Ransom Busters Behauptet Ransomware Server Gehackt zu Haben

Was ist passiert

Mit einer ungewöhnlichen Taktik in der Welt der Cyberkriminalität versendet eine Gruppe, die sich "Ransom Busters" nennt, proaktiv E-Mails an Unternehmen, die Opfer von Ransomware geworden sind. In diesen Nachrichten behauptet die Gruppe, die Server von Ransomware-Gangs infiltriert zu haben und bietet an, die gestohlenen Daten des Unternehmens gegen eine Gebühr zu löschen. Die geforderten Gebühren für diesen "Service" liegen zwischen 20.000 und 60.000 US-Dollar.

Diese Situation wurde in einem Bericht des Cybersicherheitsunternehmens GuidePoint Research and Intelligence Team (GRIT) detailliert beschrieben. "In diesen Nachrichten bietet der Dritte dem Opfer an, sich von einem Ransomware-Angriff zu erholen. Dies fällt sofort als anomal auf", erklärte GRIT. Typischerweise kontaktieren Cybersicherheitsfirmen Opfer, um Beratungs- oder Wiederherstellungsdienste anzubieten, erst nachdem ein Angriff öffentlich bekannt geworden ist. Der proaktive und heimliche Ansatz von Ransom Busters deutet jedoch darauf hin, dass es sich nicht um eine legitime Operation handelt.

GRIT gab an, auf mehrere Ransomware-Vorfälle mit diesem Akteur reagiert zu haben, bei dem es sich vermutlich um einen Affiliate handelt, der für mehrere Ransomware-as-a-Service (RaaS)-Operationen tätig ist. In E-Mails an die Opfer bittet Ransom Busters um Kontakt mit deren CEO oder IT-Leitung. Sie behaupten in ihren Nachrichten, Schwachstellen in den von RaaS-Gruppen unterhaltenen Administrations-Panels gefunden und diese Server seit über drei Jahren gehackt zu haben.

Die erbeuteten Daten

Laut der Behauptung von Ransom Busters haben sie auf einem der kürzlich zugegriffenen Server Daten gefunden, die vom Opferunternehmen gestohlen wurden. Die Gruppe verlangt eine Zahlung für die vollständige Löschung dieser Daten, einschließlich aller von der Ransomware-Gang gehaltenen Backups. Dies eröffnet eine zweite Erpressungsmöglichkeit für die Opferunternehmen. Nachdem sie zunächst mit einer Lösegeldforderung der Ransomware-Gang für ihre verschlüsselten Dateien konfrontiert wurden, sehen sich die Unternehmen nun mit einer weiteren Zahlungsaufforderung und dem Versprechen der vollständigen Datenlöschung konfrontiert. Experten warnen jedoch eindringlich, dass dieses Versprechen keine Garantien bietet. Obwohl keine spezifischen Informationen über den Inhalt oder das Volumen der gestohlenen Daten gegeben werden, ist das Ziel des Bedrohungsakteurs, aus der Angst des Opfers vor einem Datenleck zusätzlichen Profit zu schlagen.

Wie der Angriff ablief

Die Analyse von GuidePoint untermauert den Verdacht, dass hinter der Identität von Ransom Busters ein einziger Operator steckt, höchstwahrscheinlich ein Ransomware-Affiliate. Forscher, die zwei separate Vorfälle untersuchten, bei denen Ransom Busters Opfer kontaktierte, fanden in beiden Angriffen "frappierende" Ähnlichkeiten. Diese technischen Beweise deuten darauf hin, dass das Ereignis nicht von einer unabhängigen "White-Hat"-Hackergruppe durchgeführt wurde, sondern eine Täuschung ist, die vom selben Angreifer inszeniert wurde.

Zu den identifizierten gemeinsamen Techniken und Werkzeugen gehören:

• SoftPerfect Network Scanner: Der Angreifer nutzte dieses Tool zur internen Aufklärung, um andere Systeme im Unternehmensnetzwerk zu entdecken.
• s5cmd: Dieses Befehlszeilentool wurde bevorzugt, um gestohlene Daten über AWS in Cloud-Speicher zu exfiltrieren.
• Remotely: Dieses Remote-Monitoring- und Management-Tool (RMM), das über ein PowerShell-Skript installiert wurde, ermöglichte dem Angreifer einen dauerhaften Zugriff auf das System.

