Angebliche Datenretter fordern Geld von Ransomware-Opfern vor öffentlichem Bekanntwerden der Angriffe

GRIT wurde auf die Aktivität aufmerksam, nachdem das Team mehrere aktuelle Ransomware-Fälle bearbeitet hatte, in denen Opfer E-Mails von „Ransom Busters“ erhielten. Die Gruppe bot darin Hilfe bei der Wiederherstellung nach dem Angriff an. Misstrauisch machte die Forscher vor allem, dass die Nachrichten bei nicht öffentlichen Vorfällen eintrafen und damit die Frage aufwarfen, woher der Absender überhaupt von den Angriffen wusste.

In den Schreiben erklärte „Ransom Busters“, es habe Schwachstellen in Verwaltungsoberflächen von Ransomware-as-a-Service-Gruppen ausgenutzt. So habe man Zugriff auf Entschlüsselungsschlüssel und auf Daten erhalten, die von den Opfern gestohlen worden seien. Für die Löschung dieser Daten von Ransomware-Servern, darunter Server von DragonForce, Settra und Anubis, verlangte die Gruppe laut GuidePoint Security zwischen 20.000 und 60.000 US-Dollar.

Die entscheidenden Hinweise lieferten nach Angaben von GRIT zwei konkrete Vorfälle. In beiden Fällen setzten die Angreifer dieselbe Software ein, darunter SoftPerfect Network Scanner, s5cmd und das Fernüberwachungswerkzeug Remotely. Außerdem nutzten sie dieselben Taktiken: Sie legten ein lokales Backdoor-Konto mit dem Passwort „Numlock!123“ an und verwendeten denselben von den Angreifern kontrollierten Hostnamen „DESKTOP-BBETH6K“.

GRIT berichtet zudem von überschneidenden Aktivitäten über mehrere RaaS-Operationen hinweg. Die Forscher gehen mit mittlerer Zuversicht davon aus, dass „Ransom Busters“ ein einzelner Ransomware-Affiliate ist, der seinen bestehenden Zugriff nutzt, um den Gruppen, mit denen er zusammenarbeitet, Lösegeldzahlungen abzufangen.

Gegenüber BleepingComputer erklärte GRIT, bislang habe man keinen Fall gesehen, in dem ein Opfer an „Ransom Busters“ gezahlt habe. In einem der beobachteten Vorfälle zahlte das betroffene Unternehmen stattdessen an die hinter dem Angriff stehende RaaS-Operation. Laut den Forschern wurden der Name des Opfers und die gestohlenen Daten daraufhin nicht auf der Leak-Seite der Ransomware-Gruppe veröffentlicht. Hinweise darauf, dass „Ransom Busters“ die Daten außerhalb des RaaS-Umfelds veröffentlicht habe, fanden sie nicht.

Auch das Verhandlungsunternehmen Coveware bestätigte BleepingComputer, kürzlich mindestens einen Vorfall bearbeitet zu haben, bei dem dieselbe Gruppe oder Person ein Opfer kontaktierte. Elizabeth Cookson, Senior Director of IR bei Coveware, sagte, der Dritte habe dem Opfer per E-Mail mitgeteilt, Zugriff sowohl auf den Entschlüsselungsschlüssel als auch auf die gestohlenen Daten zu haben.

Coveware zufolge gab es ähnliche Mittelsmänner unter anderen Namen bereits seit 2024. Neu und besonders bedenklich sei hier jedoch, dass sich die Einmischung auf nicht öffentliche Vorfälle beziehe. Solche Dritten seien etwas anderes als die üblichen Akteure, die Betroffene erst nach öffentlicher Bekanntgabe eines Ransomware-Falls ansprechen. Nach Einschätzung von Coveware steigt durch eine fremde Partei mit Zugriff auf gestohlene Daten das Risiko für Opfer, weil eine Zahlung an die eigentliche Ransomware-Gruppe dann nicht mehr garantiere, dass alle Beteiligten eine Vereinbarung zur Nichtveröffentlichung der Daten einhalten.

Das Unternehmen hält es für möglich, dass wachsendes Misstrauen innerhalb von Ransomware-as-a-Service-Strukturen zu mehr solcher Fälle führt, wenn Affiliates zusätzliche Gewinne außerhalb der üblichen Umsatzaufteilung mit den Betreibern erzielen wollen.