Nhóm ransomware giả danh đơn vị khôi phục để chiếm tiền chuộc
"Researchers at GuidePoint Security reported that a ransomware affiliate operating as "Ransom Busters" was contacting victims before attacks became public and offering to recover files and delete stolen data for a reduced payment. The activity was linked to multiple ransomware-as-a-service operations, with shared tooling and fingerprints such as SoftPerfect Network Scanner, s5cmd to AWS storage, Remotely, and a reused backdoor account, suggesting the group was diverting extortion payments from its criminal partners."
Rủi ro lừa đảo tiền chuộc và đánh lạc hướng ứng phó sự cố tăng cao; dấu vết cho thấy hoạt động liên kết nhiều chiến dịch và có thể tiếp tục nhắm vào nạn nhân trước khi công khai.
Có thể làm tăng chi phí ứng phó, kéo dài thời gian gián đoạn, và gây nhầm lẫn trong quy trình đàm phán/khôi phục nếu doanh nghiệp không xác minh đúng đầu mối.
Theo GuidePoint Security, một tác nhân liên kết với ransomware-as-a-service (RaaS) đã mạo danh một đơn vị khôi phục dữ liệu với tên Ransom Busters để liên hệ nạn nhân trước khi vụ tấn công được công khai. Nhóm này chào mời khôi phục tệp mã hóa và xóa dữ liệu bị đánh cắp với mức thanh toán thấp hơn, khoảng 20.000–60.000 USD.
Nhà nghiên cứu cho biết hoạt động này có liên hệ với nhiều chiến dịch, gồm DragonForce, Settra và Anubis. Dấu vết kỹ thuật trong hai sự cố được phân tích cho thấy các công cụ và hành vi trùng lặp, như SoftPerfect Network Scanner để do thám, s5cmd để chuyển dữ liệu lên AWS, và công cụ quản trị từ xa Remotely được cài qua PowerShell. Ngoài ra, cùng một tài khoản cửa hậu cục bộ với mật khẩu Numlock!123 và hostname DESKTOP-BBETH6K cũng xuất hiện ở cả hai môi trường.
GuidePoint đánh giá với moderate confidence rằng đây có thể là một affiliate hoạt động trên nhiều nhóm RaaS và đang chuyển hướng tiền chuộc khỏi các đối tác tội phạm. Khuyến nghị: xác minh danh tính mọi bên tự xưng là đơn vị hỗ trợ, không thanh toán vội, và ưu tiên kiểm tra IOC, cô lập hệ thống, cùng xác nhận rò rỉ dữ liệu qua kênh ứng phó sự cố chính thức.