Un acteur se présentant sous le nom Ransom Busters a été observé en train de contacter directement des organisations touchées par des attaques par ransomware. Selon une analyse partagée par une équipe d’intelligence et de recherche, l’objectif serait d’orienter les victimes vers un paiement rapide, en échange de promesses de “récupération” et de suppression de données.
Ce qui rend le cas particulièrement préoccupant, c’est le caractère “proactif” de la démarche : au lieu d’attendre la publication publique de l’incident, les messages arrivent tôt, ciblent des interlocuteurs précis (direction ou équipes IT) et décrivent des accès réalisés sur des serveurs pendant une période prolongée.
Pourquoi les e-mails de Ransom Busters paraissent anormaux
D’après l’analyse, les messages envoyés aux victimes s’inscrivent dans une logique d’assistance. Ransom Busters affirme pouvoir aider à récupérer l’accès aux fichiers et demande un montant situé entre 20 000 et 60 000 dollars, tout en prétendant supprimer les données exfiltrées depuis l’infrastructure des groupes à l’origine de l’attaque.
Les chercheurs soulignent toutefois que la posture n’est pas habituelle dans le secteur. Les cabinets et sociétés de cybersécurité peuvent contacter des victimes pour proposer des services, mais généralement après que l’incident est devenu largement connu. Ici, la chronologie et la manière de s’adresser aux victimes sont présentées comme des signaux forts d’une tentative d’extorsion déguisée.
De “l’aide” à la demande d’argent : le mécanisme décrit
Les e-mails observés feraient apparaître plusieurs éléments destinés à renforcer la crédibilité de l’extorsion. L’acteur demande notamment d’être mis en relation avec le CEO ou les responsables IT, tout en affirmant avoir découvert des failles dans des panneaux d’administration utilisés par des opérations de type ransomware-as-a-service (RaaS).
Dans cette version, l’accès à certains serveurs serait maintenu sur une période de plus de trois ans. L’acteur ajoute aussi qu’il disposerait de données volées depuis une des victimes auxquelles il écrit, et qu’un paiement permettrait de regagner l’accès aux fichiers tout en supprimant les sauvegardes détenues par le groupe criminel.
Signaux techniques : reconnaissance, exfiltration et contrôle
Pour étayer l’analyse, le rapport met en avant des similitudes de comportement et d’outillage relevées lors de réponses à plusieurs incidents impliquant des groupes attribués à la même constellation d’acteurs. Les chercheurs indiquent notamment l’usage d’outils et de traces associés à la reconnaissance interne, à l’exfiltration vers le cloud et à la mise en place de capacités de surveillance.
- Un outil de scan réseau interne (SoftPerfect Network Scanner) pour cartographier l’environnement.
- Un outil (s5cmd) utilisé pour exfiltrer des données vers un stockage cloud via AWS.
- Un outil de télémaintenance (RMM) installé à l’aide d’un script PowerShell.
Le rapport cite aussi la création d’un compte d’accès local via une convention de mot de passe observée (“Numlock!123”) ainsi qu’un nom d’hôte contrôlé par l’attaquant, repéré dans deux intrusions distinctes. L’ensemble de ces éléments conduirait à l’hypothèse d’une activité portée par un opérateur unique, le plus souvent présenté comme un affilié plutôt que comme un acteur “tiers” agissant au nom d’un organisme légitime.
Une activité difficile à concilier avec des pratiques légitimes
Les chercheurs concluent que l’hypothèse d’une organisation légitime est “très improbable”. Ils rapprochent cette démarche d’une violation de dispositions américaines relatives à l’accès non autorisé aux systèmes informatiques (Computer Fraud and Abuse Act, selon le rapport).
Dans leurs échanges, Ransom Busters aurait même proposé une explication liée à la compensation : agir sans être payé mettrait, selon eux, l’accès à l’infrastructure de l’acteur en danger. Autrement dit, la “récupération” serait conditionnée par la logique d’un échange financier, et non par un objectif de remédiation.
Cette façon de présenter les choses renforce une idée centrale pour les victimes : l’extorsion peut prendre des formes “plus souples” que la simple demande de rançon classique. Les messages peuvent donner l’impression d’un service, tout en cherchant à déclencher un paiement supplémentaire.
