Ransom Busters: autodenominados "hackers liberadores" que exigen 60.000 dólares por borrar datos robados — aunque antes son ellos quienes los sustraen.
Crees haber comprado la eliminación de datos robados, pero en realidad te vendieron una promesa vacía.
Las víctimas de programas de ransomware se han encontrado con un nuevo esquema: poco después del ataque, una empresa desconocida les escribe, ya conoce los datos robados y ofrece, a cambio de dinero, eliminar esos datos en poder de los delincuentes. Los especialistas de GuidePoint Security consideran que tras los «ayudantes» Ransom Busters se oculta un participante de varias operaciones delictivas a la vez.
Los representantes de Ransom Busters LTD se contactaron con organizaciones incluso antes de que la información sobre los incidentes se hiciera pública. En los mensajes, los remitentes pedían que los pusieran en contacto con el director de la empresa o con el departamento de TI y afirmaban haber encontrado archivos robados en los servidores de los extorsionadores.
Ransom Busters afirmaba que supuestamente encontraba vulnerabilidades en los paneles de administración de los servicios delictivos y obtenía el control de casi toda su infraestructura. Los remitentes prometían devolver los archivos, destruir las copias de seguridad de los datos robados y obtener las claves de descifrado. GRIT se encontró con ese esquema al investigar ataques relacionados con DragonForce, Settra y Anubis.
Por eliminar la información robada, Ransom Busters exigía entre $20,000 y $60,000. Al verificar, los remitentes pudieron demostrar que tenían acceso al mismo conjunto de datos que poseía el extorsionador original. Según GRIT, tal conocimiento se explica de forma más sencilla: Ransom Busters sería un participante de los programas de afiliados de los extorsionadores que intenta interceptar parte del rescate a sus propios cómplices.
A esa conclusión llevaron también los resultados de dos investigaciones. En ambas redes, el atacante usó SoftPerfect Network Scanner para explorar la infraestructura, s5cmd para enviar datos al servicio de almacenamiento en la nube Amazon Web Services, y la herramienta de gestión remota Remotely, instalada mediante PowerShell. Además, el delincuente creó una cuenta local con la misma contraseña Numlock!123 y usó el nombre del equipo DESKTOP-BBETH6K.
La coincidencia de algunas herramientas por sí sola no prueba la relación entre los ataques. Sin embargo, GuidePoint detectó el mismo conjunto de tácticas en incidentes de varios programas de afiliados diferentes, tras los cuales aparecía Ransom Busters. Por ello, GRIT vincula con moderada certeza las comunicaciones de los «salvadores» con un único participante que trabaja simultáneamente con varios operadores de ransomware.
Las afirmaciones de Ransom Busters de que habían accedido sin autorización a los servidores de los delincuentes también suscitan cuestiones legales. Tales acciones podrían entrar en el marco de la ley estadounidense contra el fraude y el abuso informáticos. El Departamento de Justicia de EE. UU. señala por separado que un análisis de seguridad de buena fe no debe servir de cobertura para extorsionar dinero.
GuidePoint advierte: si se paga a Ransom Busters, no hay garantía de que los datos sean eliminados. Los delincuentes pueden conservar copias adicionales, vender la información o volver a exigir dinero más adelante. Ante una oferta inesperada de «devolver» o eliminar datos robados a cambio de un pago, las empresas deben remitir el mensaje a su equipo de respuesta a incidentes y contactar a las autoridades.