あるランサムウェア攻撃者、データ復旧業者を装って身代金を騙し取る

「Ransom Busters(ランサム・バスターズ)」を名乗るランサムウェア復旧サービスを装った、ランサムウェア攻撃者とみられる人物が確認されました。攻撃が公になる前の段階で被害者に接触し、料金と引き換えに復号鍵の提供や盗んだデータの削除ができると持ちかけているといいます。

GuidePoint SecurityのResearch and Intelligence Team(GRIT)は、最近対応した複数のランサムウェア攻撃において、被害者がRansom Bustersから攻撃からの復旧を支援すると持ちかけるメールを受け取っていたことを受け、この活動について明らかにしました。

これらのメッセージが不審視されたのは、攻撃が公になる前の被害者に送られていた点です。この事実は、そもそもRansom Bustersがどうやってサイバー攻撃の発生を知り得たのかという疑問を呼び起こしました。

Ransom Bustersは、ランサムウェア・アズ・ア・サービス(RaaS)組織が使用する管理パネルの脆弱性を突いたと主張しており、これにより暗号鍵や被害者から盗まれたデータへのアクセス権を得たとしています。

同グループは、DragonForce、Settra、Anubisといった組織のランサムウェアサーバーを含め、盗まれたデータの削除を2万ドルから6万ドルの範囲の料金で請け負うと申し出ていました。

しかし、2件のインシデントから得られた証拠により、GRITはRansom Bustersが実際の復旧業者ではなく、攻撃を実行したランサムウェア攻撃者本人である可能性が高いと見ています。

いずれのケースでも、攻撃者はSoftPerfect Network Scanner、s5cmd、リモート監視ツールのRemotelyといった同一のソフトウェアを使用していました。さらに、パスワード「Numlock!123」を用いてローカルのバックドアアカウントを作成する手口や、攻撃者が管理する同一のホスト名「DESKTOP-BBETH6K」を使うといった、共通の戦術も見られました。

GRITは、複数のRaaS組織にまたがって重複する活動を確認しており、Ransom Bustersは単一のランサムウェア攻撃者であり、自らが協力関係にあるランサムウェアギャングから、そのアクセス権を悪用して身代金を横取りしているとの見方を中程度の確度で示しています。

GRITはBleepingComputerに対し、これまでにRansom Bustersへ支払いを行った被害者は確認していないとし、被害者に支払わないよう呼びかけていると説明しました。ただし、Ransom Bustersが関与したあるインシデントでは、被害者はRansom Bustersではなく、攻撃の背後にいたRaaS組織側に支払いを行っていました。

研究者らによると、この被害者の名前と盗まれたデータは、当該ランサムウェア組織のリークサイトには公開されておらず、Ransom BustersがRaaS環境の外部で盗んだデータを流出させた証拠も見つかっていないとのことです。

ランサムウェア交渉会社のCoveware(カバウェア)もBleepingComputerに対し、同社もまた最近、同一のグループまたは個人が被害者に接触した事例に少なくとも1件対応したことを確認しました。

Coveware社のIR担当シニアディレクターであるElizabeth Cookson氏はBleepingComputerに対し、「この第三者はメールで被害者に接触し、復号鍵と盗まれたデータの両方へのアクセス権を持っていると主張しました」と述べています。

Cowareによると、同社は2024年ごろから、別の名称を使う同様の「仲介者」に遭遇してきたといいますが、こうした活動は、攻撃が公に開示された後にのみ被害者へ接触してくる典型的な「アンビュランス・チェイサー(便乗業者)」とは一線を画すとしています。

「非公開のインシデントに対してこうした干渉が行われるのは、はるかに憂慮すべきことです」とLizzie氏はBleepingComputerに語りました。

Cowareによれば、盗まれたデータへのアクセス権を持つ不正な第三者による干渉は、被害者にとってリスクを高める要因になるといいます。ランサムウェア組織に支払いを行ったとしても、データにアクセスできる全員がリークしないという合意を守る保証はもはやないためです。

同社は、ランサムウェア・アズ・ア・サービス組織内での不信感の高まりが、こうした行為をさらに助長する可能性があると見ています。攻撃者(アフィリエイト)が、ランサムウェア運営者との通常の収益分配の枠組みの外で、追加の利益を得ようとする動きが背景にあるとしています。

BleepingComputerはこれまでにも、第三者のランサムウェア復旧サービスがフォーラムにアカウントを作成し、ランサムウェア被害を公に開示した被害者に個別に接触し、暗号化されたファイルを復号できると主張するケースについて警告してきました。

ただし、こうした従来のサービスは概して公に知られている被害者を狙うものでした。それに対し、Ransom Bustersが非公開のインシデントについて知っていたという点は、はるかに憂慮すべき事態だといえます。