La nueva táctica de los ciberdelincuentes: Fingir ser el remedio para la enfermedad
En el complejo ecosistema del cibercrimen, la innovación no siempre es tecnológica; a menudo es puramente estratégica. Recientemente, el equipo de investigación de GuidePoint Security (GRIT) ha identificado una tendencia alarmante: actores de ransomware que se presentan ante sus víctimas como servicios legítimos de recuperación de incidentes bajo el nombre de ‘Ransom Busters’.
Esta táctica representa un giro sofisticado en el modelo de Ransomware-as-a-Service (RaaS). En lugar de limitarse a la extorsión tradicional, estos atacantes intentan engañar a las empresas afectadas ofreciéndoles «ayuda» para eliminar sus datos de los servidores de los criminales y recuperar el acceso a sus archivos, todo ello a cambio de una tarifa significativamente menor al rescate original.
¿Cómo opera ‘Ransom Busters’?
El modus operandi es tan audaz como engañoso. Tras un ataque perpetrado por grupos como DragonForce o Anubis, las víctimas reciben un correo electrónico de ‘Ransom Busters’. En el mensaje, afirman haber infiltrado la infraestructura de los atacantes y poseer las claves de cifrado, así como la capacidad de destruir las copias de seguridad robadas.
Sin embargo, la realidad técnica es muy distinta. Las investigaciones sugieren que ‘Ransom Busters’ no es un tercero heroico, sino un afiliado del propio grupo de ransomware. Utilizando su acceso legítimo a los datos robados (como parte de la operación criminal), intentan monetizar el ataque de forma independiente, desviando el pago del rescate hacia sus propios bolsillos y puenteando a la organización principal de RaaS.
Señales de alerta para el entorno empresarial
Para los directivos y responsables de seguridad, identificar a estos falsos rescatadores es crucial para evitar una doble extorsión. Existen varios indicadores de sospecha (red flags) que delatan a estos actores:
- Contacto proactivo inusual: ‘Ransom Busters’ suele contactar a la empresa antes de que el incidente se haga público. Las firmas legítimas de respuesta ante incidentes (IR) generalmente actúan tras ser contratadas o después de una divulgación oficial.
- Acciones ofensivas dudosas: Afirman haber hackeado a otros criminales. Una empresa de ciberseguridad legítima no realiza acciones ofensivas ilegales ni viola leyes de acceso informático para recuperar datos.
- Exigencias financieras inmediatas: Solicitan pagos de entre 20.000 y 60.000 dólares en Bitcoin antes de realizar cualquier análisis de alcance o consultoría técnica inicial.
- Uso de servicios de correo gratuitos: Utilizan plataformas como ProtonMail en lugar de dominios corporativos verificables.
El riesgo de la «falsa eliminación» de datos
Desde la perspectiva de la gestión de riesgos, confiar en estos actores es extremadamente peligroso. Al ser afiliados y no tener control total sobre toda la infraestructura del grupo criminal, no pueden garantizar que los datos hayan sido eliminados realmente. Pagar a ‘Ransom Busters’ no asegura que el grupo de ransomware original no publique la información más adelante.
Como señala la comunidad experta, esta práctica no solo daña a las empresas víctimas, sino que socava la poca «credibilidad» que los grupos de RaaS intentan mantener en sus negociaciones, convirtiendo el proceso de recuperación en un terreno aún más incierto y volátil.
Recomendación de Intedya
Ante un incidente de ransomware, es vital mantener la calma y seguir los protocolos establecidos de respuesta ante incidentes. Nunca entable negociaciones con entidades no verificadas que surjan de forma espontánea durante la crisis. La recuperación segura y legal de la continuidad de negocio debe pasar siempre por expertos certificados y canales oficiales de ciberseguridad.
Fuentes
- Dark Reading — ‘Ransom Busters’: Ransomware Actor Poses as Incident-Recovery Service
https://www.darkreading.com/cyberattacks-data-breaches/ransom-busters-ransomware-actor-incident-recovery-service