Исследователи из GRIT (GuidePoint Research and Intelligence Team) обнаружили необычную вымогательскую кампанию. Некто под именем Ransom Busters связывается с организациями, которые уже пострадали от вымогательских атак, и предлагает удалить украденные данные с серверов злоумышленников за 20 000–60 000 долларов США. Аналитики считают, что за этой активностью может стоять участник одной из группировок, который фактически обманывает собственных партнеров-хакеров.

Специалисты отмечают, что самым странным в этой ситуации является тот факт, что Ransom Busters пишет пострадавшим еще до того, как информация о взломе становится публичной. Обычно ИБ-компании действительно могут предлагать жертвам услуги по восстановлению и реагированию на инциденты, однако они делают это после публикации информации об атаке.

В своих письмах Ransom Busters просит связать его с генеральным директором или руководителем ИТ-отдела компании. Вымогатель утверждает, что уже более трех лет он занимается поиском уязвимостей в админ-панелях различных RaaS-группировок и взламывает их серверы.

По словам злоумышленника, во время одного из таких взломов ему якобы удалось обнаружить данные очередной жертвы. За 20 000–60 000 долларов США Ransom Busters предлагает вернуть компании доступ к файлам и удалить все копии украденных данных, которые хранятся у вымогателей.

Эксперты GRIT столкнулись с этой схемой во время расследования нескольких атак, связанных с группировками DragonForce, Settra и Anubis. Исследователи считают крайне маловероятным, что Ransom Busters представляет какую-либо легитимную организацию, так как взломы чужой инфраструктуры, о которых он пишет, сами по себе нарушают американский Computer Fraud and Abuse Act.

Кроме того, когда у Ransom Busters спросили, почему он хочет брать деньги за помощь пострадавшим, тот дал весьма странное объяснение: по его словам, бесплатное удаление данных с сервера вымогателей якобы может поставить под угрозу его дальнейший доступ к их инфраструктуре.

Анализ двух атак, жертвам которых писал Ransom Busters, выявил ряд совпадений. В обеих атаках для разведки внутри сети использовался SoftPerfect Network Scanner, для эксфильтрации данных в облако AWS применялся s5cmd, а также был обнаружен RMM-инструмент Remotely, который устанавливался через PowerShell-скрипт.

Кроме того, в обоих случаях атакующие создавали локальный бэкдор-аккаунт с паролем «Numlock!123», а также совпадал контролируемый злоумышленниками hostname — DESKTOP-BBETH6K.

В итоге исследователи предполагают, что Ransom Busters вовсе не добрый самаритянин, который тайно взламывает вымогателей. Вероятнее, за этим псевдонимом скрывается один из хакеров, который сам участвует в атаках, а затем пытается получить деньги от жертв, предавая своих «коллег». В GRIT подчеркивают, что платить таким посредникам крайне рискованно, так как нет никаких гарантий, что после оплаты похищенные данные действительно будут удалены с сервера злоумышленников.