Ransomware draait allang niet meer alleen om versleuteling. In een recent gemelde casus blijkt ransomware extortion zelfs een stap verder te gaan: een affiliate belt (of mailt) slachtoffers met de belofte dat de gestolen data van criminelserver(s) wordt verwijderd—tegen een extra betaling. Het verhaal onderstreept vooral één punt: je kunt criminelen niet vertrouwen, ook niet wanneer ze zich voordoen als redders.
Volgens een analyse van GuidePoint Research and Intelligence Team (GRIT) benadert een actor met de naam Ransom Busters slachtoffers proactief na ransomware-incidenten. De boodschap: neem contact op met je CEO of IT-leiding, want er zouden kwetsbaarheden zijn misbruikt in administratieve panelen van ransomwareplatformen. Daaruit volgt een nieuw verzoek om geld.
Hoe “ransomware extortion” verandert in neppe hulp
In de e-mails die GRIT beschrijft, presenteert Ransom Busters zich als een externe partij die zou kunnen helpen om weer toegang te krijgen tot bestanden en data. Het opvallende verschil met reguliere security- of herstelservices: in deze situatie lijkt de benadering niet te wachten tot een aanval publiek bekend is. GRIT noemt dit gedrag direct afwijkend.
Waar klassieke incident response vaak begint met triage, containment en het veiligstellen van bewijs, positioneert Ransom Busters zich juist als een oplossing die snel betaald moet worden. De gevraagde bedragen lopen volgens de analyse uiteen van $20.000 tot $60.000.
Wat er in de berichten wordt beweerd
De actor beweert dat er voor langere tijd—namelijk meer dan drie jaar—toegang is geweest tot servers die gelinkt zijn aan ransomware-as-a-service (RaaS)-operaties. In de berichten wordt daarnaast gesuggereerd dat er data gestolen is die nog ergens op die infrastructuur zou staan.
De kern van de dreiging en het verzoek blijft hetzelfde: slachtoffers zouden moeten betalen om (1) opnieuw toegang te krijgen tot hun data en (2) “alle back-ups” die bij de ransomwaregroep zouden liggen, te laten verwijderen. Daarmee wordt betaald presenteren als een soort eindstation.
Maar GRIT waarschuwt: het is niet realistisch om te verwachten dat een criminele partij de gestolen informatie daadwerkelijk netjes wegneemt. Bovendien zijn er, zo stelt de analyse, geen “magische oplossingen” die data-exfiltratie ongedaan maken.
Waarom de tactiek zo overtuigend kan zijn
De kracht van dit soort ransomware extortion zit niet alleen in het bedrag. Het is ook de timing en de context die de e-mail geloofwaardiger kan maken voor drukke teams. De boodschap mikt op hoge beslissers—CEO of IT-leiding—waardoor incident response sneller in een betalende richting kan worden geduwd.
Daarbij komt dat de actor claimt “kwetsbaarheden in administratieve panelen” te hebben gevonden en door die toegang te hebben opgebouwd. Als zo’n verhaal deels klopt, kan dat de indruk wekken dat de afzender echt iets weet dat anderen missen.
Technische overeenkomsten wijzen op één actor
GRIT heeft twee incidenten geanalyseerd waarin Ransom Busters slachtoffers benaderde. Daarbij werden “opvallende” overeenkomsten gevonden in de gebruikte tools en sporen. Zo worden genoemd:
- SoftPerfect Network Scanner voor interne verkenning
- s5cmd om data naar cloudopslag te exfiltreren via AWS
- een RMM-tool die zou zijn geïnstalleerd via een PowerShell-script
Ook noemt de analyse dat er een lokaal backdoor-account is gemaakt met het wachtwoord “Numlock!123”. Daarnaast zou dezelfde attacker-controlled hostname—DESKTOP-BBETH6K—in beide intrusies voorkomen. Dat maakt de kans groter dat dit niet om een willekeurige derde partij gaat, maar om eenzelfde (affiliate) operator.
Geen vertrouwen: betalen biedt geen garantie
Een belangrijke rode draad in de analyse: zelfs als slachtoffers betalen, bestaat er geen zekerheid dat gestolen data daadwerkelijk wordt verwijderd of dat back-ups niet elders blijven bestaan. Het betalen van criminelen, zo wordt benadrukt, levert ook geen garantie voor herstel.
