Ransom Busters: quando il 'buon samaritano' è un truffatore
Un misterioso gruppo contatta le aziende colpite da ransomware offrendo il recupero dati a pagamento. L'analisi rivela che si tratta di un ex criminale che ricatta le vittime una seconda volta.
Un nuovo caso di ingegneria sociale e frode digitale è emerso nel panorama della cybersecurity. Una entità che si definisce Ransom Busters sta contattando le organizzazioni che hanno già subito attacchi ransomware, proponendo servizi di recupero dei dati e cancellazione delle copie rubate in cambio di somme comprese tra 20.000 e 60.000 dollari. Secondo le indagini condotte dal team di ricerca GRIT (GuidePoint Research and Intelligence Team), dietro questa apparente offerta di aiuto si nasconde molto probabilmente un membro delle stesse gang criminali, che tradisce i propri "colleghi" per lucrare ulteriormente sulla sfortuna delle vittime.
Come opera la truffa
La particolarità di questa campagna risiede nella tempistica: Ransom Busters si mette in contatto con le aziende ancor prima che i dettagli dell'hacking diventino pubblici, un comportamento insolito che solitamente avviene solo dopo la pubblicazione delle informazioni sui leak site. Nelle email, il gruppo chiede di essere messo in contatto direttamente con l'amministratore delegato o il responsabile IT, affermando di aver violato i server dei gruppi RaaS (Ransomware as a Service) dopo anni di ricerca di vulnerabilità.
L'analisi tecnica condotta su due attacchi specifici, associati ai gruppi DragonForce, Settra e Anubis, ha rivelato somiglianze inquietanti. In entrambi i casi sono stati utilizzati strumenti identici come SoftPerfect Network Scanner per la scansione della rete e s5cmd per l'esfiltrazione dei dati verso il cloud AWS. Inoltre, è stato trovato installato lo strumento Remotely RMM tramite script PowerShell, con la creazione di un account backdoor locale utilizzando la password "Numlock!123" e lo stesso nome host controllato dagli aggressori. Questi elementi tecnici suggeriscono fortemente che Ransom Busters non sia un hacker etico, ma un criminale che ha accesso diretto all'infrastruttura dell'attacco.
Perché non bisogna pagare
Quando interrogato sul motivo per cui chiedesse denaro per aiutare le vittime, Ransom Busters ha fornito una spiegazione sospetta: ha sostenuto che la rimozione gratuita dei dati avrebbe messo a repentaglio il suo accesso all'infrastruttura dei criminali. Gli esperti di GRIT sottolineano che pagare tali intermediari è estremamente rischioso, poiché non vi è alcuna garanzia che i dati vengano effettivamente cancellati. Inoltre, gli attacchi alle infrastrutture dei gruppi ransomware violano leggi come l'American Computer Fraud and Abuse Act, rendendo illegittima qualsiasi attività di questo tipo. Per le aziende italiane, è fondamentale consultare guide aggiornate su come gestire le emergenze informatiche senza cadere in queste trappole.
Come si riconosce
- Contatto improvviso da parte di soggetti sconosciuti che offrono servizi di recupero dati.
- Richiesta di pagamento in criptovalute o bonari non tracciabili per "servizi di cancellazione".
- Assenza di certificazioni o affiliazioni con enti riconosciuti di cybersecurity.
- Tempistica sospetta: l'offerta arriva prima che l'attacco sia reso pubblico dai criminali.
- Utilizzo di linguaggio tecnico generico senza fornire prove concrete del possesso dei dati.
Cosa non fare
- Non rispondere alle email di sconosciuti che offrono servizi di recupero post-ransomware.
- Non effettuare pagamenti a terzi non autorizzati dalle autorità competenti.
- Non condividere informazioni sensibili sull'infrastruttura aziendale con entità non verificate.
- Non fidarsi di chi promette risultati garantiti senza un contratto formale e trasparente.
- Non ignorare i protocolli interni di sicurezza informatica dell'azienda.
Cosa fare
- Segnala immediatamente qualsiasi contatto sospetto al reparto IT o al responsabile della sicurezza.
- Verifica l'identità del mittente attraverso canali ufficiali e indipendenti.
- Contatta le autorità competenti, come la Polizia Postale in Italia, per denunciare tentativi di estorsione.
- Attiva i piani di disaster recovery aziendali senza coinvolgere intermediari non autorizzati.
- Aggiorna le policy di sicurezza informatica per prevenire futuri attacchi e truffe correlate.
Domande frequenti
Come posso verificare se un'offerta di recupero dati è legittima?
Controlla sempre le credenziali del fornitore e verifica se è affiliato a organizzazioni riconosciute. Se l'offerta arriva via email da un indirizzo sconosciuto, è quasi certamente una truffa.
Devo pagare se qualcuno mi promette di cancellare i miei dati dai server dei criminali?
No. Non esiste alcuna garanzia che i dati vengano cancellati. Inoltre, pagare incentiva il crimine e potrebbe esporre l'azienda a ulteriori rischi legali e finanziari.
Cosa fare se la mia azienda è stata contattata da Ransom Busters?
Non rispondere e segnala immediatamente il contatto al reparto IT. Documenta tutte le comunicazioni e consulta le autorità competenti per valutare i prossimi passi.