Nhóm Ransom Busters bị nghi tống tiền nạn nhân bằng lời hứa xóa dữ liệu
"GuidePoint reports that a ransomware affiliate calling itself Ransom Busters has been emailing victims and claiming it can delete stolen data from ransomware operators' servers for $20,000 to $60,000. The activity appears tied to intrusions involving multiple RaaS groups and uses tools such as SoftPerfect Network Scanner, s5cmd, and RMM software, but there is no indication of a software CVE; the main impact is extortion and data theft, with no legitimate remediation guarantee."
Rủi ro chính là tống tiền kép và đánh cắp dữ liệu; không có bằng chứng về CVE hay lỗ hổng phần mềm cụ thể. Nạn nhân có thể tiếp tục bị lừa trả tiền mà không được xóa dữ liệu.
Có thể làm tăng chi phí ứng phó sự cố, gián đoạn điều tra và kéo dài thời gian khôi phục. Doanh nghiệp cần chuẩn bị cho chi phí IR và rủi ro uy tín nếu dữ liệu bị công bố hoặc bị đe dọa rò rỉ.
Theo GuidePoint Research and Intelligence Team (GRIT), một tác nhân liên quan đến ransomware-as-a-service (RaaS) tự xưng là Ransom Busters đã chủ động gửi email cho nạn nhân, tuyên bố có thể xóa dữ liệu bị đánh cắp khỏi máy chủ của các nhóm ransomware để đổi lấy 20.000–60.000 USD. Tuy nhiên, không có dấu hiệu cho thấy đây là dịch vụ khắc phục hợp pháp; thay vào đó, hoạt động này có thể là một hình thức tống tiền bổ sung sau khi dữ liệu đã bị xâm nhập và exfiltrate.
GRIT cho biết họ quan sát thấy hành vi này trong các vụ việc liên quan đến DragonForce, Settra và Anubis. Các công cụ được ghi nhận gồm SoftPerfect Network Scanner để trinh sát nội bộ, s5cmd để chuyển dữ liệu lên AWS cloud storage, và một công cụ RMM được cài qua PowerShell script. Một số dấu hiệu trùng lặp khác gồm tài khoản backdoor cục bộ với mật khẩu "Numlock!123" và hostname do kẻ tấn công kiểm soát là DESKTOP-BBETH6K.
Khuyến nghị: tổ chức bị ảnh hưởng nên không thanh toán cho bên thứ ba không xác thực, rà soát IOC, kiểm tra tài khoản quản trị và RMM, đồng thời tăng cường giám sát exfiltration và sao lưu ngoại tuyến. Việc trả tiền không đảm bảo dữ liệu bị xóa hoặc khôi phục an toàn.