LONDON / LONDON (IT BOLTWISE) – Eine Ransomware-Affiliate namens Ransom Busters soll sich aktiv an Opferorganisationen wenden und für „Hilfe“ Zahlungen von 20.000 bis 60.000 US-Dollar verlangen. Laut einer Analyse nutzt das scheinbare Rettungsteam dabei nachweislich wiederkehrende technische Spuren, darunter das Werkzeug SoftPerfect Network Scanner, s5cmd für AWS-Exfiltration sowie ein RMM-Setup via PowerShell. Die gleichen Artefakte und ein lokales Backdoor-Konto mit dem Passwort „Numlock!123“ deuten darauf hin, dass die Aktion von derselben Operatorengruppe gesteuert wird. Gleichzeitig ordnen Experten das Vorgehen in einen breiteren Trend ein: weg vom Zufalls-Encrypten, hin zu industrieller Datenabpressung und Credential-Relays.
Dass sich die Ransomware-Szene nicht nur über Verschlüsselung definiert, sondern zunehmend über Täuschung und „Service“-Inkasso, zeigt eine aktuelle Fallbeschreibung zu „Ransom Busters“. In der Beobachtung soll die Betreiberstruktur proaktiv E-Mails an betroffene Organisationen versenden und anbiten, gestohlene Daten von den Servern der Ransomware-Gruppen zu löschen – allerdings gegen eine Zahlung zwischen 20.000 und 60.000 US-Dollar. Auffällig daran ist weniger der Betrag selbst, sondern der Timing-Effekt: Üblicherweise wird bei klassischen Erpressungsfällen zunächst öffentlich bekannt, was passiert ist, und erst danach melden sich Dienstleister oder „Recovery“-Angebote. Hier soll Ransom Busters laut der Auswertung direkt nach dem Vorfall Kontakt suchen, dabei gleich den Status quo als verhandelbar darstellen und außerdem behaupten, konkrete Schwachstellen in Administrationsoberflächen der RaaS-Umgebungen gefunden zu haben.
Technisch wird der Anspruch „wir haben Zugriff und können aufräumen“ in der Analyse gegen überprüfbare Indikatoren abgewogen. Dabei fällt die Kombination aus Aufklärung, Exfiltration und Persistenz besonders ins Gewicht: Als interne Recon-Komponente wird SoftPerfect Network Scanner genannt, für das gezielte Auslagern von Daten in Cloud-Speicher über AWS soll s5cmd eingesetzt worden sein. Zusätzlich wird ein Remote-Management- oder RMM-Tool beschrieben, das offenbar über ein PowerShell-Skript installiert wird – ein Muster, das zu einer Phase passt, in der nach anfänglichem Zugriff die Umgebung instrumentiert wird, bevor Daten abfließen. Auch bei den Hintertüren taucht ein wiederkehrendes Design auf: In beiden beschriebenen Intrusionen sei ein lokales Backdoor-Konto angelegt worden, dessen Passwort als „Numlock!123“ geführt wird, und im Verlauf sei außerdem derselbe attacker-gesteuerte Hostname (DESKTOP-BBETH6K) zu finden gewesen. Solche Gleichteile über mehrere Vorfälle hinweg gelten in der Forensik typischerweise als starke Indizien für denselben Operator oder zumindest denselben Werkzeug- und Prozessbaukasten.
Die wirtschaftliche Logik hinter dem „Ransom Busters“-Persona zielt damit weniger auf echte Datenlöschung als auf zusätzliche Zahlungsanläufe. Laut der Auswertung adressiert der Akteur in den E-Mails gezielt die Führungsebene oder das IT-Management, erklärt die Situation mit „gefundenen“ Wegen in die Admin-Panels und nennt dann eine Zahlungsobergrenze, die als „Gegenleistung“ verkauft wird. Genau hier entsteht auch der Inkonsistenzpunkt: Selbst wenn ein Lösegeld eingeht, gibt es nach dem beschriebenen Stand keinen belastbaren Mechanismus, der garantiert, dass exfiltrierte Daten tatsächlich gelöscht werden. Zudem wird in der Analyse die Möglichkeit eines legitimen Outsiders als „äußerst unwahrscheinlich“ eingeordnet, weil die Art des Zugriffs nach den Angaben im Kontext einer strafrechtlich relevanten unbefugten Nutzung bewertet wird. Für das Sicherheitsmanagement ist das eine klare Leitplanke: Wer mit der Täterstruktur verhandelt, muss davon ausgehen, dass die Interaktion ein Teil der Erpressungs- und Gewinnoptimierung ist – nicht das Ende einer Eskalationskette.
