Wprowadzenie do problemu / definicja
Na rynku incydentów ransomware pojawił się nowy i szczególnie niebezpieczny model oszustwa. Podmiot występujący jako firma pomagająca ofiarom odzyskać dane i usunąć wykradzione pliki w rzeczywistości może być powiązany z samym atakiem, a jego celem jest przejęcie płatności od poszkodowanej organizacji.
Przypadek „Ransom Busters” pokazuje, że cyberprzestępcy rozwijają schematy wymuszeń poza klasyczny model okupu za odszyfrowanie danych. Zamiast jednego kanału szantażu pojawia się dodatkowa warstwa manipulacji, w której rzekoma usługa ratunkowa staje się elementem przestępczej operacji.
W skrócie
Badacze zaobserwowali działalność podmiotu przedstawiającego się jako „Ransom Busters”, który kontaktował się z ofiarami ransomware jeszcze przed publicznym ujawnieniem incydentów. Nadawca twierdził, że posiada dostęp do kluczy deszyfrujących i skradzionych danych oraz może pomóc w ich odzyskaniu lub usunięciu za opłatą od 20 do 60 tys. dolarów.
Analiza incydentów wskazuje jednak, że nie chodzi o niezależną firmę odzyskującą dane, lecz najprawdopodobniej o afilianta ransomware działającego w ramach wielu programów RaaS. Taki schemat może oznaczać próbę uzyskania dodatkowego zysku z tego samego włamania.
Kontekst / historia
Model Ransomware-as-a-Service od lat opiera się na podziale ról między operatorami platformy a afiliantami odpowiedzialnymi za uzyskanie dostępu do środowiska ofiary, ruch boczny, eksfiltrację danych i wdrożenie szyfrowania. Standardowo ofiara jest zmuszana do zapłaty za odszyfrowanie systemów oraz za niepublikowanie skradzionych informacji.
W opisywanym przypadku doszło jednak do odejścia od klasycznego scenariusza. Organizacje zaczęły otrzymywać wiadomości od „Ransom Busters LTD”, kierowane do kadry zarządzającej lub działów IT. Nadawca deklarował, że infiltruje infrastrukturę grup cyberprzestępczych, przejmuje dostęp do ich paneli administracyjnych i może pomóc ofiarom odzyskać pliki lub usunąć dane z serwerów przestępców.
Najbardziej alarmujący był moment nawiązania kontaktu. Wiadomości trafiały do ofiar zanim incydent stał się publicznie znany, co sugeruje wcześniejszą wiedzę o ataku i bezpośredni związek z intruzją.
Analiza techniczna
Z technicznego punktu widzenia kluczowe znaczenie mają korelacje między właściwym atakiem ransomware a późniejszym kontaktem ze strony rzekomej firmy ratunkowej. W analizowanych incydentach odnotowano powtarzalne artefakty wskazujące na wspólnego operatora albo bardzo wąską grupę operatorów.
W dwóch badanych środowiskach pojawiły się te same narzędzia używane przez napastnika: SoftPerfect Network Scanner do rozpoznania sieci, s5cmd do eksfiltracji danych do chmury oraz narzędzie klasy RMM wdrożone przy użyciu skryptu PowerShell. Sam zestaw narzędzi nie stanowi jeszcze jednoznacznego dowodu, ale powtarzalność całego łańcucha działań znacząco wzmacnia hipotezę o wspólnym sprawcy.
Dodatkowo w obu przypadkach utworzono lokalne konto backdoor z identycznym hasłem oraz odnotowano ten sam host kontrolowany przez napastnika. Tego typu szczegóły operacyjne należą do najmocniejszych wskaźników korelacyjnych w dochodzeniach DFIR, ponieważ rzadko są dziełem przypadku.
Szczególnie istotny jest również sam mechanizm oszustwa. „Ransom Busters” twierdził, że przejął kontrolę nad panelami administracyjnymi wybranych operacji RaaS i może usuwać dane z serwerów grup takich jak DragonForce, Setra czy Anubis. W praktyce taka narracja może służyć wyłącznie uwiarygodnieniu żądania płatności. Jeśli ten sam podmiot odpowiada zarówno za intruzję, jak i późniejszy kontakt, to rzekoma usługa odzyskiwania danych jest po prostu alternatywną ścieżką wymuszenia.
