GuidePoint Security veröffentlichte die Beobachtungen nach mehreren jüngsten Ransomware-Fällen, in denen Opfer E-Mails von Ransom Busters erhielten. Nach Einschätzung von GRIT spricht die Spurenlage jedoch dagegen, dass es sich um einen legitimen Wiederherstellungsdienst handelt. Die Forscher gehen vielmehr davon aus, dass derselbe Affiliate hinter den Angriffen steckt und anschließend versucht, Zahlungen am eigentlichen Ransomware-Programm vorbeizulenken.
GRIT stützt diese Einschätzung auf zwei untersuchte Vorfälle. In beiden Fällen setzten die Angreifer dieselbe Software ein, darunter SoftPerfect Network Scanner, s5cmd und das Fernüberwachungswerkzeug Remotely. Auch die Taktiken überschnitten sich: So wurde jeweils ein lokales Backdoor-Konto mit dem Passwort „Numlock!123“ angelegt, außerdem tauchte derselbe von den Angreifern kontrollierte Hostname „DESKTOP-BBETH6K“ auf.
Nach Darstellung von GRIT beobachteten die Forscher überlappende Aktivitäten in mehreren RaaS-Operationen. Mit „mäßiger Sicherheit“ geht das Team deshalb davon aus, dass Ransom Busters ein einzelner Ransomware-Affiliate ist, der seinen Zugang nutzt, um Lösegeldzahlungen von den Ransomware-Gruppen abzuziehen, mit denen er zusammenarbeitet.
GRIT teilte BleepingComputer mit, dass bislang kein Fall bekannt sei, in dem ein Opfer an Ransom Busters gezahlt habe. In einem der beobachteten Vorfälle zahlte das betroffene Unternehmen stattdessen an die RaaS-Operation hinter dem Angriff. Laut den Forschern wurden der Name des Opfers und die gestohlenen Daten daraufhin nicht auf der Datenleck-Seite der Ransomware-Gruppe veröffentlicht. Außerdem fanden sie keine Hinweise darauf, dass Ransom Busters die entwendeten Daten außerhalb des RaaS-Umfelds veröffentlicht hätte.
Auch die auf Ransomware-Verhandlungen spezialisierte Firma Coveware bestätigte gegenüber BleepingComputer, kürzlich mindestens einen Vorfall bearbeitet zu haben, in dem dieselbe Gruppe oder Person ein Opfer kontaktierte. Elizabeth Cookson, Senior Director of IR bei Coveware, sagte, der Dritte habe das Opfer per E-Mail kontaktiert und behauptet, sowohl Zugriff auf den Entschlüsselungsschlüssel als auch auf die gestohlenen Daten zu haben.
Coveware berichtet, dass ähnliche „Mittelsmänner“ unter anderen Namen schon seit 2024 aufgetreten seien. Der aktuelle Fall unterscheide sich jedoch von den üblichen Akteuren, die sich erst nach öffentlicher Bekanntmachung eines Angriffs bei Opfern melden. Diese Einmischung in einen nicht öffentlichen Vorfall sei deutlich besorgniserregender, so Coveware.
Nach Einschätzung des Unternehmens erhöht ein unberechtigter Dritter mit Zugriff auf gestohlene Daten das Risiko für Opfer. Denn selbst eine Zahlung an die eigentliche Ransomware-Operation garantiere dann nicht mehr, dass alle Personen mit Zugriff auf die Daten eine Vereinbarung zur Nichtveröffentlichung einhalten. Coveware hält es für möglich, dass wachsendes Misstrauen innerhalb von Ransomware-as-a-Service-Strukturen zu mehr solcher Fälle führt, wenn Affiliates zusätzliche Einnahmen außerhalb der üblichen Erlösaufteilung mit den Betreibern erzielen wollen.