Les risques d’un paiement : aucune garantie de suppression
Le point d’attention le plus important est le suivant : un paiement à un acteur criminel ne garantit pas que les données seront effacées. Le rapport met l’accent sur l’absence de “solution magique” qui neutraliserait l’exfiltration une fois qu’elle a eu lieu.
En plus du volume de données compromises, le scénario implique que les sauvegardes puissent également être ciblées. Même si l’acteur affirme supprimer ce qu’il détient, rien ne permet de considérer ces promesses comme une assurance fiable de remédiation.
Les chercheurs recommandent donc de traiter cette posture comme une arnaque : un acteur qui se présente comme un sauveur peut, en réalité, chercher à maximiser le rendement de l’extorsion, y compris en trahissant d’autres partenaires criminels pour conserver l’avantage financier.
Contexte : l’extorsion “à grande cible” et l’industrialisation des attaques
Cette affaire s’inscrit dans un mouvement plus large où l’attaque évolue vers des opérations ciblées et structurées. Le rapport mentionne aussi une opération “adversary-in-the-middle” associée à UNC6671, agissant via plusieurs marques d’extorsion et visant des secteurs comme les services financiers et le juridique.
Selon la synthèse, des versements liés à ces campagnes auraient atteint plus de 8 millions de dollars sur une période donnée, et les montants moyens rapportés seraient significatifs. Les techniques impliquent une orchestration autour de la collecte de données, des mécanismes de relais de crédentials, et l’usage d’infrastructures conçues pour automatiser le passage à l’action.
Par ailleurs, l’analyse décrit une approche orientée “big game hunting” : plutôt que des déploiements opportunistes, les acteurs viseraient des organisations considérées comme plus rentables, au prix d’investissements pour repérer, préparer et exécuter l’attaque.
Paysage ransomware en mutation : plus de groupes, plus de fragmentation
Les chercheurs mettent également en avant un paysage en flux permanent : apparition régulière de nouvelles familles, diversification géographique et méthodes de défense ou d’évitement de détection.
Les indicateurs cités suggèrent une hausse du nombre d’organisations revendiquées sur les sites de fuite de données, et une fragmentation progressive du marché : la part des principaux groupes reculerait, tandis que le nombre de groupes actifs augmenterait. En parallèle, des campagnes seraient davantage orientées vers l’accès préparé en amont, avec un focus sur la collecte de crédentials, la reconnaissance et la préparation de l’environnement avant le chiffrement.
Le rapport rappelle enfin l’usage croissant d’infrastructures de confiance et d’outils légitimes (services cloud, outils d’administration à distance, binaires signés) pour mieux se fondre dans le fonctionnement normal des entreprises.
Ce que les victimes peuvent retenir
Au-delà du nom Ransom Busters, l’enseignement majeur concerne la confiance : les acteurs criminels peuvent adopter des codes de “service” pour pousser les victimes à payer, y compris par e-mail et en ciblant des décideurs.
Si une organisation est touchée, le rapport invite implicitement à une posture de prudence et de validation. Les promesses de suppression de données, la demande de contact direct avec la direction et l’argumentaire de “récupération” doivent être analysés comme des éléments d’extorsion potentiels, pas comme une garantie opérationnelle.
Enfin, l’évolution globale du ransomware montre que l’accès initial ne suffit pas à expliquer l’issue : l’industrialisation, les outils partagés et l’optimisation financière transforment l’incident en projet criminel complet. Dans ce contexte, la stratégie de réponse doit viser la maîtrise des accès, la réduction du risque de re-exfiltration et la documentation des traces, plutôt que de s’appuyer sur des assurances provenant de l’adversaire.
Conclusion
Le cas de Ransom Busters illustre comment l’extorsion peut dépasser la simple demande de rançon : messages précoces, posture d’assistance et promesses de suppression des données volées, le tout assorti d’un prix clairement défini. Les similitudes techniques et les signaux de crédibilité relevés par les chercheurs renforcent l’idée que l’objectif reste financier et que les victimes ne doivent pas confondre communication persuasive et remédiation fiable.
Source: https://thehackernews.com/2026/08/ransom-busters-claims-it-hacked.html