Zusätzlich zu diesen Werkzeugen wurde beobachtet, dass der Angreifer in beiden Vorfällen ein lokales Backdoor-Konto mit dem Passwort "Numlock!123" erstellte und derselbe vom Angreifer kontrollierte Hostname, "DESKTOP-BBETH6K", entdeckt wurde. Diese Übereinstimmungen stützen nachdrücklich die Theorie, dass die Aktivität das Werk eines der Ransomware-Affiliates und nicht eines Dritten ist.

Wer ist betroffen

GuidePoint bemerkte, dass dieser Modus Operandi bei der Reaktion auf Ransomware-Vorfälle beobachtet wurde, an denen Bedrohungsgruppen wie DragonForce, Settra und Anubis beteiligt waren. Dies legt nahe, dass Ransom Busters ein Affiliate sein könnte, der mit diesen speziellen Gruppen zusammenarbeitet oder auf irgendeine Weise Zugang zu deren Infrastruktur hat. Daher könnte jede Organisation jeder Größe oder Branche, die von diesen Gruppen ins Visier genommen wird, potenziell ähnliche betrügerische Angebote von Ransom Busters erhalten.

Was Sie tun können

Experten betonen, dass Opfer von Ransomware äußerst vorsichtig mit Angeboten von Akteuren wie Ransom Busters sein müssen. Hier sind die zu ergreifenden Maßnahmen:

• Behandeln Sie das Angebot als Betrug: Solche Angebote sind höchstwahrscheinlich eine Taktik der ursprünglichen Angreifer, um mehr Geld zu erpressen. Diesen Gruppen, die sich als "wohltätige Retter" ausgeben, sollte unter keinen Umständen vertraut werden.
• Zahlen Sie nicht: Weder die Zahlung der ursprünglichen Lösegeldforderung noch die Gebühr für das Versprechen der Datenlöschung garantiert, dass Ihre Daten gelöscht oder zurückgegeben werden. Die Bezahlung von Kriminellen fördert im Allgemeinen weitere Angriffe und bietet keine Sicherheit.
• Brechen Sie die Kommunikation ab: Wenn Sie eine E-Mail von Ransom Busters oder einer ähnlichen Gruppe erhalten, treten Sie nicht mit ihnen in Kontakt. Jede Form der Kommunikation kann Sie anfällig für weitere Manipulationen machen.
• Holen Sie sich professionelle Hilfe: Wenn Sie von einem Ransomware-Angriff betroffen sind, wenden Sie sich sofort an ein seriöses Unternehmen für Cybersicherheit und Incident Response. Diese Firmen können Ihnen helfen, den Schaden zu bewerten, Ihre Systeme wiederherzustellen und die Strafverfolgungsbehörden zu informieren.

Was die Experten sagen

Justin Timothy, ein Principal Consultant bei GRIT, fasst die Situation klar zusammen: "Die Implikationen für Ransomware-Opfer sind klar: Kriminellen Akteuren kann man nicht trauen, und sie können betrügerische Taktiken anwenden, um noch begrenztere Erpressungszahlungen zu fördern." Timothy fügt hinzu, dass 'Ransom Busters' oder, wahrscheinlicher, der Ransomware-Affiliate, der diese Persona aufrechterhält, gezeigt hat, dass er im Streben nach finanziellem Gewinn sogar seine eigenen kriminellen Partner verraten wird.

GuidePoint stellt außerdem fest, dass die Möglichkeit, dass eine solche Handlung von einer legitimen Organisation durchgeführt wird, äußerst unwahrscheinlich ist, da dies einen Verstoß gegen den US Computer Fraud and Abuse Act darstellen würde. Die rätselhafte Erklärung der Gruppe auf die Frage, warum sie für ihre Hilfe eine Gebühr verlangten – dass "Handeln ohne Entschädigung ihren Zugang zur Infrastruktur des Bedrohungsakteurs gefährden würde" – weckt ebenfalls Misstrauen. Timothys letzte Worte sind eine Warnung: "Die Zahlung an eine kriminelle Partei bietet keine Garantie dafür, dass gestohlene Daten gelöscht werden. Es gibt keine 'Wunderwaffe' zur Behebung von Datenexfiltration, und 'Ransom Busters', die sich als wohltätige Retter ausgeben, sollten als Schwindel behandelt werden."

Quelle

https://thehackernews.com/2026/08/ransom-busters-claims-it-hacked.html