Un affiliate ransomware ha costruito un'identità parallela come recovery firm, contattando vittime di attacchi non ancora pubblici per offrire decrittazione e cancellazione dati a prezzo di mercato. Il 18 agosto 2026 la ricerca di GuidePoint Security GRIT documenta come questo schema eroda il meccanismo di fiducia su cui si regge l'intero mercato RaaS: se i dati rubati restano in più mani, la promessa di soppressione diventa carta straccia.
- Ransom Busters contatta vittime prima della pubblicazione degli attacchi, offrendo decrittazione e cancellazione dati per 20.000-60.000 dollari secondo BleepingComputer.
- GRIT ha risposto a due incidenti con evidence forense sovrapposta: stessi tool (SoftPerfect Network Scanner, s5cmd, Remotely RMM), stessa password backdoor "Numlock!123", stesso hostname "DESKTOP-BBETH6K".
- GRIT valuta con "moderate confidence" che Ransom Busters sia lo stesso affiliate degli attacchi, non una vera recovery firm.
- Coveware ha confermato almeno un terzo incidente con pattern identico, estendendo la conferma oltre i due casi di response diretta.
Il meccanismo del doppio ricatto interno
Ransom Busters opera in una finestra temporale critica: il contatto avviene tra la compromissione e la pubblicazione dell'attacco, quando la vittima è sotto pressione ma il mercato secondario dei dati non si è ancora attivato. Secondo la fonte, l'entity offre un pacchetto a 20.000-60.000 dollari che include decrittazione e cancellazione dei dati rubati.
La distinzione da una recovery firm legittima è strutturale. Justin Timothy, principal threat intelligence consultant di GuidePoint Security, osserva via Dark Reading che le firme legittime non forniscono pricing prima di una scoping call, mentre Ransom Busters introduce la domanda finanziaria nelle prime comunicazioni, replicando il comportamento dei ransomware actor stessi. La richiesta di pagamento in Bitcoin è un ulteriore indicatore che Timothy considera determinante: nessun vendor credibile del settore utilizza questa modalità.
L'entity afferma di aver compromesso pannelli amministrativi di RaaS operations, acquisendo "quasi tutta la loro infrastruttura". Questa claim non è stata verificata indipendentemente. La fonte non stabilisce se si tratti di accesso autentico o di cover story.
La catena forense che collega i due ruoli
La convergenza tecnica tra gli attacchi RaaS e i contatti di Ransom Busters è documentata attraverso più layer di sovrapposizione. In due incidenti di response forense separati, GRIT ha isolato identici artefatti: il tool SoftPerfect Network Scanner per ricognizione rete, s5cmd per trasferimento dati S3, Remotely RMM per accesso remoto persistente. La password backdoor locale è identica: "Numlock!123". L'hostname controllato dall'attaccante è lo stesso: "DESKTOP-BBETH6K".
Questa molteplicità di punti di contatto supera la soglia della coincidenza casuale, ma non raggiunge la certezza assoluta. GRIT esplicita il livello di confidence come "moderate", lasciando aperta la formalizzazione di elementi aggiuntivi per un'elevazione a "high". La fonte non specifica quali elementi manchino per questo salto.
Ransom Busters ha confermato accesso al dataset identico posseduto dall'affiliate quando è stato interrogato, secondo Dark Reading. Questo accesso ai dati pre-pubblicazione è il discrimine che separa il fenomeno dalle recovery firm legittime, che operano esclusivamente post-disclosure.
La rottura del contratto sociale criminale
"Se sia la RaaS operation che Ransom Busters conservano copie dei dati rubati, le vittime non hanno alcuna garanzia ragionevole che tutte le copie vengano distrutte." — Justin Timothy, GuidePoint Security (via Dark Reading)
Il modello RaaS si regge su un meccanismo di commitment ripetuto: l'affiliate promette di cancellare i dati in cambio del pagamento, e la reputazione del marchio RaaS dipende dalla credibilità di questa promessa. Se l'affiliate monetizza la stessa vittima parallelamente, mantenendo una copia privata dei dati, il pagamento per soppressione diventa privo di valore contrattuale.
