Un afiliado de ransomware se hace pasar por una empresa de recuperación para robar pagos

El 19 de agosto de 2026, GuidePoint Security's Research and Intelligence Team (GRIT) alertó de una operación en la que un supuesto afiliado de ransomware se presenta como un servicio de recuperación llamado Ransom Busters. El grupo contacta con las víctimas antes de que los ataques se hagan públicos y les ofrece claves de descifrado y la eliminación de los datos robados a cambio de pagos de entre 20.000 y 60.000 dólares.

GRIT identificó la actividad al responder a varios incidentes recientes de ransomware. Las víctimas habían recibido correos electrónicos de Ransom Busters en los que la entidad afirmaba poder ayudarles a recuperar sus sistemas. El momento de los contactos resultó especialmente sospechoso: los mensajes llegaron antes de que las intrusiones fueran divulgadas públicamente, lo que planteó dudas sobre cómo conocía el grupo la existencia de los ataques.

Ransom Busters aseguró que había explotado vulnerabilidades en paneles administrativos utilizados por operaciones de ransomware-as-a-service (RaaS). Según su versión, ese acceso le habría permitido obtener las claves de cifrado y controlar los datos sustraídos a las víctimas. También ofreció eliminar la información robada de los servidores de los grupos de ransomware, incluidos los de DragonForce, Settra y Anubis.

Sin embargo, las evidencias recopiladas en dos incidentes llevaron a GRIT a considerar que Ransom Busters probablemente no es una empresa legítima de recuperación, sino el afiliado de ransomware responsable de los ataques. En ambos casos, los atacantes utilizaron el mismo conjunto de herramientas, entre ellas SoftPerfect Network Scanner, s5cmd y la herramienta de monitorización remota Remotely.

La investigación también detectó coincidencias en las tácticas empleadas. Los intrusos crearon una cuenta local de puerta trasera con la contraseña “Numlock!123” y utilizaron el mismo nombre de host bajo su control: “DESKTOP-BBETH6K”. GRIT observó actividad solapada en varias operaciones RaaS y, con un nivel de confianza moderado, considera que Ransom Busters podría ser un único afiliado que aprovecha su acceso para intentar quedarse con pagos destinados a las bandas de ransomware con las que colabora.

GRIT explicó que no ha observado que ninguna víctima haya pagado a Ransom Busters y desaconseja hacerlo. En uno de los incidentes, la organización afectada pagó en cambio a la operación RaaS que estaba detrás del ataque. Los investigadores señalaron que el nombre de la víctima y sus datos robados no fueron publicados en el sitio de filtraciones de la operación de ransomware. Tampoco encontraron pruebas de que Ransom Busters hubiera divulgado la información fuera del entorno de la operación RaaS.

La firma de negociación de ransomware Coveware confirmó que recientemente intervino en al menos un incidente en el que el mismo grupo o individuo contactó con una víctima. Elizabeth Cookson, Senior Director of IR de Coveware, explicó que el tercero afirmó tener acceso tanto a la clave de descifrado como a los datos robados.

Coveware indicó que ha encontrado intermediarios similares bajo otros nombres desde, al menos, 2024. No obstante, considera que esta actividad se diferencia de la de los “ambulance chasers” habituales, que suelen contactar con víctimas después de que los ataques ya han sido publicados. La interferencia en un incidente todavía no público resulta más preocupante porque un tercero con acceso a los datos puede incumplir cualquier acuerdo para no filtrarlos.

Según Coveware, esta situación puede incrementar la desconfianza dentro de las operaciones RaaS y favorecer que los afiliados busquen ingresos adicionales al margen de los acuerdos ordinarios de reparto con los operadores de ransomware. La presencia de otros actores con acceso a la información también implica que pagar a la operación responsable del ataque podría no garantizar que todos los poseedores de los datos respeten un compromiso de no divulgación.

La información procede de BleepingComputer.

Fuente: BleepingComputer