Rogue ransomware affiliate posed as recovery firm to steal payments
Автор: Марта Баринова Исследователи GuidePoint Security заметили несколько недавних атак с вымогателем, после которых жертвы получали письмо от некого посредника вымогателей «Ransom Busters». Авторы этих сообщений предлагали помощь в восстановлении после атаки, хотя инциденты еще не становились публичными.
GuidePoint сообщает, что в этих письмах «Ransom Busters» предлагала восстановление после атаки, а появление такого посредника до публичного раскрытия инцидента поставило под сомнение его роль. В GuidePoint считают, что это не настоящая фирма по восстановлению, а, вероятнее всего, ransomware-affiliate, который пытается перехватывать выплаты вымогателей.
По данным исследователей, «Ransom Busters» заявляла, что получила доступ через уязвимости в административных панелях RaaS-операций и может получить ключи для расшифровки и удалить украденные данные. За такую «помощь» она просила от 20 000 до 60 000 долларов и упоминала инфраструктуру, связанную с DragonForce, Settra и Anubis. GuidePoint также связала два инцидента с одинаковыми инструментами и приемами: SoftPerfect Network Scanner, s5cmd, Remotely, локальная учетная запись с паролем «Numlock!123» и hostname «DESKTOP-BBETH6K».
В GuidePoint говорят, что не видели случаев, когда кто-то заплатил «Ransom Busters», и не рекомендуют делать это. В одном эпизоде жертва все же заплатила не посреднику, а самой RaaS-группе, которая стояла за атакой. Исследователи не нашли признаков того, что украденные данные были опубликованы вне среды RaaS.
