Eine neue Betrugsmasche sorgt laut dem Guidepoint Research and Intelligence Team (GRIT) für Aufsehen – ein vermeintlicher Drittanbieter namens "Ransom Busters" bietet Hilfe bei der Wiederherstellung nach einem Ransomware-Angriff an. Das Problem: Die Angriffe wurden zu diesem Zeitpunkt noch nicht öffentlich gemacht. Zwar sei es üblich, dass Cybersicherheitsfirmen Ransomware-Opfern ihre Beratungs- und Wiederherstellungsdienste anbieten, doch der Vorfall sei bis dann bereits publik.

Mehrere Organisationen, die Opfer von Ransomware-Angriffen im Zusammenhang mit den Banden Dragonforce, Settra und Anubis geworden waren, erhielten laut GRIT eine E-Mail vom angeblichen Sicherheitsdienstleister. Darin behauptete der Absender, dass er die Ransomware-Banden selbst gehackt hätte und so die gestohlenen Daten auf den Servern der Kriminellen entdeckte. Gegen eine Zahlung von 20'000 bis 60'000 US-Dollar sei Ransom Busters in der Lage, diese geklauten Daten zu löschen. Zudem könne man den Opfern bei der Wiederherstellung ihrer verschlüsselten Daten helfen.

Die Untersuchung von zwei Fällen zeigte laut Guidepoint mehrere technische Gemeinsamkeiten. In beiden Fällen hätten die Angreifer unter anderem den Softperfect Network Scanner zur Aufklärung, s5cmd zum Hochladen von Daten in den AWS-Cloud-Speicher und das Remote-Management-Tool Remotely verwendet, das über PowerShell installiert wurde. Auffällig sei zudem, dass die Angreifer in beiden Netzwerken ein lokales Hintertürkonto mit demselben Passwort (Numlock!123) angelegt hatten. Auch derselbe Hostname (DESKTOP-BBETH6K) sei bei beiden aufgetaucht.

Nach Einschätzung des Forschungsteams sprechen diese Überschneidungen dafür, dass hinter Ransom Busters nicht etwa ein unabhängiger Sicherheitsdienstleister steckt, sondern dass es sich um "einen Ransomware-Partner handelt, der für mehrere Ransomware-Operationen tätig ist". Der Akteur greife offenbar lediglich auf eine alternative Erpressungsmethode zurück, indem er seine Ransomware-Partner hintergeht, die Opfer direkt kontaktiert und ihnen gegen eine Zahlung die angeblich wohlwollende Löschung und Herausgabe der gestohlenen Daten anbietet.