Ransomware si finge azienda di recupero dati per rubare pagamenti

Un gruppo sospetto di ransomware si è finto un’azienda di recupero dati, chiamata “Ransom Busters”, per contattare le vittime prima che gli attacchi diventino pubblici e offrire servizi di decrittografia e cancellazione dei dati rubati a pagamento. L’attività è stata rivelata da GuidePoint Security dopo aver risposto a diversi attacchi recenti in cui le vittime ricevevano email da Ransom Busters. I messaggi erano sospetti perché erano inviati prima che gli attacchi fossero resi pubblici, sollevando domande su come i responsabili avessero conoscenza degli attacchi inizialmente. Inoltre, il gruppo ha dichiarato di aver sfruttato vulnerabilità in pannelli amministrativi utilizzati da operazioni RaaS, ottenendo accesso alle chiavi di crittografia e ai dati rubati.

Ransomware e strategie simili

I ricercatori hanno osservato che Ransom Busters utilizzava lo stesso software e le stesse tecniche degli attacchi ransomware, tra cui SoftPerfect Network Scanner, s5cmd e il tool Remotely. Hanno anche creato un account di accesso locale con la password ‘Numlock!123’ e utilizzato lo stesso hostname controllato dagli attaccanti, ‘DESKTOP-BBETH6K’. Secondo GuidePoint Security, l’attività sembra sovrapporsi a diverse operazioni RaaS e si pensa che Ransom Busters sia un affiliato del ransomware che cerca di sottrarre i pagamenti ai gang di ransomware con cui collabora. Questo tipo di intervento su incidenti non pubblici è molto preoccupante.

Ransomware e rischi per le vittime

Coveware, una società che si occupa di negoziazione del ransomware, ha confermato che ha ricevuto almeno un caso in cui il gruppo o l’individuo ha contattato una vittima. Elizabeth Cookson, direttrice senior di incident response di Coveware, ha spiegato che il terzo parte ha dichiarato di avere accesso sia alla chiave di decrittografia che ai dati rubati. Coveware ha osservato che questa attività è diversa dai tipici “ambulanti” che contattano le vittime solo dopo che gli attacchi sono stati resi pubblici. La presenza di un terzo parte con accesso ai dati aumenta i rischi per le vittime.

Il Blue Report 2026 ha analizzato le difese tecniche su 338 milioni di simulazioni in ambienti produttivi. Secondo il report, una volta che gli attaccanti hanno accesso a credenziali valide, solo il 37% delle loro azioni viene bloccato. L’efficacia delle difese può nascondere ciò che accade dopo l’accesso iniziale. Questo indica che le misure di sicurezza attuali non sono sufficienti a prevenire attacchi complessi, specialmente quando i responsabili sfruttano strategie come quelle utilizzate da Ransom Busters. Inoltre, una volta che gli attaccanti hanno validi credenziali, la prevenzione cala drasticamente, rendendo più vulnerabili le organizzazioni.

La situazione solleva preoccupazioni anche per il settore della sicurezza informatica, che deve affrontare un aumento di comportamenti non convenzionali da parte di affiliati del ransomware. Questi ultimi cercano di generare profitti aggiuntivi al di fuori delle normali relazioni di condivisione dei ricavi. La presenza di tali attività potrebbe portare a un incremento di interventi non autorizzati su incidenti non pubblici, aumentando il rischio per le vittime. Le organizzazioni devono essere più attente a eventuali contatti esterni che sembrano offrire soluzioni di recupero dati.