Ransom Busters, il falso intermediario che tenta di sottrarre i riscatti alle gang ransomware

L’attacco arriva prima della pubblicazione dei dati

Il 19 agosto 2026 il GuidePoint Security Research and Intelligence Team (GRIT) ha descritto una campagna attribuita con moderata fiducia a un affiliato ransomware che si presenta come servizio di recupero con il nome “Ransom Busters”.

Il gruppo contatta le aziende colpite prima che l’operazione ransomware renda pubblico l’incidente. La proposta è apparentemente semplice: fornire la chiave per decifrare i file e cancellare le informazioni rubate, in cambio di una somma compresa fra 20.000 e 60.000 dollari.

Il comportamento si distingue dai normali intermediari opportunistici, che cercano le vittime dopo la pubblicazione dell’attacco sui siti di data leak. Ransom Busters sembra invece conoscere in anticipo l’esistenza dell’intrusione, l’identità della vittima e il possesso dei dati.

Questa conoscenza può avere due spiegazioni. Il gruppo potrebbe aver compromesso i pannelli amministrativi usati dalle organizzazioni ransomware-as-a-service (RaaS), ottenendo accesso a chiavi di decrittazione, informazioni sulle vittime e dati esfiltrati. Oppure potrebbe essere direttamente coinvolto negli attacchi.

L’ipotesi: un affiliato che incassa due volte

Secondo GRIT, due incidenti esaminati presentano sovrapposizioni tecniche e operative significative. Gli elementi osservati fanno ritenere, con moderata fiducia, che Ransom Busters non sia un intermediario indipendente, ma lo stesso affiliato capace di lavorare all’interno di più ecosistemi RaaS.

Il possibile schema criminale è particolarmente rilevante. L’affiliato partecipa all’attacco, sottrae dati e accede all’infrastruttura dell’operazione ransomware. Successivamente contatta la vittima fingendosi un soggetto esterno in grado di risolvere la crisi.

In questo modo può tentare di trattenere direttamente il pagamento, invece di dividerlo secondo gli accordi previsti dall’organizzazione RaaS. La richiesta economica sarebbe quindi un secondo canale di profitto costruito sfruttando la stessa compromissione.

Il gruppo ha dichiarato di poter intervenire su dati associati a DragonForce, Settra e Anubis. Il fatto che attività simili siano comparse in più operazioni rafforza l’ipotesi di un affiliato mobile, non necessariamente legato in modo esclusivo a una sola gang.

Gli indicatori tecnici collegano i due casi

Le analisi di GRIT hanno rilevato gli stessi strumenti nei due incidenti:

• SoftPerfect Network Scanner, utilizzato per individuare sistemi e dispositivi nella rete;
• s5cmd, strumento per operazioni su storage compatibile con Amazon S3;
• Remotely, impiegato per monitorare e controllare sistemi a distanza.

Sono inoltre ricomparsi due indicatori più specifici. In entrambi i casi sarebbe stato creato un account locale utilizzabile come backdoor, con la password Numlock!123. Gli operatori avrebbero anche usato l’hostname DESKTOP-BBETH6K.

La presenza degli stessi strumenti non dimostra da sola l’identità dell’attaccante: alcuni possono essere legittimi o facilmente reperibili. La combinazione fra software, account locale, password e hostname, però, offre agli investigatori una traccia operativa più solida.

Le organizzazioni che hanno subito un incidente dovrebbero cercare questi elementi nei log degli endpoint, nei sistemi di gestione degli account e nei dispositivi che hanno stabilito connessioni remote. Un indicatore isolato non basta per attribuire l’attacco, ma può aiutare a individuare persistenza o attività successive alla compromissione iniziale.

Il pagamento alla gang non chiude necessariamente la crisi

GRIT non ha identificato vittime che abbiano pagato Ransom Busters e raccomanda di non trasferire denaro a questo soggetto. In almeno un caso, invece, la vittima ha pagato l’operazione RaaS ritenuta responsabile dell’attacco.

Dopo il pagamento, il nome dell’organizzazione e i dati sottratti non sono comparsi sul sito di data leak della gang. I ricercatori non hanno trovato neppure prove che Ransom Busters abbia pubblicato le informazioni al di fuori dell’ambiente RaaS.

Questo esito non equivale però alla cancellazione dei dati. Un terzo soggetto potrebbe avere copie autonome e non rispettare gli accordi raggiunti con la gang ransomware. Di conseguenza, il pagamento a un’operazione criminale non garantisce che ogni persona in possesso dei file rinunci alla divulgazione.

Coveware ha confermato di aver gestito almeno un incidente nel quale lo stesso gruppo, o lo stesso individuo, ha contattato direttamente la vittima via email dichiarando di possedere sia la chiave di decrittazione sia i dati rubati.

La società di negoziazione afferma di aver osservato intermediari simili, con nomi diversi, già dal 2024. Il fenomeno più recente viene considerato più grave perché l’interlocutore interviene prima della pubblicazione dell’attacco, quando la vittima potrebbe non avere ancora verificato l’intera portata della compromissione.

Cosa devono verificare le organizzazioni colpite

La prima misura è non pagare Ransom Busters o altri soggetti non verificati che promettono contemporaneamente la decrittazione e la cancellazione dei dati. L’identità dell’interlocutore deve essere verificata attraverso il team di incident response, il negoziatore incaricato e, quando possibile, l’operazione RaaS coinvolta.

Le attività tecniche prioritarie comprendono:

1. cercare Numlock!123 e DESKTOP-BBETH6K nei sistemi di logging e nei dati forensi;
2. verificare l’uso di SoftPerfect Network Scanner, s5cmd e Remotely fuori dai normali processi aziendali;
3. individuare e disabilitare account locali creati durante o dopo l’intrusione;
4. ruotare immediatamente password, token, chiavi e credenziali potenzialmente esposte;
5. controllare i pannelli amministrativi RaaS e gli altri servizi esposti utilizzati per orchestrare l’attività criminale;
6. determinare quali dati siano stati copiati e quanti soggetti possano averne conservato una copia.

Le comunicazioni ricevute via email devono essere preservate con intestazioni complete, allegati e metadati. Questi elementi possono aiutare a collegare l’interlocutore a infrastrutture o incidenti già analizzati.

La sfiducia può alimentare nuovi ricatti

Coveware valuta che l’aumento della sfiducia interna alle operazioni RaaS possa spingere altri affiliati a creare profitti paralleli. Il modello tradizionale, basato sulla divisione del riscatto fra affiliato e gestore dell’infrastruttura criminale, offre infatti un incentivo a sottrarre informazioni o pagamenti senza informare gli altri partecipanti.

Il rischio per le vittime diventa così multilivello: possono ricevere richieste dalla gang, da un affiliato e da soggetti che hanno ottenuto accesso successivo ai dati. Ogni interlocutore può sostenere di controllare la chiave o le informazioni, senza che la vittima abbia strumenti immediati per verificarlo.

Come contesto separato sulla prevenzione, il Blue Report 2026 riferisce di aver valutato le difese attraverso 338 milioni di simulazioni in ambienti produttivi. Secondo il materiale promozionale, quando gli attaccanti usano credenziali valide viene bloccato il 37% delle azioni. Il dato evidenzia il ruolo dei controlli sugli account, ma non consente di misurare direttamente l’impatto della campagna Ransom Busters.