Elizabeth Cookson, Senior Director of IR a Coveware, conferma via BleepingComputer almeno un altro incidente con contatto mid-incident da parte di terza parte che claimava accesso sia a decryption key che a stolen data. Cookson distingue questo pattern dalla storia più lunga di "middlemen" simili osservati fin dal 2024: l'attività pre-pubblicazione è "molto più preoccupante" rispetto ai contatti post-disclosure, perché rompe la sequenza temporale attesa e suggerisce accesso interno alla catena d'attacco.
Cosa fare adesso
Per le organizzazioni che gestiscono incidenti ransomware, la fonte suggerisce alcuni punti di verifica specifici:
- Verificare la temporalità del contatto: recovery firm legittime operano dopo la pubblicazione dell'attacco, non prima.
- Valutare con attenzione le richieste di pricing anticipato, che replicano il pattern comunicazionale dei ransomware actor.
- Trattare come indicatore di intento malevolo qualunque richiesta di pagamento in Bitcoin.
- Confermare attraverso canali indipendenti la provenienza della decryption key offerta, senza assumere che l'accesso ai dati impliciti derivi da compromissione del panel RaaS.
Il dossier non documenta misure correttive specifiche per le RaaS operations colpite. Non emerge se DragonForce, Settra o Anubis abbiano risposto agli eventi.
Il confine tra affiliate e competitor
Il caso Ransom Busters disegna una mutazione del mercato ransomware che le difese tradizionali non coprono: il rischio non è più solo esterno, ma intra-criminoso. Quando un affiliate diventa competitor del proprio operatore RaaS, il perimetro di sicurezza della vittima si frammenta. La negoziazione con il canale ufficiale non garantisce più la riservatezza dei dati, perché una copia parallela potrebbe persistere in mani non vincolate dal contratto RaaS.
La scala del fenomeno resta da quantificare: tre casi confermati, due con response diretta e uno con conferma Coveware, non permettono di stabilire se si tratti di pattern in espansione o di caso isolato. Il numero totale di vittime contattate è sconosciuto. GRIT non ha osservato pagamenti effettuati a Ransom Busters, e in un caso la vittima ha pagato la RaaS operation originale senza che i dati venissero pubblicati o leakati da terzi.
Il limite del dossier è anche il suo avvertimento più netto: il trust, anche quello criminale, è una risorsa consumabile.
Domande frequenti
Ransom Busters ha effettivamente ricevuto pagamenti?
Secondo GRIT, non sono stati osservati pagamenti a Ransom Busters. In un caso documentato, la vittima ha pagato la RaaS operation originale.
Quante RaaS operations sono state coinvolte?
La ricerca di GRIT ha osservato il comportamento in incidenti collegati a DragonForce, Settra e Anubis, secondo la citazione diretta dal blog post. Non emerge se il pattern si estenda ad altre operazioni.
È certo che Ransom Busters sia l'affiliate degli attacchi?
GRIT esprime "moderate confidence", basata sulla sovrapposizione forense multipla. La fonte non stabilisce se si tratti di affiliate ufficiale, ex-affiliate o entità con accesso indipendente.
Fonti
- https://www.bleepingcomputer.com/news/security/rogue-ransomware-affiliate-ransom-busters-poses-as-recovery-firm/
- https://www.darkreading.com/cyberattacks-data-breaches/ransom-busters-ransomware-actor-incident-recovery-service
- https://www.bleepingcomputer.com/forums/forum-239/announcement-52-important-notice-forum-spam-offering-ransomware-decryption-services/
- https://wiz.io/lp/ai-threat-readiness-101?utm_source=bleepingcomputer&utm_medium=display&utm_campaign=FY27Q2_INB_FORM_AI-Threat-Readiness-Infographic&sfcid=701Vh00000delRcIAI&utm_term=FY27-bleepingcomputer-article-970x250-August&utm_content=AITR-Infographic
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.