Konsekwencje / ryzyko
Dla ofiar oznacza to wzrost złożoności negocjacji i istotne pogorszenie sytuacji ryzyka. W klasycznym modelu organizacja mierzy się z jednym przeciwnikiem lub jedną strukturą przestępczą. Tutaj pojawia się dodatkowy aktor, który może mieć dostęp do tych samych danych, ale działa poza jakimikolwiek deklarowanymi ustaleniami w ekosystemie ransomware.
- możliwość podwójnego lub wielokrotnego wymuszenia,
- brak gwarancji usunięcia danych po dokonaniu płatności,
- utrudniona ocena, kto faktycznie posiada dostęp do wykradzionych informacji,
- zwiększone ryzyko ponownego szantażu po zakończeniu negocjacji,
- silniejsza presja psychologiczna na kierownictwo organizacji.
Z perspektywy obrońców szczególnie niebezpieczne jest to, że kontakt z ofiarą następuje na etapie niepublicznym. Oznacza to, że przeciwnik może mieć bieżący wgląd w przebieg incydentu i próbować manipulować procesem reagowania. Nawet zapłata głównej grupie ransomware nie daje więc pewności, że inny podmiot posiadający kopię danych nie wykorzysta ich ponownie.
Rekomendacje
Organizacje powinny traktować każdą niezamówioną ofertę pomocy przy odzyskiwaniu danych po ataku ransomware jako potencjalny element operacji przestępczej. W praktyce warto wdrożyć następujące działania:
- nie prowadzić samodzielnych negocjacji z niezweryfikowanymi podmiotami kontaktującymi się po incydencie,
- natychmiast przekazać taką komunikację do zespołu IR, kancelarii obsługującej incydent oraz, jeśli to zasadne, do organów ścigania,
- zachować pełne artefakty wiadomości, w tym nagłówki e-mail, metadane i oś czasu kontaktu,
- korelować komunikację z ustaleniami DFIR dotyczącymi TTP, narzędzi, kont lokalnych, nazw hostów i kanałów eksfiltracji,
- przyjąć założenie, że dane mogły zostać skopiowane wielokrotnie i żadna płatność nie daje gwarancji ich usunięcia,
- wzmocnić monitoring aktywności po incydencie, szczególnie pod kątem ponownego użycia poświadczeń, pozostałości narzędzi RMM i artefaktów backdoorów,
- zaktualizować procedury reagowania na ransomware o scenariusz obejmujący fałszywych pośredników lub rzekome firmy odzyskujące dane.
Długoterminowo kluczowe pozostają segmentacja sieci, ochrona kont uprzywilejowanych, ścisłe zasady użycia narzędzi zdalnego zarządzania, monitoring eksfiltracji do usług chmurowych oraz regularne testy gotowości zespołów reagowania.
Podsumowanie
Sprawa „Ransom Busters” pokazuje ewolucję modelu wymuszeń w ekosystemie ransomware. Zamiast klasycznego podziału na operatora i ofiarę pojawia się dodatkowa warstwa oszustwa, w której afiliant może podszywać się pod podmiot ratunkowy, by przejąć płatność i zwiększyć zysk z jednego włamania.
Dla organizacji oznacza to konieczność jeszcze większej ostrożności wobec wszelkich nieautoryzowanych ofert pomocy oraz ścisłej współpracy z doświadczonymi zespołami DFIR. Najważniejszy wniosek pozostaje niezmienny: w incydentach ransomware nie należy zakładać, że jakikolwiek podmiot przestępczy będzie działał zgodnie z deklaracjami.
Źródła
- BleepingComputer — https://www.bleepingcomputer.com/news/security/rogue-ransomware-affiliate-ransom-busters-poses-as-recovery-firm/
- GuidePoint Security GRIT — Beware the Ransomware Rescuer: Ransom Busters — https://www.guidepointsecurity.com/blog/beware-ransom-busters/