Ransom Busters, der falsche Vermittler, der versucht, Lösegeld von Ransomware-Gangs zu erpressen

Der Angriff erfolgt vor der Veröffentlichung der Daten

Am 19. August 2026 beschrieb das GuidePoint Security Research and Intelligence Team (GRIT) eine Kampagne, die mit moderater Zuversicht einem Ransomware-Affiliate zugeschrieben wird, der unter dem Namen „Ransom Busters“ als Recovery-Dienst auftritt.

Die Gruppe kontaktiert betroffene Unternehmen, bevor der Ransomware-Betreiber den Vorfall öffentlich macht. Das Angebot klingt zunächst einfach: Im Austausch für 20.000 bis 60.000 US-Dollar sollen die Entschlüsselungsschlüssel bereitgestellt und die gestohlenen Informationen gelöscht werden.

Dieses Verhalten unterscheidet sich von dem gewöhnlicher opportunistischer Vermittler, die Opfer erst nach der Veröffentlichung des Angriffs auf Data-Leak-Seiten kontaktieren. Ransom Busters scheint dagegen schon vorher vom Eindringen, der Identität des Opfers und dem Besitz der Daten zu wissen.

Für dieses Wissen gibt es zwei mögliche Erklärungen. Die Gruppe könnte die Administrationsoberflächen kompromittiert haben, die von Ransomware-as-a-Service-Organisationen (RaaS) genutzt werden, und dadurch Zugriff auf Entschlüsselungsschlüssel, Opferinformationen und exfiltrierte Daten erhalten haben. Alternativ könnte sie direkt an den Angriffen beteiligt sein.

Die Hypothese: Ein Affiliate kassiert doppelt

Laut GRIT weisen zwei untersuchte Vorfälle erhebliche technische und operative Überschneidungen auf. Die beobachteten Merkmale sprechen mit moderater Zuversicht dafür, dass Ransom Busters kein unabhängiger Vermittler ist, sondern derselbe Affiliate, der innerhalb mehrerer RaaS-Ökosysteme aktiv sein kann.

Das mögliche kriminelle Vorgehen ist besonders relevant. Der Affiliate beteiligt sich am Angriff, stiehlt Daten und erhält Zugriff auf die Infrastruktur der Ransomware-Operation. Anschließend kontaktiert er das Opfer und gibt sich als externe Partei aus, die die Krise lösen kann.

Auf diese Weise kann er versuchen, die Zahlung direkt einzubehalten, anstatt sie gemäß den Vereinbarungen mit der RaaS-Organisation aufzuteilen. Die Geldforderung wäre damit ein zweiter Profitkanal, der dieselbe Kompromittierung ausnutzt.

Die Gruppe erklärte, sie könne auf Daten im Zusammenhang mit DragonForce, Settra und Anubis zugreifen. Dass ähnliche Aktivitäten bei mehreren Operationen aufgetreten sind, stärkt die Hypothese eines mobilen Affiliates, der nicht zwingend exklusiv an eine einzige Gang gebunden ist.

Technische Indikatoren verbinden die beiden Fälle

Die Analysen von GRIT identifizierten in beiden Vorfällen dieselben Tools:

• SoftPerfect Network Scanner, zur Erkennung von Systemen und Geräten im Netzwerk;
• s5cmd, ein Tool für Operationen auf Amazon-S3-kompatiblem Storage;
• Remotely, zur Überwachung und Fernsteuerung von Systemen.

Außerdem traten zwei spezifischere Indikatoren erneut auf. In beiden Fällen soll ein lokales Konto als Backdoor angelegt worden sein, mit dem Passwort Numlock!123. Die Angreifer sollen außerdem den Hostnamen DESKTOP-BBETH6K verwendet haben.

Das Vorhandensein derselben Tools beweist allein noch nicht die Identität des Angreifers: Einige davon können legitim oder leicht verfügbar sein. Die Kombination aus Software, lokalem Konto, Passwort und Hostnamen liefert den Ermittlern jedoch eine belastbarere operative Spur.

Organisationen, die von einem Vorfall betroffen sind, sollten in Endpoint-Logs, Kontoverwaltungssystemen und auf Geräten, die Remoteverbindungen aufgebaut haben, nach diesen Elementen suchen. Ein einzelner Indikator reicht nicht für eine Zuordnung des Angriffs aus, kann aber helfen, Persistenz oder Aktivitäten nach der ursprünglichen Kompromittierung zu erkennen.

