Специалисты исследовательской и аналитической группы компании GuidePoint Security (GRIT) сообщили об активности ранее неизвестного сервиса Ransom Busters. Жертвы нескольких недавних кибервымогательских атак, которые расследует GRIT, сообщили, что получили письма от Ransom Busters с предложением помочь восстановиться после атаки. Сообщения вызывают серьезные подозрения, поскольку письма были получены еще до того, как информация от атаках стала общедоступной. Это заставляет задать резонный вопрос: откуда сервис Ransom Busters вообще мог узнать об этих инцидентах?

Правда, представители Ransom Busters утверждают, что эксплуатируют уязвимости в административных панелях, используемых операторами сервисов Ransomware-as-a-Service (RaaS), включая DragonForce, Settra и Anubis. Благодаря этому они получают не только информацию об атаках, но и доступ к ключам шифрования и похищенным у жертв данным. За сумму от 20 до 60 тысяч долларов сервис предлагает предоставить ключи дешифровки и удалить похищенные данные с серверов вымогателей.

Однако сведения, полученные GRIT в ходе расследования, заставляют предположить, что Ransom Busters на самом деле является вовсе не сервисом восстановления, а представляет собой партнера вымогательских группировок, непосредственно стоявшего за атаками. GRIT заявляет, что обнаружила пересекающуюся активность в рамках нескольких RaaS-операций и с умеренной степенью уверенности полагает, что за Ransom Busters стоит один партнер нескольких группировок. Предположительно, он использует имеющийся у него доступ, чтобы перехватывать выплаты выкупа у тех вымогательских группировок, с которыми сотрудничает.

В свою очередь компания Coveware, специализирующаяся на переговорах с вымогателями, также сообщила, что недавно участвовала в реагировании как минимум на один инцидент, в ходе которого с жертвой связалась та же группа или тот же человек. «Эта третья сторона связалась с жертвой по электронной почте и заявила, что имеет доступ как к ключу расшифровки, так и к похищенным данным», - рассказала ресурсу BleepingComputer старший директор Coveware по реагированию на инциденты Элизабет Куксон.

В Coveware заявили, что сталкивались с похожими «посредниками», действовавшими под другими названиями, еще в 2024 году. Однако нынешняя активность отличается от действий типичных «охотников за жертвами», которые связываются с пострадавшими только после того, как информация об атаке становится публичной.

«Подобное вмешательство в непубличный инцидент вызывает гораздо больше опасений», - заявила Куксон BleepingComputer. По ее мнению, это повышает риски для жертв. Даже выплата выкупа основной вымогательской группировке в такой ситуации уже не гарантирует, что все лица, получившие доступ к информации, выполнят договоренность и не станут ее публиковать.

Компания полагает, что растущее недоверие внутри экосистемы Ransomware-as-a-Service может привести к распространению подобных схем: партнеры будут пытаться получать дополнительную прибыль в обход обычной системы разделения доходов с операторами программ-вымогателей.