GuidePoint: „Ransom Busters“ gibt sich als Hilfe nach Ransomware-Angriffen aus

Zusammenfassung

Ein Akteur mit dem Namen „Ransom Busters“ kontaktiert laut dem GuidePoint Research and Intelligence Team (GRIT) Opfer laufender Ransomware-Vorfälle und gibt sich als eine Art Wiederherstellungsdienst aus. In E-Mails behauptet die Gruppe, Server mehrerer krimineller Gruppen kompromittiert und dort Daten der jeweiligen Opfer gefunden zu haben. Gegen Bezahlung wolle man Dateien zurückgeben, Sicherungskopien auf Seiten der Angreifer löschen und sogar Zugriff auf Verschlüsselungsschlüssel besitzen. Nach Einschätzung von GuidePoint spricht jedoch vieles dagegen, dass es sich um einen legitimen Dritten handelt. Vielmehr bewertet GRIT die Aktivität mit mittlerer Sicherheit als Werk eines einzelnen Ransomware-Affiliates, der mit mehreren Ransomware-as-a-Service-Gruppen zusammenarbeitet und Zahlungen von den eigentlichen Erpressern abziehen will. Beobachtet wurde das Verhalten laut GuidePoint bei Vorfällen im Zusammenhang mit DragonForce, Settra und Anubis. Für betroffene Unternehmen ist das relevant, weil die Offerte gerade in einer laufenden Incident-Response-Phase erfolgt und damit wie eine zusätzliche Erpressung innerhalb einer bereits laufenden Erpressung wirkt.

Laut einem von GRIT veröffentlichten Blogbeitrag verschickte „Ransom Busters“ E-Mails an Betroffene von Cyberangriffen und erklärte darin, Daten der Opfer auf den Servern mehrerer krimineller Gruppen entdeckt zu haben. Gegen eine Gebühr könne die Gruppe „Ihre Dateien zurückgeben und alle von der Gruppe gehaltenen Sicherungskopien zerstören“. Außerdem behauptete sie, Zugriff auf Verschlüsselungsschlüssel zu haben, die den Opfern beim Zugriff auf ihre Dateien helfen könnten.

GuidePoint beobachtete dieses Verhalten nach eigenen Angaben bei Vorfällen mit den Gruppen DragonForce, Settra und Anubis. Der Akteur habe erklärt, dadurch Kontrolle über „fast ihre gesamte Infrastruktur“ zu besitzen. Wie Ransomware-as-a-Service-Gruppen scheine auch „Ransom Busters“ finanziell motiviert zu sein. Laut GuidePoint bestätigte die Gruppe auf Nachfrage Zugriff auf exakt denselben Datensatz, den auch der jeweilige Ransomware-Affiliate besaß, und bot an, gestohlene Daten gegen 20.000 bis 60.000 US-Dollar von den Servern der Ransomware-Gruppen zu löschen.

Justin Timothy, Principal Threat Intelligence Consultant bei GuidePoint Security, nennt mehrere Warnsignale. In den von GRIT beobachteten Fällen meldete sich „Ransom Busters“, bevor der Angriff öffentlich bekannt war; Incident-Response-Firmen böten ihre Dienste üblicherweise erst an, nachdem ein Angriff offengelegt wurde. Hinzu kommt, dass die Gruppe in ihrer Kommunikation behauptete, auf das Administrationspanel von Ransomware-as-a-Service-Akteuren zugegriffen zu haben. Solche offensiven Handlungen eines Dritten könnten laut Timothy als Verstoß gegen den Computer Fraud Abuse Act der US-Regierung gewertet werden.

Wörtlich schrieb Timothy, man würde „nicht erwarten, dass eine legitime Organisation womöglich eine Straftat begeht, geschweige denn dafür eine Gebühr verlangt“. Auch die technische Analyse stützt GuidePoints Einschätzung: Das Digital Forensics and Incident Response Team des Unternehmens reagierte auf zwei Vorfälle, in denen „Ransom Busters“ die Opfer kontaktierte. In beiden Fällen waren die Eindringlinge auffällig ähnlich unterwegs. Es gab Überschneidungen bei Werkzeugen für interne Aufklärung, Datenexfiltration sowie Remote Monitoring and Management. Auch die lokal angelegten Backdoor-Konten nutzten dasselbe Passwort, und in mehreren Angriffen tauchte derselbe vom Angreifer kontrollierte Hostname auf.

GRIT kommt daher mit mittlerer Sicherheit zu dem Schluss, dass „Ransom Busters“ kein echter externer Forscher ist, sondern ein einzelner Ransomware-Affiliate, der mit mehreren RaaS-Akteuren zusammenarbeitet und dieselben Taktiken in verschiedenen Opferumgebungen einsetzt. Nach Einschätzung von GuidePoint nutzt der Akteur seinen Affiliate-Zugang, um Lösegeldverhandlungen von der ursprünglichen Ransomware-Operation wegzulenken.

Das untergräbt laut Timothy das Geschäftsmodell von Ransomware-as-a-Service selbst. Üblicher Bestandteil von Lösegeldverhandlungen sei die Zusage der Angreifer, exfiltrierte Daten nach Zahlung zu löschen. Wenn jedoch sowohl die RaaS-Operation als auch „Ransom Busters“ Kopien behalten, hätten Opfer „keine vernünftige Gewissheit“, dass tatsächlich alle Kopien vernichtet werden. Dadurch könne jede Zahlung zur Unterdrückung der Daten faktisch wertlos sein. Finanzielle Schäden entstünden damit nicht nur für die Opfer, sondern auch für die Glaubwürdigkeit und die Erlöspotenziale der RaaS-Operationen, mit denen der Affiliate verbunden ist.

Einen Fall, in dem diese Taktik erfolgreich war, kennt Timothy nach eigenen Angaben nicht. Ungewöhnlich sei bereits die Kontaktaufnahme durch eine nichtstaatliche Stelle mitten in einem laufenden Vorfall. Seriöse Ansprache komme typischerweise von einer Firmen-Domain und nicht von einem kostenlosen oder auf Privatsphäre ausgelegten Dienst wie ProtonMail; „Ransom Busters“ habe eine datenschutzorientierte Adresse ohne verifizierbare Domain genutzt. Zudem verlangten legitime Incident-Response-Firmen keine Zahlung in Bitcoin und würden vor einer ersten Eingrenzung des Vorfalls keine Preise nennen. „Ransom Busters“ hingegen habe sehr früh eine finanzielle Forderung gestellt und damit das Verhalten echter Ransomware-Akteure eng nachgeahmt.

GuidePoint: „Ransom Busters“ gibt sich als Hilfe nach Ransomware-Angriffen aus

Ähnliche Artikel

Neueste Artikel