No ecossistema de ransomware-as-a-service, a confiança é um ativo tão volátil quanto criptomoedas. A novidade é que essa desconfiança agora se tornou um modelo de negócio. Um afiliado de ransomware, operando sob a fachada de uma empresa de recuperação de dados chamada "Ransom Busters", está abordando vítimas para oferecer uma saída mais barata do ataque que ele mesmo ajudou a executar.
Segundo uma análise da GuidePoint Security, reportada pelo The Register, o agente malicioso participa de ataques de diferentes gangues — como DragonForce e Anubis — e, antes que a extorsão se torne pública, contata a vítima. A proposta é deletar os dados roubados e fornecer as chaves de criptografia por uma fração do resgate, embolsando 100% do valor. A tática é um golpe duplo: um contra a vítima e outro contra os próprios parceiros de crime.
A anatomia da traição
O que levou os pesquisadores a esta conclusão foi um rastro de impressões digitais digitais singularmente consistentes em ataques atribuídos a diferentes operadores. A investigação da GuidePoint identificou que, em múltiplos incidentes, o invasor utilizou a mesma combinação de ferramentas: o SoftPerfect Network Scanner para reconhecimento, o utilitário s5cmd para exfiltrar dados para a nuvem da AWS e a ferramenta de acesso remoto Remotely. A evidência mais contundente, no entanto, foi a criação de uma conta de backdoor com a senha "Numlock!123" e o uso do mesmo hostname de máquina ("DESKTOP-BBETH6K") em ambos os ambientes invadidos.
Essa sobreposição de métodos e ferramentas sugere que não se trata de uma coincidência ou do compartilhamento de um kit de ataque. A leitura da GuidePoint é que um único afiliado está operando em múltiplas frentes de ransomware-as-a-service e, na prática, canibalizando os lucros ao cortar a parte que caberia aos desenvolvedores do malware. O "Ransom Busters" não hackeou as gangues, como alega às vítimas; ele é parte delas.
O dilema da vítima
Para a empresa atacada, a proposta do "Ransom Busters" cria um falso dilema. De um lado, a exigência de resgate da gangue original; do outro, uma oferta aparentemente vantajosa de um "salvador". Contudo, é uma escolha entre dois criminosos. Pagar ao suposto herói não oferece qualquer garantia de que os dados serão, de fato, deletados. A vítima continua à mercê de um agente malicioso, cuja principal característica é a falta de lealdade até mesmo com seus cúmplices.
O episódio ilustra uma camada de complexidade adicional no combate ao ransomware. A ameaça não se encerra no pedido de resgate inicial. Existe um "pós-mercado" caótico e oportunista, onde a desinformação e a traição são usadas para extrair ainda mais valor da vítima. A sofisticação não está apenas no malware, mas no meta-jogo social e econômico que o circunda.
Este cenário de "ladrão que rouba ladrão" não necessariamente enfraquece o ecossistema do cibercrime. Pelo contrário, demonstra sua capacidade de adaptação, criando novas e imprevisíveis formas de monetização que exploram a vulnerabilidade e o desespero das vítimas, presas em um fogo cruzado entre criminosos.
Com reportagem de Brazil Valley
Source · The Register
