Wprowadzenie do problemu / definicja
Na rynku cyberprzestępczym pojawił się kolejny model nadużycia zaufania ofiar ransomware. Podmiot występujący jako rzekoma firma odzyskująca dane po incydencie może w rzeczywistości być powiązany z samym atakiem i wykorzystywać chaos operacyjny po stronie poszkodowanej organizacji.
W analizowanym przypadku grupa działająca pod nazwą „Ransom Busters” kontaktowała się z ofiarami jeszcze przed publicznym ujawnieniem incydentu. Oferowała dostęp do kluczy deszyfrujących oraz możliwość usunięcia wykradzionych danych w zamian za opłatę, budując wrażenie legalnej usługi recovery.
W skrócie
Schemat działania polegał na podszywaniu się pod usługę pomocy po ataku ransomware i nakłanianiu ofiar do przekazania pieniędzy poza standardowym kanałem negocjacji. Według ustaleń badaczy „Ransom Busters” miało proponować usunięcie skradzionych danych z infrastruktury grup ransomware oraz dostarczenie kluczy deszyfrujących za kwoty od 20 tys. do 60 tys. dolarów.
Analiza dwóch incydentów wskazuje jednak, że nie chodziło o niezależną firmę pomocową. Najbardziej prawdopodobny scenariusz zakłada, że za kontaktem stał ten sam afiliant ransomware odpowiedzialny za włamanie, który próbował przejąć płatność dla siebie z pominięciem operatora programu ransomware-as-a-service.
Kontekst / historia
Model ransomware-as-a-service od lat opiera się na podziale ról między operatorów platformy a afiliantów odpowiedzialnych za uzyskanie dostępu do środowiska ofiary, poruszanie się po sieci, eksfiltrację danych i wdrożenie szyfrowania. Relacje między tymi podmiotami mają charakter czysto transakcyjny, dlatego każdy mechanizm pozwalający afiliantowi zwiększyć zysk kosztem operatora może szybko zostać zaadaptowany.
W przeszłości obserwowano już pośredników kontaktujących się z ofiarami po ujawnieniu incydentu i oferujących „pomoc” w odszyfrowaniu danych. Nowość w tym przypadku polega na tym, że kontakt następował jeszcze przed publikacją ataku, co sugeruje bezpośredni dostęp do informacji operacyjnych o incydencie. To istotnie wzmacnia hipotezę, że nadawca komunikacji był aktywnym uczestnikiem ataku lub dysponował bezpośrednim dostępem do danych skradzionych podczas operacji.
Analiza techniczna
Z perspektywy technicznej kluczowe znaczenie ma korelacja artefaktów pomiędzy badanymi incydentami. W obu przypadkach zaobserwowano użycie tych samych narzędzi, w tym SoftPerfect Network Scanner, s5cmd oraz narzędzia zdalnego zarządzania Remotely. Taki zestaw wskazuje na typowy łańcuch działań obejmujący rozpoznanie środowiska, operacje na zasobach chmurowych lub magazynach obiektowych oraz utrwalanie dostępu.
Badacze odnotowali również powtarzalne techniki operacyjne. Wśród nich znalazło się tworzenie lokalnego konta backdoor z hasłem „Numlock!123” oraz wykorzystanie tego samego hosta kontrolowanego przez atakującego, identyfikowanego jako „DESKTOP-BBETH6K”. Powtarzalność takich elementów ma duże znaczenie atrybucyjne, ponieważ wskazuje na wspólnego operatora albo bardzo spójny zestaw procedur używany przez tę samą jednostkę wykonawczą.
Według analiz zbieżności aktywności obejmowały wiele operacji RaaS, a „Ransom Busters” miało deklarować możliwość usunięcia danych między innymi z serwerów powiązanych z rodzinami DragonForce, Settra i Anubis. Z technicznego punktu widzenia może to oznaczać, że afiliant posiadał realny dostęp do paneli, repozytoriów danych lub kanałów wymiany informacji wykorzystywanych w kampaniach wymuszeniowych. Nie dowodzi to jednak automatycznie pełnej kontroli nad infrastrukturą operatora, lecz raczej dostępu do danych dotyczących własnych ofiar.