Die Zahlung an die Gang beendet die Krise nicht unbedingt

GRIT hat keine Opfer identifiziert, die an Ransom Busters gezahlt haben, und empfiehlt, kein Geld an diese Partei zu überweisen. In mindestens einem Fall zahlte das Opfer stattdessen an die für den Angriff verantwortliche RaaS-Operation.

Nach der Zahlung erschienen weder der Name der Organisation noch die gestohlenen Daten auf der Data-Leak-Seite der Gang. Die Forscher fanden außerdem keine Belege dafür, dass Ransom Busters die Informationen außerhalb der RaaS-Umgebung veröffentlicht hat.

Dieses Ergebnis bedeutet jedoch nicht, dass die Daten gelöscht wurden. Ein Dritter könnte unabhängige Kopien besitzen und sich nicht an Vereinbarungen mit der Ransomware-Gang halten. Eine Zahlung an eine kriminelle Operation garantiert daher nicht, dass jede Person, die im Besitz der Dateien ist, auf eine Veröffentlichung verzichtet.

Coveware bestätigte, mindestens einen Vorfall bearbeitet zu haben, bei dem dieselbe Gruppe oder dieselbe Person das Opfer direkt per E-Mail kontaktierte und behauptete, sowohl den Entschlüsselungsschlüssel als auch die gestohlenen Daten zu besitzen.

Das Verhandlungsunternehmen erklärt, bereits seit 2024 ähnliche Vermittler unter verschiedenen Namen beobachtet zu haben. Das jüngste Phänomen wird als schwerwiegender eingestuft, weil der Kontakt vor der Veröffentlichung des Angriffs erfolgt – zu einem Zeitpunkt, an dem das Opfer möglicherweise noch nicht das gesamte Ausmaß der Kompromittierung überprüft hat.

Was betroffene Organisationen prüfen sollten

Die wichtigste Maßnahme besteht darin, weder an Ransom Busters noch an andere nicht verifizierte Parteien zu zahlen, die gleichzeitig Entschlüsselung und Datenlöschung versprechen. Die Identität des Gesprächspartners sollte über das Incident-Response-Team, den beauftragten Verhandlungsführer und, sofern möglich, die beteiligte RaaS-Operation überprüft werden.

Zu den vorrangigen technischen Maßnahmen gehören:

1. in Logging-Systemen und forensischen Daten nach Numlock!123 und DESKTOP-BBETH6K suchen;
2. die Nutzung von SoftPerfect Network Scanner, s5cmd und Remotely außerhalb regulärer Geschäftsprozesse überprüfen;
3. während oder nach dem Eindringen angelegte lokale Konten identifizieren und deaktivieren;
4. potenziell offengelegte Passwörter, Tokens, Schlüssel und Zugangsdaten sofort rotieren;
5. RaaS-Administrationsoberflächen und andere exponierte Dienste überprüfen, die zur Steuerung der kriminellen Aktivitäten verwendet wurden;
6. ermitteln, welche Daten kopiert wurden und wie viele Parteien möglicherweise eine Kopie davon behalten haben.

Per E-Mail eingegangene Nachrichten sollten einschließlich vollständiger Header, Anhänge und Metadaten gesichert werden. Diese Elemente können helfen, den Gesprächspartner mit bereits analysierten Infrastrukturen oder Vorfällen in Verbindung zu bringen.

Misstrauen kann neue Erpressungen begünstigen

Coveware geht davon aus, dass zunehmendes internes Misstrauen innerhalb von RaaS-Operationen andere Affiliates dazu bewegen könnte, parallele Einnahmequellen aufzubauen. Das traditionelle Modell, bei dem das Lösegeld zwischen Affiliate und Betreiber der kriminellen Infrastruktur aufgeteilt wird, schafft einen Anreiz, Informationen oder Zahlungen zu entwenden, ohne die anderen Beteiligten zu informieren.

Für die Opfer entsteht dadurch ein mehrstufiges Risiko: Sie können Forderungen von der Gang, einem Affiliate und Parteien erhalten, die später Zugriff auf die Daten erlangt haben. Jeder Gesprächspartner kann behaupten, den Schlüssel oder die Informationen zu kontrollieren, ohne dass das Opfer dies unmittelbar überprüfen kann.

Als separaten Präventionskontext berichtet der Blue Report 2026, die Abwehrmaßnahmen anhand von 338 Millionen Simulationen in Produktivumgebungen bewertet zu haben. Nach Angaben des Werbematerials werden 37 % der Aktionen blockiert, wenn Angreifer gültige Zugangsdaten verwenden. Die Zahl unterstreicht die Bedeutung von Kontrollen für Benutzerkonten, erlaubt jedoch keine direkte Bewertung der Auswirkungen der Ransom-Busters-Kampagne.