Opfer von Ransomware-Angriffen bekommen derzeit nicht nur Erpressungsnachrichten von Tätern zu sehen. Laut einem Bericht von GuidePoint Research und Intelligence Team (GRIT) hat sich außerdem ein Akteur in Szene gesetzt, der als angeblicher „Retter“ auftritt – und dafür bis zu 60.000 US-Dollar verlangt. Experten sprechen in diesem Zusammenhang von einem Muster, das stark nach Täuschung aussieht.
Der angebliche Dienstleister mit dem Namen „Ransom Busters“ soll nach einem Einbruch proaktiv E-Mails an betroffene Organisationen geschickt haben. Darin behauptet er, gestohlene Daten von Servern der eigentlichen Ransomware-Gruppen löschen zu können – allerdings gegen eine Zahlung in einem festgelegten Korridor.
So treten „Ransom Busters“ angeblich auf
In den Nachrichten, die GRIT im Rahmen mehrerer Vorfälle beobachtet haben will, kontaktiert der vermeintliche Dritte die Opfer direkt. Er fordert eine Kontaktaufnahme mit der Geschäftsführung oder dem IT-Management und präsentiert sich als Partner, der den Schaden schneller beenden könne.
Dabei fällt laut den Forschern ein auffälliger Unterschied zu vielen üblichen Vorgehensweisen auf: Sicherheitsfirmen melden sich häufig erst, wenn ein Angriff öffentlich bekannt geworden ist. „Ransom Busters“ soll jedoch direkt nach den Incidents aufgetaucht sein – ein Verhalten, das als anomal bewertet wird.
Die zentrale Behauptung: Der Akteur habe Schwachstellen in administrativen Bereichen ausgenutzt, die von Ransomware-as-a-Service (RaaS)-Gruppen betrieben werden. Außerdem wolle er in den Systemen Zugriff erlangt haben – nach Darstellung von GRIT offenbar über einen Zeitraum von mehr als drei Jahren.
Warum die Forderung besonders problematisch ist
Die Zahlungsaufforderungen werden in den Nachrichten mit Beträgen zwischen 20.000 und 60.000 US-Dollar beziffert. Im Gegenzug soll der Täter dabei helfen, den Zugriff auf Dateien und Daten wiederherzustellen und außerdem Backups zu löschen, die durch die Ransomware-Gruppe vorgehalten werden.
Was die Warnung verstärkt: Der Erpresser behauptet außerdem, er habe auf einem der Server Daten gefunden, die bereits von der betroffenen Organisation gestohlen worden seien. Damit versucht er, seine Rolle als „Insider mit Zugriff“ glaubhaft zu machen.
GRIT sieht in dem Vorgehen jedoch einen klaren Betrugsansatz: „Kriminelle Akteure“ seien nicht zuverlässig, und Zahlungen würden keine Garantie bieten, dass gestohlene Daten wirklich gelöscht werden. Vielmehr bestehe die Gefahr, dass weitere Erpressungen nachgelagert werden.
Experten prüfen Ähnlichkeiten in Tooling und Spuren
GuidePoint/GRIT macht seine Einschätzung nicht nur an den Texten fest, sondern auch an technischen Beobachtungen. In Reaktionen auf mehrere Incident-Umfelder, die GRIT mit bestimmten Bedrohungsakteuren verbindet, soll der gleiche modus operandi sichtbar geworden sein.
Zu den genannten Gemeinsamkeiten gehören wiederkehrende Werkzeuge und Muster, darunter:
- SoftPerfect Network Scanner für die interne Bestandsaufnahme
- s5cmd zum Exfiltrieren von Daten in Cloud-Speicher, beschrieben im Kontext von AWS
- ein Remote-Monitoring- und -Management-Tool (RMM), das offenbar über ein PowerShell-Skript installiert wird
Darüber hinaus nennt der Bericht das Anlegen eines lokalen Backdoor-Accounts unter Verwendung eines spezifischen Passwortmusters („Numlock!123“) sowie die Wiedererkennbarkeit eines angreifer-gesteuerten Hostnamens (DESKTOP-BBETH6K) über mehrere Eindringversuche hinweg.
Aus Sicht der Analysten spricht das für einen sehr ähnlichen Täterhintergrund. Sie halten es dabei für möglich, dass hinter dem Persona-Stil nur ein einzelner Betreiber oder ein Affiliate steckt – also nicht automatisch ein externer „Dienstleister“, der unabhängig von der eigentlichen Ransomware-Kette arbeitet.
Auch rechtlich wirkt das Vorgehen wie ein klarer Regelbruch
GRIT bewertet das gesamte Konstrukt als extrem unwahrscheinlich, um es als „legitime Organisation“ zu erklären. Hintergrund: Der berichtete Zugriff auf Systeme und administrative Umgebungen sowie die beschriebene Interaktion mit fremden Infrastrukturen ließe sich in dieser Darstellung als Verstoß gegen einschlägige US-Rechtsnormen wie den Computer Fraud Abuse Act einordnen.
Bemerkenswert ist außerdem, dass der Akteur laut GRIT eine Erklärung parat hatte, warum die Hilfe nicht kostenlos sei. Auf Nachfrage soll der Erpresser argumentiert haben, dass das eigene Zugangskonstrukt ohne Entlohnung gefährdet wäre.
Genau diese Logik bewerten die Experten als widersprüchlich oder zumindest wenig nachvollziehbar – zumal die Nachrichten gleichzeitig als „Sicherheits- oder Recovery-Hilfe“ gerahmt sind.
UNC6671: Erpressung mit Zwischenstationen und vielen Marken
Die Meldung zu „Ransom Busters“ reiht sich in einen größeren Trend ein, den GRIT ebenfalls skizziert: Daten-Extortion und Erpressung laufen zunehmend in industriellen Abläufen ab, teils über „Adversary-in-the-Middle“-Konzepte.