Najbardziej niepokojącym aspektem kampanii pozostaje warstwa socjotechniczna. Atakujący nie ogranicza się do szyfrowania i wycieku danych, ale tworzy dodatkową narrację „ratunkową”, w której przedstawia się jako podmiot pomagający organizacji wyjść z kryzysu. Taki mechanizm może skutecznie omijać procedury kryzysowe, zwłaszcza gdy komunikacja trafia bezpośrednio do kadry zarządzającej lub zespołów operacyjnych działających pod presją czasu.
Konsekwencje / ryzyko
Dla ofiar oznacza to wzrost ryzyka na kilku poziomach. Po pierwsze, organizacja może zapłacić niewłaściwemu podmiotowi i nie uzyskać ani klucza deszyfrującego, ani gwarancji nieujawnienia danych. Po drugie, nawet jeśli równolegle trwają negocjacje z właściwą grupą ransomware, pojawia się problem wielostronnego dostępu do skradzionych informacji.
Po trzecie, incydent znacząco komplikuje proces reagowania i atrybucji. Zespół IR może mieć do czynienia nie z jednym przeciwnikiem, lecz z operatorem ransomware, afiliantem oraz dodatkowym pośrednikiem podszywającym się pod recovery service. W praktyce zwiększa to chaos decyzyjny, wydłuża czas analizy i utrudnia ocenę, kto faktycznie kontroluje klucze, infrastrukturę publikacji danych oraz kanały kontaktu.
Taki model może również stać się trwałym trendem w ekosystemie RaaS. Jeśli afilianci uznają, że bardziej opłaca się przejmować płatności bez dzielenia się zyskiem z operatorem, rynek ransomware może wejść w fazę jeszcze większej fragmentacji i nieprzewidywalności. Dla obrońców oznacza to dalszy spadek wiarygodności wszelkich zapewnień składanych przez strony przestępcze podczas negocjacji.
Rekomendacje
Organizacje powinny traktować każdą niezamówioną ofertę „odzyskania danych”, „pozyskania klucza” lub „usunięcia wycieku” jako potencjalny element operacji przeciwnika. Komunikacja od rzekomych firm recovery nie może być uznawana za wiarygodną bez pełnej walidacji prawnej, technicznej i operacyjnej.
- ustanowić jednoznaczny proces obsługi kontaktu od podmiotów trzecich podczas incydentu ransomware,
- centralizować negocjacje i komunikację wyłącznie przez wyznaczony zespół IR, doradcę prawnego oraz kadrę decyzyjną,
- weryfikować, czy nadawca wiadomości posiada informacje możliwe do zdobycia wyłącznie przez sprawcę incydentu,
- korelować treść wiadomości z telemetrią z EDR, SIEM, logami VPN, systemami IAM i aktywnością w poczcie,
- identyfikować i blokować ślady utrwalania dostępu, w tym nieautoryzowane konta lokalne, narzędzia RMM i niestandardowe hosty operatora,
- priorytetowo analizować ścieżki eksfiltracji danych oraz ślady użycia narzędzi do skanowania sieci i transferu danych,
- nie zakładać, że zapłata jednej stronie zamknie ryzyko wycieku lub przywróci dostęp do zaszyfrowanych zasobów,
- utrzymywać aktualne kopie zapasowe offline i regularnie testować procedury odtworzeniowe,
- ćwiczyć scenariusze decyzyjne obejmujące wielostronny szantaż i podszywanie się pod firmy odzyskujące dane.
Dodatkowo zespoły bezpieczeństwa powinny rozszerzyć playbooki ransomware o scenariusz „fałszywego pośrednika”. Taki wariant powinien obejmować analizę metadanych wiadomości, weryfikację domen i kont używanych do kontaktu oraz ocenę, czy komunikacja może pochodzić od afilianta próbującego ominąć operatora RaaS.
Podsumowanie
Sprawa „Ransom Busters” pokazuje ewolucję ransomware z klasycznego modelu wymuszenia do bardziej złożonego, wielowarstwowego oszustwa łączącego intruzję, eksfiltrację danych i socjotechnikę kryzysową. Najważniejszy wniosek jest prosty: podmiot deklarujący pomoc po ataku może być w rzeczywistości jego sprawcą lub współsprawcą.
Dla organizacji oznacza to konieczność jeszcze bardziej rygorystycznej walidacji kontaktów, centralizacji negocjacji oraz oparcia decyzji wyłącznie na twardych dowodach technicznych i sprawdzonych procedurach reagowania. W realiach współczesnych kampanii ransomware zaufanie do niezweryfikowanych pośredników staje się dodatkowym wektorem ryzyka.