恶意勒索软件附属团伙伪装成数据恢复企业骗取赎金

一个勒索软件附属团伙伪装成名为 Ransom Busters（勒索终结者） 的勒索恢复服务商。在攻击尚未对外公开的阶段就主动联系受害者，宣称可以提供解密密钥、删除被盗数据，并以此索要报酬。

GuidePoint 安全公司旗下研究情报团队（GRIT）在处置多起勒索软件事件后披露该威胁。受害者收到来自 Ransom Busters 的邮件，对方声称可以协助从勒索攻击中恢复数据。

这类邮件十分可疑：攻击事件尚未对外公开，该组织就已经掌握攻击细节，外界无从得知其获取情报的途径。

Ransom Busters 宣称，其攻破了多家勒索即服务（RaaS）团伙的管理后台面板，拿到解密密钥以及从受害者处窃取的数据。该团伙表示，可帮受害者从 DragonForce、Settra、Anubis 等勒索组织的服务器中删除被盗数据，索要2 万至 6 万美元酬金。

但两起事件中的取证证据表明，Ransom Busters 并非真正的数据恢复服务商，实施攻击的本身就是这个勒索软件附属团伙。

两起事件中攻击者使用完全一致的工具：SoftPerfect 网络扫描器、s5cmd 工具、Remotely 远程监控管理工具；攻击战术也高度重合：创建后门本地账户，统一使用密码Numlock!123；还出现同一个攻击者主机名DESKTOP‑BBETH6K。

GRIT 在多个 RaaS 攻击活动中都观测到上述相同行为模式，评估认为：Ransom Busters 就是单一勒索软件附属团伙，利用自身访问权限，试图从合作的勒索组织手中抢走赎金。

GRIT 向 BleepingComputer 表示，暂未发现有受害者向 Ransom Busters 付款，同时强烈不建议受害者向该团伙支付费用。其中一例事件里，受害者选择直接向原始 RaaS 犯罪团伙支付赎金。事后该受害者信息并未出现在勒索组织的数据泄露网站，也没有证据显示 Ransom Busters 向外泄露过这批被盗数据。

勒索谈判企业 Coveware 向 BleepingComputer 证实，自身近期也处理过至少一起同一团伙联系受害者的事件。

“该第三方通过邮件联系受害者，声称同时掌握解密密钥和被盗数据。”——Coveware 事件响应高级主管 Elizabeth Cookson。

Coveware 称，早在 2024 年就见过使用其他身份的同类 “中间人”。但该行为和传统的 “事故追猎者” 有本质区别：后者只会在攻击已经公开之后才接触受害者。

“这种在事件尚未公开阶段就介入干扰的行为，风险要高得多。”

犯罪第三方掌握被盗数据会极大抬高受害者风险：即便向原始勒索团伙支付赎金，也无法保证所有持有副本数据的主体都会遵守不泄露的约定。

Coveware 判断，RaaS 黑产内部信任瓦解，会催生更多此类行为：附属成员试图跳出原本收益分成规则，开辟额外牟利渠道。

BleepingComputer 论坛此前也曾发现有第三方勒索恢复服务商注册账号，私下接触已经公开勒索事件的受害者，宣称可以解密文件。但这类服务商只针对已经曝光的事件；而 Ransom Busters 能够获知未公开攻击事件，危害性更加突出。