Vermuteter Ransomware-Partner gibt sich als Wiederherstellungsfirma aus

Ein mutmaßlicher Ransomware-Partner gibt sich unter dem Namen Ransom Busters als eigenständige Wiederherstellungsfirma aus.

Das Research and Intelligence Team von GuidePoint Security, kurz GRIT, deckte die Aktivität im Rahmen mehrerer eigener Reaktionen auf Ransomware-Vorfälle auf, bei denen Betroffene E-Mails von Ransom Busters mit Hilfsangeboten erhielten. Verdächtig wirkten die Nachrichten dabei von Anfang an, da sie bereits versendet wurden, bevor die jeweiligen Angriffe öffentlich bekannt waren, was die Frage aufwarf, woher die Absender überhaupt von den Vorfällen wussten. Ransom Busters behauptete, Schwachstellen in den Verwaltungsoberflächen mehrerer Ransomware-as-a-Service-Betreiber ausgenutzt zu haben und dadurch Zugriff auf Verschlüsselungscodes sowie gestohlene Opferdaten zu besitzen. Für Beträge zwischen 20.000 und 60.000 US-Dollar bot die Gruppe an, gestohlene Daten von Servern verschiedener Ransomware-Gruppen zu löschen, darunter DragonForce, Settra und Anubis.

Identische Werkzeuge und Spuren wie bei den ursprünglichen Angriffen

Belege aus zwei konkreten Vorfällen führten GRIT zu der Einschätzung, dass es sich bei Ransom Busters mit mittlerer Zuversicht nicht um eine tatsächliche Wiederherstellungsfirma handelt, sondern um denselben Ransomware-Partner, der auch für die ursprünglichen Angriffe verantwortlich war. In beiden Fällen setzten die Angreifer dieselbe Software ein, darunter den SoftPerfect Network Scanner, das Werkzeug s5cmd sowie die Fernwartungssoftware Remotely, zudem dieselbe Vorgehensweise mit einem lokal angelegten Hintertür-Konto samt dem Passwort Numlock!123 sowie demselben, vom Angreifer kontrollierten Rechnernamen DESKTOP-BBETH6K. GRIT beobachtete zudem überschneidende Aktivität über mehrere unterschiedliche Ransomware-as-a-Service-Betreiber hinweg.

Nach eigenen Angaben hat GRIT bislang keinen Fall beobachtet, in dem ein Opfer tatsächlich an Ransom Busters zahlte, und rät ausdrücklich von einer solchen Zahlung ab. In einem dokumentierten Fall zahlte das betroffene Unternehmen stattdessen an die eigentliche Ransomware-Gruppe hinter dem Angriff. Weder der Name des Opfers noch die gestohlenen Daten wurden anschließend auf der Leak-Website der Gruppe veröffentlicht, auch Hinweise auf eine Veröffentlichung der Daten außerhalb der eigentlichen Ransomware-Infrastruktur durch Ransom Busters selbst fanden die Forscher nicht.

Auch Verhandlungsfirma Coveware bestätigt ähnlichen Fall

Auch das auf Ransomware-Verhandlungen spezialisierte Unternehmen Coveware bestätigte, kürzlich mindestens einen vergleichbaren Vorfall bearbeitet zu haben, bei dem dieselbe Gruppe oder Einzelperson ein Opfer kontaktierte. Elizabeth Cookson, Senior Director of IR bei Coveware, erklärte, der Dritte habe das Opfer per E-Mail kontaktiert und behauptet, sowohl über den Entschlüsselungscode als auch über die gestohlenen Daten zu verfügen. Coveware kennt vergleichbare, unter anderen Namen auftretende Mittelsmänner bereits seit 2024, betont jedoch, dass sich dieses Verhalten deutlich von klassischen, erst nach öffentlicher Bekanntgabe eines Vorfalls auftretenden Trittbrettfahrern unterscheide.

Eine derartige Einmischung bei einem noch nicht öffentlichen Vorfall sei deutlich besorgniserregender, da eine Zahlung an die eigentliche Ransomware-Gruppe in einem solchen Fall nicht mehr garantiere, dass tatsächlich alle Personen mit Zugriff auf die gestohlenen Daten eine Vereinbarung zur Nichtveröffentlichung einhalten. Coveware geht davon aus, dass wachsendes Misstrauen innerhalb einzelner Ransomware-as-a-Service-Strukturen künftig zu mehr derartigem Verhalten führen könnte, da einzelne Partner versuchen, zusätzlich zu den regulären Einnahmebeteiligungen mit den Betreibern eigene zusätzliche Gewinne zu erzielen.

(red)