Ein Beispiel dafür ist UNC6671, auch bekannt als Cordial Spider bzw. O-UNC-045. Die Aktivität soll sich seit April auf Finanzdienstleister, juristische Einrichtungen und weitere Branchen erstrecken. Dabei werden mehrere „Brands“ oder Erpressungsnamen genutzt, darunter Falcon, Helix, Pink, Redact und BlackFile.
GRIT berichtet, dass in dieser Phase Zahlungen in Summe von mehr als 8 Millionen US-Dollar über 15 Bitcoin-Wallets geflossen sein sollen. Als Durchschnitt nennt der Bericht ungefähr 600.000 US-Dollar pro Erpressung.
Auch beim Zielprofil gibt es Hinweise auf eine gezielte Auswahl: Insgesamt seien zahlreiche Opfer über mehrere Phishing-Subdomains identifiziert worden, wobei ein großer Anteil dem Finanzbereich zuzuordnen ist – etwa Hedgefonds, Venture Capital, Private Equity sowie Asset Management.
Work Panel und Rollenaufteilung
Laut GRIT/den zitierten Einschätzungen arbeitet UNC6671 mit einer benutzerdefinierten Konsole namens Work Panel. Die Funktionalität umfasst dem Bericht zufolge unter anderem rollenbasierten Zugriff (Role-Based Access Control), Unterstützung bei der Zielrecherche über kommerzielle B2B-Datenquellen sowie die automatisierte Bereitstellung von Infrastruktur.
Ein weiteres Element: Echtzeit-Weiterleitung von Zugangsdaten über Phishing-Vorlagen, die sich als Identitätsanbieter wie Okta oder Microsoft 365 ausgeben. Zusätzlich wird eine klare Trennung von Aufgaben beschrieben: Personen, die nur „den nächsten Zielkontakt“ kennen, unterscheiden sich von Rollen, die Infrastruktur verwalten.
Aus Sicht der Analysten ist diese Struktur vermutlich bewusst so gewählt, um das „Insider-Risiko“ zu reduzieren – also das Risiko, dass interne Aufgabenträger zu viel über das Gesamtsystem erfahren oder daraus Nutzen ziehen könnten.
Warum das aktuelle Geschehen mehr Vorbereitung erfordert
Der Bericht ordnet die Entwicklung in eine sich verändernde Ransomware-Landschaft ein. Neue Gruppen und Familien tauchen demnach laufend auf. Gleichzeitig verschiebt sich der Schwerpunkt vieler Kampagnen: Weg von rein opportunistischen Angriffen hin zu vorbereiteten Zugriffsphasen mit Fokus auf Credential-Harvesting, Erkundung, Privilege Escalation und dem „Ablauf-Setup“ vor der Verschlüsselung.
Auch der Missbrauch von legitimer Unternehmens-IT wird als stärker werdender Faktor beschrieben. Dazu zählen vertraute Kollaborationsplattformen, seriöse Cloud-Dienste, signierte Programme und Tools aus dem Bereich Remote Administration – alles mit dem Ziel, sich im normalen Betrieb zu tarnen.
Weiterhin werden in dem Bericht Kennzahlen genannt, die eine fragmentiertere Szene zeigen: Weniger Dominanz einzelner Top-Gruppen, aber mehr aktive Akteure insgesamt. Für Organisationen heißt das: Sicherheitsprogramme sollten nicht nur auf „die eine“ bekannte Ransomware-Variante reagieren, sondern auf umfassende Angriffszyklen.
Was Opfer aus der „Hilfe“-Masche ableiten sollten
Der wichtigste praktische Punkt bleibt: Zahlen an Kriminelle sind keine verlässliche Lösung. GRIT betont, dass es keine „Zaubermittel“ gibt, um Datenexfiltration nachträglich sicher zu beheben. Wer in Erpressungsprozesse einzahlt, erhält keine Garantie, dass gestohlene Informationen tatsächlich verschwinden.
Das gilt erst recht, wenn ein vermeintlicher Externer auftritt und sich als wohltätiger Retter anbietet. Die im Bericht beschriebenen Hinweise deuten darauf hin, dass es sich bei solchen Persona-Ansätzen um Täuschung handeln kann – mit dem Ziel, zusätzliche oder frühere Zahlungen auszulösen.
Für betroffene Unternehmen empfiehlt es sich, den Incident strukturiert zu prüfen: Welche Daten wurden exfiltriert? Welche Konten wurden kompromittiert? Welche Backdoors sind angelegt worden? Und wie lässt sich die Umgebungen so härten, dass ein weiterer Zugriff – ob durch dieselbe Gruppe oder einen „vermeintlichen Helfer“ – unwahrscheinlicher wird.
Fazit
„Ransom Busters“ steht in der aktuellen Berichterstattung exemplarisch für einen gefährlichen Trend: Erpressung kann sich hinter einer scheinbaren „Recovery“-Dienstleistung verstecken. Der geforderte Betrag von bis zu 60.000 US-Dollar und die Behauptung, gestohlene Daten sowie Backups löschen zu können, werden von Experten als äußerst fragwürdig bewertet.
Ob als Affiliate-Operation oder als bewusst inszenierte Persona: Für Opfer gilt vor allem, misstrauisch zu bleiben, keine Schnellzahlungen zu leisten und technische Nachermittlungen konsequent voranzutreiben. Denn die nächste Nachricht könnte bereits Teil derselben Erpressungsstrategie sein.
Quelle: https://thehackernews.com/2026/08/ransom-busters-claims-it-hacked.html
