Um afiliado de ransomware que se apresenta como Ransom Busters foi flagrado enviando e-mails de forma proativa a organizações vítimas e afirma apagar dados roubados dos servidores de grupos de ransomware em troca de uma taxa que varia de US$ 20.000 a US$ 60.000.
“Nessas mensagens, o terceiro se oferece para ajudar a vítima a se recuperar do ataque de ransomware. Isso imediatamente chama atenção por ser algo anômalo”, afirmou a GuidePoint Research and Intelligence Team (GRIT) em um relatório. “Embora empresas de cibersegurança costumem entrar em contato com vítimas de ransomware para oferecer serviços de consultoria ou recuperação, isso geralmente ocorre apenas depois que o ataque se torna público.”
A GuidePoint informou que respondeu a vários incidentes recentes de ransomware envolvendo esse threat actor, que acredita ser um afiliado com atuação em múltiplas operações de ransomware-as-a-service (RaaS).
Nos e-mails enviados às vítimas, o Ransom Busters pede contato com o CEO ou com a liderança de TI e afirma ter encontrado vulnerabilidades em painéis administrativos mantidos por grupos de RaaS, além de alegar que invade servidores há mais de três anos.
O threat actor, movido por ganho financeiro, também afirma na mensagem que encontrou dados roubados da empresa em um dos servidores acessados recentemente e pede um pagamento entre US$ 20.000 e US$ 60.000 para ajudar a recuperar o acesso aos arquivos e dados e apagar todos os backups mantidos pelo grupo de ransomware.
A GuidePoint disse ter observado esse modus operandi ao responder a incidentes atribuídos a grupos como DragonForce, Settra e Anubis. A empresa acrescentou que a possibilidade de isso ser obra de uma organização legítima é extremamente improvável, já que a conduta configuraria violação da lei norte-americana Computer Fraud Abuse Act.
“Isso sugere que os operadores muito provavelmente estavam ocultando a verdadeira origem do acesso ou não estavam atuando dentro dos limites da lei”, disse Justin Timothy, consultor principal da GRIT. “Quando pressionado sobre o motivo de cobrarem por essa ajuda, o grupo apresentou uma explicação intrigante: agir sem compensação colocaria em risco o acesso à infraestrutura do threat actor.”
Uma análise de dois incidentes distintos em que o Ransom Busters contatou vítimas revelou semelhanças “marcantes”, incluindo sobreposição nas ferramentas utilizadas.
- SoftPerfect Network Scanner para reconhecimento interno
- s5cmd para exfiltrar dados para armazenamento em cloud via AWS
- Ferramenta Remotely de monitoramento e gerenciamento remoto, instalada por meio de um script em PowerShell
Outros pontos em comum incluem a criação de uma conta local de backdoor usando a senha “Numlock!123” e a identificação do mesmo hostname controlado pelo atacante, DESKTOP-BBETH6K, nas duas intrusões. Isso levanta a hipótese de que um único operador, provavelmente um afiliado e não um terceiro, esteja por trás da atividade.
“As implicações para as vítimas de ransomware são claras: atores criminosos não são confiáveis e podem recorrer a táticas enganosas para induzir pagamentos extorsivos ainda mais limitados”, disse Timothy. “‘Ransom Busters’ ou, mais provavelmente, o afiliado de ransomware que mantém essa persona, mostrou que trai até seus próprios parceiros criminosos em busca de ganho financeiro.”
“O pagamento a qualquer parte criminosa não oferece garantia de que os dados roubados serão apagados. Não existem soluções milagrosas para remediar a exfiltração de dados, e ‘Ransom Busters’, que se apresenta como um salvador benevolente, deve ser tratado como uma fraude.”
Ataques de extorsão do UNC6671
A divulgação ocorre enquanto a GuidePoint detalha uma operação persistente de adversary-in-the-middle (AitM) orquestrada pelo UNC6671, também identificado como Cordial Spider e O-UNC-045, que desde abril mira serviços financeiros, escritórios de advocacia e outros setores por meio de diferentes marcas de extorsão, como Falcon, Helix, Pink, Redact e BlackFile.
“O comportamento observado, que espelha alvos semelhantes centrados em SaaS por grupos como Shiny Hunters, reflete uma mudança do uso oportunista de ransomware e da extorsão de dados para um direcionamento deliberado de grandes organizações vítimas, também conhecido como ‘big game hunting’”, disse a GRIT.
Mais de US$ 8 milhões em pagamentos foram feitos em 15 carteiras de Bitcoin atribuídas às cinco marcas de extorsão de dados no período analisado. O valor médio da extorsão ficou em US$ 600.000.
Foram identificados até 78 subdomínios únicos de phishing voltados a vítimas, distribuídos por 76 organizações em 15 setores. Desses, 40% estão ligados a fundos hedge, capital de risco, private equity, gestão de ativos e outras empresas do setor financeiro.
Como detalhado recentemente pela Okta, o UNC6671 opera um console personalizado chamado Work Panel, que permite controle de acesso baseado em funções, reconhecimento integrado de alvos via APIs comerciais de dados B2B, provisionamento automatizado de infraestrutura e gerenciamento em tempo real de relay de credenciais usando modelos de phishing que se passam por provedores de identidade como Okta e Microsoft 365. Segundo a GuidePoint, isso representa uma “evolução significativa” na industrialização do roubo de credenciais impulsionado por vishing.