Met andere woorden: dit type aanpak kan slachtoffers juist in een cyclus trekken. Eerst was er ransomware, daarna volgt “nephulp” als nieuwe extortievraag. Daardoor wordt extra schade veroorzaakt: niet alleen financieel, maar ook operationeel (tijdverlies, verkeerde prioriteiten en mogelijk verder bewijsverlies).
De bredere trend: gericht, industrieel en menselijk uitbuiting
Deze casus sluit aan bij een veranderend ransomware-landschap. GRIT beschrijft dat aanvallen steeds vaker verlopen via “pre-positioned access”: dus eerst toegang en verkenning, daarna pas (eventueel) versleuteling of verdere chantage. Daarbij groeit het belang van credential harvesting, privilege escalation en voorbereiding van de omgeving.
Verder valt op dat aanvallers vaker gebruikmaken van vertrouwde enterprise-infrastructuur: samenwerkingstools, legitieme cloudservices, ondertekende binaries en remote administration tools. Door misbruik van gangbare functionaliteit lijkt het kwa gedrag meer op normaal werk, waardoor detectie lastiger wordt.
Ook het gebruik van phishing- en vishing-varianten komt terug in bredere beschrijvingen rond actoren als UNC6671 (met meerdere extortion-branding-namen). Daarbij wordt een custom console genoemd waarmee rollen, target-reconnaissance en credential relay geautomatiseerd kunnen worden. Het beeld dat ontstaat: minder improvisatie, meer industrialisatie.
Wat betekent dit voor organisaties? Praktische aandachtspunten
Als je te maken krijgt met ransomware- of exfiltratie-extortion, is het verleidelijk om snel een “uitweg” te zoeken—zeker als iemand zich aanbiedt als hulp. Toch zijn er een paar concrete stappen die je kunt nemen om je risico te verkleinen.
1) Behandel “hulpaanbieders” als mogelijk schadelijk
Niet elke afzender is wat hij belooft. Ook als een bericht technisch klinkt, moet je aannemen dat de actor primair financieel voordeel zoekt. Laat besluitvorming niet uitsluitend afhangen van de inhoud van e-mails.
2) Focus op containment en bewijs
Zodra een incident vermoed wordt, is het doel om verdere verspreiding te stoppen en bewijs veilig te stellen. Dat helpt ook om later uitspraken te onderbouwen over hoe toegang is opgebouwd (bijvoorbeeld via adminpanelen, remote tools of cloudroutes).
3) Evalueer of data echt is geëxfiltreerd
Betalingsverzoeken gaan vaak vergezeld van claims over “gevonden data” of “back-ups”. Gebruik logs en forensische signalen om vast te stellen wat er daadwerkelijk naar buiten is gegaan en waar.
4) Kijk naar eerder misbruikte paden
In de besproken casus worden tool- en hostovereenkomsten genoemd tussen meerdere intrusies. Dat betekent dat je intern moet nagaan of dezelfde technieken eerder al sporen hebben achtergelaten.
Als je wilt lezen hoe misbruik van remote of administratieve toegang er in praktijk uit kan zien, kan dit artikel over SSRF-risico’s bij MLflow helpen om beter te begrijpen hoe aanvallers naar clouddata en credentials kunnen navigeren.
Ook relevant: ransomware-extortion profiteert vaak van imperfecte beveiligingscontrole. Bijvoorbeeld als je organisatie nog kwetsbaar is door bekende fouten in plugins of gateways; een voorbeeld daarvan vind je in de kwetsbaarheid in een WordPress-plugin. Het maakt duidelijk dat herstel en patching niet alleen “nice to have” zijn.
Tot slot: herken de valkuil van “beneficent saviors”
De kern van deze melding is helder: ransomware extortion kan vermommen als hulp. Een affiliate kan zich presenteren als partij die back-ups verwijdert en toegang herstelt, terwijl de realiteit is dat criminelen geen betrouwbare remedie leveren. Het betalen van een gevraagde som geeft bovendien geen garantie dat data niet blijft circuleren—en het kan het proces verlengen.
Door meldingen serieus te nemen, technische sporen te valideren en besluitvorming te baseren op bewijs in plaats van dreigbrieven, kun je de impact beperken. In een wereld waarin aanvallers steeds vaker met geautomatiseerde tooling en slimme narratives werken, blijft een volwassen incident response aanpak de beste tegenkracht.
Bron: https://thehackernews.com/2026/08/ransom-busters-claims-it-hacked.html
