„Ransom Busters“ kontaktiert Ransomware-Opfer und fordert bis zu 60.000 Dollar

GuidePoint erklärte gegenüber The Hacker News, das Unternehmen habe auf mehrere aktuelle Ransomware-Vorfälle reagiert, in denen dieser Akteur auftrat. Beobachtet wurde das Muster laut GuidePoint bei Vorfällen im Zusammenhang mit DragonForce, Settra und Anubis. In den E-Mails verlangt „Ransom Busters“ Zahlungen zwischen 20.000 und 60.000 US-Dollar.

Justin Timothy, Principal Consultant bei GRIT, sagte, das deute stark darauf hin, dass die Betreiber entweder die wahre Herkunft ihres Zugangs verschleiern wollten oder sich nicht im Rahmen des Gesetzes bewegten. Auf die Frage, warum sie für ihre Hilfe Geld verlangten, habe die Gruppe eine „verwirrende Erklärung“ geliefert: Unentgeltliches Handeln würde ihren Zugang zur Infrastruktur des Bedrohungsakteurs gefährden.

Eine Analyse von zwei verschiedenen Vorfällen, bei denen „Ransom Busters“ Opfer kontaktierte, zeigte laut GuidePoint „auffällige“ Ähnlichkeiten, darunter Überschneidungen bei den eingesetzten Werkzeugen. In beiden Einbrüchen wurde zudem ein lokales Hintertürkonto mit dem Passwort „Numlock!123“ angelegt. Außerdem tauchte in beiden Fällen derselbe vom Angreifer kontrollierte Hostname auf: DESKTOP-BBETH6K. Das spricht nach Einschätzung von GuidePoint dafür, dass hinter den Aktivitäten wahrscheinlich ein einzelner Operator steckt, eher ein Affiliate als eine unabhängige Drittpartei.

Timothy warnt, die Konsequenz für Betroffene sei eindeutig: Kriminellen Akteuren sei nicht zu trauen, und sie könnten täuschende Methoden einsetzen, um zusätzliche, wenn auch kleinere Erpressungszahlungen zu erzielen. „Ransom Busters“ oder wahrscheinlicher der Ransomware-Affiliate hinter dieser Rolle habe gezeigt, dass er selbst kriminelle Partner aus finanziellen Gründen hintergehe. Eine Zahlung an irgendeine kriminelle Partei garantiere nicht, dass gestohlene Daten gelöscht werden; die angeblichen Retter seien als Täuschung zu behandeln.

Parallel dazu beleuchtet GuidePoint eine andauernde Adversary-in-the-Middle-Operation von UNC6671, auch bekannt als Cordial Spider und O-UNC-045. Die Gruppe zielt seit April auf Finanzdienstleister, Kanzleien und weitere Branchen und tritt unter Erpressungsmarken wie Falcon, Helix, Pink, Redact und BlackFile auf. Laut GuidePoint spiegelt das Vorgehen eine Abkehr von opportunistischem Ransomware-Einsatz hin zur gezielten Auswahl großer Opferorganisationen wider.

Nach Angaben von GuidePoint flossen in diesem Zeitraum mehr als 8 Millionen US-Dollar über 15 Bitcoin-Wallets, die diesen fünf Marken zugerechnet werden. Die durchschnittliche Erpressungssumme lag bei 600.000 US-Dollar. Zudem wurden 78 eindeutige, auf Opfer zugeschnittene Phishing-Subdomains bei 76 Organisationen in 15 Branchen identifiziert; 40 Prozent davon entfielen auf Hedgefonds, Venture Capital, Private Equity, Asset Management und andere Finanzdienstleister.

Wie Okta kürzlich detailliert beschrieb, nutzt UNC6671 eine eigene Konsole namens Work Panel. Sie bietet rollenbasierte Zugriffskontrolle, integrierte Zielaufklärung über kommerzielle B2B-Daten-APIs, automatisierte Bereitstellung von Infrastruktur und ein Echtzeit-Management für die Weiterleitung von Zugangsdaten mit Phishing-Vorlagen, die Identitätsanbieter wie Okta und Microsoft 365 imitieren. GuidePoint bezeichnet das als „bedeutende Weiterentwicklung“ der Industrialisierung von Vishing-getriebenem Diebstahl von Zugangsdaten.

Der breitere Markt bleibt in Bewegung. Laut Check Points Bericht State of Ransomware Q2 2026 wurden 2.139 Organisationen auf Datenleck-Seiten gelistet. Der Anteil der zehn größten Gruppen sank von 71 Prozent im Vorquartal auf 57,6 Prozent, während die Zahl aktiver Gruppen von 71 auf 93 stieg. CYFIRMA schrieb im vergangenen Monat, moderne Kampagnen verlagerten sich auf vorbereiteten Vorabzugang mit Fokus auf das Erbeuten von Zugangsdaten, Aufklärung, Rechteausweitung und Vorbereitung der Umgebung.

Für Juli 2026 wurden insgesamt 873 beanspruchte Ransomware-Opfer erfasst, nach 722 im Vormonat. Den Höchststand des Jahres markierte der März 2026 mit 909 Fällen. Als besonders aktiv nennt der Quelltext The Gentlemen, Qilin und CRPx0 mit 138, 133 beziehungsweise 46 beanspruchten Opfern. Coveware, das zu Veeam gehört, bezifferte für das zweite Quartal 2026 den durchschnittlichen Lösegeldbetrag auf 1.880.612 US-Dollar, ein Anstieg um 176 Prozent gegenüber dem ersten Quartal. Der Median sank zugleich um 50 Prozent auf 150.000 US-Dollar. Coveware führt die wachsende Lücke vor allem auf einige ungewöhnlich hohe Zahlungen bei Erpressungen mit Datenabfluss statt klassischer Verschlüsselung zurück und nennt die laufende Kampagne von Silent Ransom, auch bekannt als Luna Moth, gegen prominente Anwaltskanzleien als wichtigen Treiber.