“A separação de funções, com atendentes que só conhecem o número de telefone do próximo alvo, gerentes que veem a fila de sessões ao vivo, mas nada mais, e administradores que controlam a infraestrutura, é quase certamente uma decisão organizacional deliberada que resolve o problema de risco interno inerente à operação de crimes com mão de obra contratada”, afirmou a GRIT.
“Os atendentes são tratados como mão de obra substituível, recrutados por canais públicos da dark web, pagos por captura bem-sucedida e deliberadamente impedidos de acessar o produto do próprio trabalho.”
Um cenário de ransomware em transformação
Os desdobramentos acompanham a evolução contínua do cenário de ransomware, com o surgimento recente de novos grupos como Tengu, CRPx0, Majinahanashi, Elite Enterprise, BARADAI, Aur0ra, Lalia, QV Ransomware, Friends, Doommageddon, PicMo e Orova.
Diferentemente de Tengu e CRPx0, que concentraram os ataques em entidades localizadas nos Estados Unidos e na Turquia, o Majinahanashi mirou principalmente Suíça, Itália, Alemanha, Bulgária e Índia. O site de vazamento de dados associado ao Majinahanashi traz o lema “DECISION REQUIRES CLARITY”.
“O Majinahanashi é uma família de ransomware de nível intermediário, com várias escolhas técnicas interessantes, especialmente em controle de rede e priorização de E/S, mas não apresenta técnicas extremamente avançadas de anti-análise ou criptografia inovadora”, afirmou o pesquisador de segurança Rakesh Krishnan.
“A implementação do Majinahanashi parece mais cuidadosamente projetada e pensada para desempenho. A combinação de extorsão dupla clássica com técnicas modernas seletivas faz com que ele mereça atenção.”
Segundo o relatório State of Ransomware Q2 2026, da Check Point, 2.139 organizações foram listadas em sites de vazamento de dados. A participação dos 10 principais grupos caiu de 71% no trimestre anterior para 57,6%, enquanto o número de grupos ativos saltou de 71 para 93, indicando um ecossistema cada vez mais fragmentado.
“As campanhas modernas de ransomware estão migrando para operações com acesso previamente estabelecido, priorizando coleta de credenciais, reconhecimento, escalada de privilégios e preparação do ambiente para maximizar o sucesso operacional antes da criptografia”, observou a CYFIRMA no mês passado.
“Os grupos de ransomware estão abusando cada vez mais de infraestruturas corporativas confiáveis, incluindo plataformas de colaboração, serviços legítimos de cloud, binários assinados e ferramentas de administração remota, para misturar a atividade maliciosa com operações normais da empresa.”
Somente em julho de 2026, foram registrados 873 casos de vítimas de ransomware reivindicados, acima das 722 do mês anterior. O maior número de vítimas reivindicadas em um único mês neste ano foi 909, em março de 2026. Os grupos mais ativos incluem The Gentlemen, Qilin e CRPx0, com 138, 133 e 46 vítimas reivindicadas, respectivamente.
O CRPx0, que inicialmente foi considerado uma operação de RaaS, parece destoar do padrão, já que o locker era distribuído anteriormente por meio de iscas que prometiam contas do OnlyFans.
“O ponto mais notável é a insistência do grupo em apoiar operações de marca própria. O CRPx0 fornece aos compradores de RaaS os recursos para administrar campanhas de ransomware em nome do comprador e comercializa um modelo de divisão de lucro de 100%, permitindo que o comprador fique com todo o ganho”, disse a Bitdefender.
“O que também chama atenção é o marketing simultâneo de um programa de Hacking-as-a-Service (HaaS). O programa inclui data breach, comprometimento de rede e outros serviços destinados a interromper negócios.”
Além disso, o grupo tem usado comandos ClickFix embutidos em páginas falsas de CAPTCHA e recorre ao roubo de criptomoedas por meio de um payload do tipo clipper, o que o diferencia de outros grupos de ransomware.
Em contraste, o Akira teria reivindicado apenas 22 vítimas em julho de 2026. Ainda assim, o grupo continua adotando táticas de evasão para operar abaixo do radar. Em um incidente recente destacado pela Huntress, um afiliado do Akira teria reiniciado um host da vítima em Safe Mode with Networking para desativar ferramentas de segurança após obter acesso inicial por meio de uma VPN SonicWall.
“Nesse incidente, o Safe Mode também quebrou o ransomware”, afirmou o pesquisador de segurança James Northey. “Em seu ambiente de memória reduzido, a árvore de processos do Akira falhou segundos após a execução, por falta de memória virtual. Embora a tentativa de desativar o EDR tenha saído pela culatra e o ransomware não tenha sido implantado, o atacante já havia exfiltrado credenciais e compartilhamentos de arquivos. Mesmo sem criptografar nada, ele ainda pode extorquir a vítima com a ameaça de vazar as informações roubadas.”
A Coveware, empresa da Veeam, em sua análise da ameaça no segundo trimestre de 2026, afirmou que o pagamento médio de resgate disparou 176% em relação ao primeiro trimestre, passando de US$ 680.081 para US$ 1.880.612, enquanto o pagamento mediano caiu 50%, para US$ 150.000.
“Essa distância crescente decorre principalmente de um pequeno número de pagamentos excepcionalmente altos, concentrados em extorsões que envolvem exfiltração de dados, em vez da criptografia tradicional”, disse a Coveware. “Um dos principais fatores por trás desse salto foi a campanha contínua do Silent Ransom, também conhecido como Luna Moth, contra escritórios de advocacia de alto perfil.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...