Ransomware-affiliate doet zich voor als hersteldienst en vraagt tot 60.000 dollar

Ransom Busters, een partij die zich bij ransomware-slachtoffers meldt als hersteldienst, is vermoedelijk de aanvaller zelf, concludeert onderzoeksteam GRIT van GuidePoint Security in een analyse van 18 augustus. Voor 20.000 tot 60.000 dollar belooft het de gestolen data te wissen.

De mails kwamen binnen voordat de aanvallen openbaar waren, gericht aan de directeur of de IT-verantwoordelijke. Daarmee ligt er een vraag op tafel die in veel bedrijven nooit is beantwoord: wie praat in de eerste uren na een incident namens het bedrijf, en hoe controleer je of de partij die zich meldt is wie hij zegt te zijn. Zolang dat nergens vastligt, beslist degene die toevallig de mailbox opent.

De mail komt binnen voordat iemand het weet

"Ik ben vertegenwoordiger van een project dat slachtoffers van cyberaanvallen helpt", opent het bericht dat meerdere getroffen organisaties kregen. De afzender claimt al ruim drie jaar in te breken op de servers van criminele groepen, daar data van het slachtoffer te hebben gevonden, en de bestanden terug te kunnen geven en alle kopieën bij de bende te vernietigen. Hij vraagt om contact met de directie of het hoofd IT.

GRIT zag dat gebeuren bij incidenten van de ransomwaregroepen DragonForce, Settra en Anubis. Het gevraagde bedrag liep van 20.000 tot 60.000 dollar. In een van de zaken bevestigde Ransom Busters desgevraagd dat het exact dezelfde dataset had als de aanvaller.

Twee incidenten, hetzelfde gereedschap

Het forensische team van GuidePoint werkte aan twee incidenten waarin Ransom Busters het slachtoffer benaderde. In beide zaken gebruikten de aanvallers dezelfde software: SoftPerfect Network Scanner om het netwerk in kaart te brengen, s5cmd om data naar AWS weg te sluizen en de beheertool Remotely, geïnstalleerd via PowerShell. Ook het achterdeuraccount met het wachtwoord Numlock!123 en de door de aanvaller gebruikte hostnaam DESKTOP-BBETH6K kwamen in allebei de netwerken terug.

Op basis daarvan houdt GRIT het met matige zekerheid op een affiliate: de partner die de aanval uitvoert voor een ransomwaredienst en de opbrengst met de operator deelt. Die zou zijn eigen toegang gebruiken om de losgeldgesprekken van de oorspronkelijke bende naar zichzelf toe te trekken. Het blijft een inschatting en geen bewezen identiteit. GRIT zegt geen slachtoffer te kennen dat Ransom Busters betaalde, en in een van de twee zaken betaalde het slachtoffer de ransomwaregroep zelf, waarna de data niet op de lekpagina verscheen.

Waarom een betaling hierdoor minder oplevert

Ransomware-onderhandelaar Coveware reageerde recent op minstens één incident waarin dezelfde partij of persoon een slachtoffer benaderde. "Deze derde partij benaderde het slachtoffer per e-mail en claimde toegang te hebben tot zowel de decryptiesleutel als de gestolen data", zegt Elizabeth Cookson, Senior Director of IR bij Coveware. Het bedrijf ziet sinds 2024 vergelijkbare tussenpersonen onder andere namen, maar noemt bemoeienis met een incident dat nog niet openbaar is een stuk zorgelijker dan de bekende partijen die pas aankloppen als een aanval in het nieuws staat.

Dat raakt de kern van elke onderhandeling. Een vast onderdeel daarvan is de belofte van de aanvaller om gestolen data te wissen zodra er is betaald. Houden zowel de ransomwaregroep als Ransom Busters een kopie, dan is er geen redelijke zekerheid dat alle kopieën verdwijnen, zegt GuidePoint-consultant Justin Timothy tegen Dark Reading. Een betaling die publicatie moet voorkomen is dan praktisch waardeloos, en volgens Coveware groeit het risico voor het slachtoffer juist doordat er een partij meekijkt die zich aan geen enkele afspraak gebonden voelt.

Hoe je een hersteldienst controleert

Een legitiem incident-responsebedrijf gedraagt zich in de eerste contactmomenten herkenbaar anders dan een afperser: het meldt zich vanaf een eigen bedrijfsdomein, wil eerst weten wat er gebeurd is en noemt pas daarna een bedrag. Timothy noemt vier signalen die meteen argwaan horen te wekken.

• Contact terwijl het incident nog niet openbaar is. Herstelbedrijven bieden hun diensten normaal pas aan nadat een aanval bekend is. Wie eerder mailt, weet iets wat hij niet kan weten.
• Een prijs nog vóór het eerste inventarisatiegesprek. Een serieuze partij offreert niet voordat ze de omvang van het incident kent.
• Een mailadres zonder verifieerbaar bedrijfsdomein. Ransom Busters gebruikte een privacygericht mailadres zonder eigen domein.
• Een verzoek om in bitcoin te betalen. Geen geloofwaardige securityleverancier vraagt daarom, aldus Timothy.

Coveware verwacht meer van dit soort tussenkomst, omdat het onderlinge wantrouwen binnen ransomwarediensten toeneemt en affiliates naar inkomsten zoeken buiten de verdeelsleutel met de operator om. Bij Medusa, dat sinds juni 2021 meer dan 500 organisaties trof en bij aanvallers die zich via Microsoft Teams voordoen als de eigen IT-helpdesk ging het nog om het buiten de deur houden van de aanval zelf. Hier verschuift het naar de nasleep: elke stem die zich na een incident meldt, kan de aanvaller zijn die zich een tweede keer wil laten betalen.