Hacker ataca empresas com ransomware e depois volta fingindo oferecer a solução

Uma empresa sofre um ataque de ransomware e, antes mesmo de o caso se tornar público, recebe uma proposta inesperada: um suposto serviço de recuperação diz conseguir devolver os arquivos e apagar os dados roubados por um preço menor.

O problema é que o “salvador” pode ser o próprio criminoso que participou do ataque.

Essa é a suspeita levantada pelo GuidePoint Research and Intelligence Team (GRIT) sobre o Ransom Busters , grupo que vem abordando vítimas de ransomware e cobrando entre US$ 20 mil e US$ 60 mil por seus serviços.

Os pesquisadores avaliam que o Ransom Busters seja na realidade um afiliado que trabalha com diferentes operações de ransomware como serviço (RaaS) e tenta levar as negociações de pagamento para fora desses grupos.

Ransom Busters procura vítimas antes de ataques se tornarem públicos A abordagem começou por e-mail.

O Ransom Busters afirma ter encontrado vulnerabilidades nos painéis administrativos utilizados por grupos de ransomware e, por meio delas, conseguido acesso aos servidores dos criminosos.

Com esse suposto acesso, diz ser capaz de obter chaves de descriptografia, recuperar arquivos e destruir cópias dos dados roubados.

Um detalhe levantou a suspeita dos investigadores: as mensagens chegaram antes de os ataques serem divulgados publicamente.

A GuidePoint encontrou o comportamento durante respostas a incidentes relacionados aos grupos DragonForce, Settra e Anubis.

O Ransom Busters também conseguiu demonstrar acesso aos mesmos conjuntos de dados que estavam nas mãos dos afiliados responsáveis pelos ataques.

Evidências apontam para criminoso operando dos dois lados Em dois incidentes investigados, a GuidePoint encontrou coincidências muito específicas.

Os invasores utilizaram as mesmas ferramentas, incluindo SoftPerfect Network Scanner, s5cmd e o software de gerenciamento remoto Remotely.

Nos dois ambientes também apareceu uma conta local de backdoor protegida pela mesma senha, “Numlock!123” , além do hostname “DESKTOP-BBETH6K” controlado pelo invasor.

Como a atividade semelhante apareceu em ataques associados a diferentes operações RaaS, os pesquisadores consideram provável que exista um mesmo afiliado trabalhando para vários grupos e tentando ficar com uma parcela maior do dinheiro.