, może błędnie odtworzyć przebieg ataku, a w efekcie pominąć część śladów, zaniżyć skalę kompromitacji albo podjąć niewłaściwe decyzje negocjacyjne.
Konsekwencje / ryzyko
Największe ryzyko polega na tym, że ofiara może zapłacić przestępcy, który nie ma ani realnej kontroli nad wszystkimi kopiami danych, ani zamiaru ich usuwać. Nawet jeśli dysponuje dostępem do części infrastruktury, dane mogły już zostać skopiowane, rozproszone, odsprzedane lub przekazane innym grupom.
Drugim problemem jest zaburzenie procesu reagowania na incydent. Każda dodatkowa komunikacja z takim aktorem może ujawnić informacje o stanie organizacji, poziomie paniki, gotowości do negocjacji czy działaniach prowadzonych przez zespół IR. To zwiększa ryzyko kolejnych żądań lub dalszego szantażu.
Nie można też pomijać aspektu prawnego i reputacyjnego. Płatność na rzecz niezweryfikowanego podmiotu powiązanego z cyberprzestępczością może prowadzić do poważnych konsekwencji regulacyjnych, operacyjnych i wizerunkowych. W praktyce organizacja może zostać wykorzystana finansowo wielokrotnie w ramach jednego incydentu.
- brak gwarancji usunięcia danych,
- wysokie ryzyko ponownego szantażu,
- utrata integralności dochodzenia cyfrowego,
- większa ekspozycja na naruszenia zgodności i szkody reputacyjne.
Rekomendacje
Każdą niezamówioną ofertę „pomocy” po ataku ransomware należy traktować jako potencjalny element aktywnej operacji przestępczej. Organizacja nie powinna prowadzić samodzielnych negocjacji przez personel techniczny lub operacyjny bez udziału zespołu reagowania na incydenty, działu prawnego i kierownictwa bezpieczeństwa.
Kluczowe jest zabezpieczenie materiału dowodowego, w tym wiadomości e-mail, nagłówków, logów uwierzytelniania, telemetrii EDR, historii PowerShell, artefaktów RMM oraz śladów transferu do usług chmurowych. Warto szczególnie sprawdzać niestandardowe konta lokalne, powtarzalne hasła backdoor i aktywność narzędzi używanych do rekonesansu lub eksfiltracji.
- segmentować sieć i ograniczać ruch boczny,
- monitorować użycie PowerShell oraz legalnych narzędzi administracyjnych,
- kontrolować i audytować konta uprzywilejowane oraz lokalne,
- wymuszać MFA odporne na phishing,
- szybko rotować poświadczenia po wykryciu kompromitacji,
- izolować systemy z oznakami naruszenia,
- rozszerzyć playbooki IR o scenariusze wtórnej ekstorsji.
Z perspektywy obrony warto przyjąć założenie, że jeśli dane zostały wyeksfiltrowane, mogły już zostać skopiowane wielokrotnie. Dlatego działania naprawcze powinny obejmować nie tylko przywrócenie dostępności systemów, ale także ocenę skali wycieku, obowiązków notyfikacyjnych oraz długoterminowe monitorowanie nadużycia danych.
Podsumowanie
Przypadek „Ransom Busters” pokazuje, że współczesne operacje ransomware wykraczają daleko poza szyfrowanie plików i jednorazową notę okupową. Coraz częściej obejmują rozbudowaną eksfiltrację, wtórne wymuszenia i podszywanie się pod podmioty oferujące pomoc. To szczególnie niebezpieczne, ponieważ obniża czujność ofiary i może zniekształcić obraz całego incydentu.
Dla organizacji najważniejszy wniosek jest prosty: nie należy ufać obietnicom przestępców dotyczącym usunięcia danych czy zakończenia sprawy po wpłacie. Priorytetem powinny być rzetelna analiza śledcza, pełne opanowanie incydentu, kontrola nad poświadczeniami oraz przygotowanie na długofalowe skutki wycieku danych.