Ransom Busters, le faux intermédiaire qui tente de détourner les rançons des gangs de ransomware

L’attaque survient avant la publication des données

Le 19 août 2026, le GuidePoint Security Research and Intelligence Team (GRIT) a décrit une campagne attribuée avec un niveau de confiance modéré à un affilié de ransomware se présentant comme un service de récupération sous le nom « Ransom Busters ».

Le groupe contacte les entreprises victimes avant que l’opération de ransomware ne rende l’incident public. La proposition est apparemment simple : fournir la clé de déchiffrement des fichiers et supprimer les informations volées, en échange d’une somme comprise entre 20 000 et 60 000 dollars.

Ce comportement se distingue de celui des intermédiaires opportunistes classiques, qui ciblent les victimes après la publication de l’attaque sur les sites de fuite de données. Ransom Busters semble au contraire connaître à l’avance l’existence de l’intrusion, l’identité de la victime et la possession des données.

Cette connaissance peut s’expliquer de deux façons. Le groupe pourrait avoir compromis les panneaux d’administration utilisés par les organisations de ransomware-as-a-service (RaaS), obtenant ainsi accès aux clés de déchiffrement, aux informations sur les victimes et aux données exfiltrées. Il pourrait aussi être directement impliqué dans les attaques.

L’hypothèse : un affilié qui encaisse deux fois

Selon le GRIT, deux incidents examinés présentent d’importants recoupements techniques et opérationnels. Les éléments observés laissent penser, avec un niveau de confiance modéré, que Ransom Busters n’est pas un intermédiaire indépendant, mais le même affilié capable d’opérer au sein de plusieurs écosystèmes RaaS.

Le schéma criminel potentiel est particulièrement significatif. L’affilié participe à l’attaque, vole les données et accède à l’infrastructure de l’opération de ransomware. Il contacte ensuite la victime en se faisant passer pour un tiers extérieur capable de résoudre la crise.

Il peut ainsi tenter de conserver directement le paiement, au lieu de le partager selon les accords prévus par l’organisation RaaS. La demande financière constituerait donc une seconde source de revenus exploitant la même compromission.

Le groupe a déclaré pouvoir intervenir sur des données associées à DragonForce, Settra et Anubis. Le fait que des activités similaires soient apparues dans plusieurs opérations renforce l’hypothèse d’un affilié mobile, pas nécessairement lié exclusivement à un seul gang.

Les indicateurs techniques relient les deux cas

Les analyses du GRIT ont relevé les mêmes outils dans les deux incidents :

• SoftPerfect Network Scanner, utilisé pour identifier les systèmes et les appareils présents sur le réseau ;
• s5cmd, outil destiné aux opérations sur des stockages compatibles avec Amazon S3 ;
• Remotely, utilisé pour surveiller et contrôler des systèmes à distance.

Deux indicateurs plus spécifiques sont également réapparus. Dans les deux cas, un compte local utilisable comme porte dérobée aurait été créé, avec le mot de passe Numlock!123. Les opérateurs auraient également utilisé le nom d’hôte DESKTOP-BBETH6K.

La présence des mêmes outils ne suffit pas à elle seule à prouver l’identité de l’attaquant : certains peuvent être légitimes ou facilement accessibles. La combinaison du logiciel, du compte local, du mot de passe et du nom d’hôte fournit toutefois aux enquêteurs une piste opérationnelle plus solide.

Les organisations victimes d’un incident devraient rechercher ces éléments dans les journaux des endpoints, les systèmes de gestion des comptes et les appareils ayant établi des connexions à distance. Un indicateur isolé ne suffit pas à attribuer l’attaque, mais il peut aider à détecter une persistance ou des activités postérieures à la compromission initiale.

Le paiement du gang ne met pas nécessairement fin à la crise

Le GRIT n’a identifié aucune victime ayant payé Ransom Busters et recommande de ne pas transférer d’argent à ce groupe. Dans au moins un cas, la victime a toutefois payé l’opération RaaS considérée comme responsable de l’attaque.

Après le paiement, le nom de l’organisation et les données volées ne sont pas apparus sur le site de fuite de données du gang. Les chercheurs n’ont pas non plus trouvé de preuve indiquant que Ransom Busters ait publié les informations en dehors de l’environnement RaaS.

Ce résultat ne signifie toutefois pas que les données ont été supprimées. Un tiers peut disposer de copies indépendantes et ne pas respecter les accords conclus avec le gang de ransomware. Par conséquent, payer une opération criminelle ne garantit pas que chaque personne détenant les fichiers renoncera à les divulguer.

Coveware a confirmé avoir géré au moins un incident au cours duquel le même groupe, ou le même individu, a contacté directement la victime par e-mail en affirmant posséder à la fois la clé de déchiffrement et les données volées.

La société de négociation affirme avoir observé des intermédiaires similaires, sous des noms différents, dès 2024. Le phénomène récent est jugé plus grave, car l’interlocuteur intervient avant la publication de l’attaque, à un moment où la victime n’a peut-être pas encore évalué l’ampleur réelle de la compromission.

Ce que les organisations victimes doivent vérifier

La première mesure consiste à ne pas payer Ransom Busters ni d’autres acteurs non vérifiés qui promettent simultanément le déchiffrement et la suppression des données. L’identité de l’interlocuteur doit être vérifiée par l’intermédiaire de l’équipe de réponse à incident, du négociateur mandaté et, lorsque cela est possible, de l’opération RaaS impliquée.

Les actions techniques prioritaires comprennent :

1. rechercher Numlock!123 et DESKTOP-BBETH6K dans les systèmes de journalisation et les données forensiques ;
2. vérifier l’utilisation de SoftPerfect Network Scanner, s5cmd et Remotely en dehors des processus habituels de l’entreprise ;
3. identifier et désactiver les comptes locaux créés pendant ou après l’intrusion ;
4. renouveler immédiatement les mots de passe, jetons, clés et identifiants potentiellement exposés ;
5. contrôler les panneaux d’administration RaaS et les autres services exposés utilisés pour orchestrer l’activité criminelle ;
6. déterminer quelles données ont été copiées et combien d’acteurs pourraient en avoir conservé une copie.

Les communications reçues par e-mail doivent être conservées avec leurs en-têtes complets, leurs pièces jointes et leurs métadonnées. Ces éléments peuvent aider à relier l’interlocuteur à des infrastructures ou à des incidents déjà analysés.

La méfiance peut alimenter de nouvelles extorsions

Coveware estime que la montée de la méfiance au sein des opérations RaaS pourrait inciter d’autres affiliés à créer des sources de revenus parallèles. Le modèle traditionnel, fondé sur le partage de la rançon entre l’affilié et le gestionnaire de l’infrastructure criminelle, crée en effet une incitation à dérober des informations ou des paiements sans en informer les autres participants.

Le risque pour les victimes devient ainsi multidimensionnel : elles peuvent recevoir des demandes du gang, d’un affilié et d’acteurs ayant obtenu ultérieurement l’accès aux données. Chaque interlocuteur peut prétendre contrôler la clé ou les informations, sans que la victime dispose de moyens immédiats pour le vérifier.

Dans un contexte distinct lié à la prévention, le Blue Report 2026 indique avoir évalué les défenses au moyen de 338 millions de simulations dans des environnements de production. Selon le matériel promotionnel, lorsque les attaquants utilisent des identifiants valides, 37 % des actions sont bloquées. Ce chiffre souligne le rôle des contrôles liés aux comptes, mais ne permet pas de mesurer directement l’impact de la campagne Ransom Busters.