Dass diese Mechanik nicht isoliert ist, sondern in eine breitere Landschaft aus AitM-Operationen und „Brand“-gestützter Erpressung eingebettet wird, zeigt der zweite Teil der Meldung. Dort ordnet GuidePoint die Aktivitäten einem adversary-in-the-middle (AitM)-Ansatz zu, der seit April unter der Operation UNC6671 (auch benannt als Cordial Spider bzw. O-UNC-045) gegen Finanzdienstleister, Rechtswesen und weitere Branchen laufen soll – dabei nicht unter nur einer, sondern unter mehreren Extortion-„Brands“ wie Falcon, Helix, Pink, Redact und BlackFile. Der Fokus soll dabei von opportunistischen Ransomware-Einsätzen hin zu gezieltem „Big Game Hunting“ verschoben sein, also zu größeren, strategisch bedeutenden Opferorganisationen. In den beobachteten Zahlen werden Zahlungen von mehr als 8 Millionen US-Dollar über 15 Bitcoin-Wallets beschrieben, und gleichzeitig fällt auf, wie stark das Social-Engineering-Komponentenbild ist: Für die Zielrecherche sollen zahlreiche Phishing-Subdomains über viele Organisationen und Branchen hinweg identifiziert worden sein, ein erheblicher Anteil davon im Finanzumfeld.
Besonders relevant für die IT-Praxis ist die Beschreibung, wie UNC6671 Zugang technisch „industrialisieren“ soll. Laut der Analyse arbeitet die Gruppe mit einer eigenen Konsole („Work Panel“), die rollenspezifisches Vorgehen unterstützt, Zielrecherche via kommerzieller B2B-Datenquellen integriert und Infrastruktur automatisiert bereitstellt. Entscheidend ist außerdem das Echtzeit-Relaying von Credentials mittels Phishing-Vorlagen, die Identitätsanbieter wie Okta oder Microsoft 365 imitieren sollen. Die in der Darstellung beschriebene Trennung von Verantwortlichkeiten – Callcenter-ähnliche Rollen kennen nur die nächste Telefonnummer, Manager sehen nur eine Session-Warteschlange, Admins kontrollieren die Infrastruktur – wirkt wie ein organisatorisches Sicherheitskonzept, das insiderbedingte Risiken in kriminellen Teams reduziert. Für Unternehmen heißt das: Selbst wenn der sichtbare „Angreifer am Telefon“ austauschbar wirkt, bleibt die technische Kette dahinter hochgradig geplant und automatisierbar.
Währenddessen deutet der Gesamttrend auf eine zunehmende Fragmentierung im Ökosystem hin. Es werden neue Gruppen im Laufe der letzten Monate genannt und zugleich unterschiedliche regionale Schwerpunktsetzungen beschrieben – etwa dass eine Familie (Majinahanashi) laut der Einordnung bevorzugt Ziele in der Schweiz, Italien, Deutschland, Bulgarien und Indien adressiert. Außerdem wird betont, dass viele aktuelle Kampagnen eher auf vorpositionierten Zugriff setzen: Credential-Harvesting, Reconnaissance, Privilege Escalation und Umgebungsvorbereitung sollen bereits abgeschlossen sein, bevor es zur Verschlüsselungs- oder Datenabpressungsphase kommt. Dazu passt, dass Ransomware-Akteure zunehmend vertrauenswürdige Unternehmensinfrastruktur missbrauchen sollen, also etwa Kollaborationsplattformen, legitime Cloud-Services, signierte Binärdateien sowie Remote-Administration-Tools, um sich im „normalen“ Betrieb zu tarnen. Ergänzend wird für 2026 ein starker Anstieg der monatlich gemeldeten Opferzahlen genannt, was die operative Skalierung unterstreicht.
Für CIOs, Security-Architekturen und Incident-Response-Teams folgt daraus eine nüchterne Konsequenz: „Verhandlungsangebote“ aus der Täterwelt sind kein Ersatz für technische Schadensbegrenzung. Wenn ein Akteur wie „Ransom Busters“ mit wiederkehrenden Werkzeugketten auftritt, dann ist die Wahrscheinlichkeit hoch, dass derselbe Prozessbaukasten auch in der Kommunikation wiederverwendet wird – also dass das vermeintliche Löschen von Daten Teil einer zusätzlichen Erpressungsstufe ist. Gleichzeitig verdeutlichen die AitM- und Credential-Relay-Bausteine, dass Prävention nicht bei Endpunkten endet: Identitätsabsicherungen, Schutz gegen Phishing und die harte Validierung von Authentifizierungsflüssen werden damit zu zentralen Bausteinen. Und selbst bei Erpresserzahlungen bleibt nach der beschriebenen Logik das Risiko bestehen, dass Datenexfiltration als Hebel weiter genutzt wird – dann eben nicht als „Rückruf“, sondern als anhaltende Bedrohung durch potenzielles Leak-Management.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ransom-Busters-„Hack“: Tarnkappen-Affiliate fordert Lösegeld bis 60.000 US-Dollar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ransom-Busters-„Hack“: Tarnkappen-Affiliate fordert Lösegeld bis 60.000 US-Dollar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ransom-Busters-„Hack“: Tarnkappen-Affiliate fordert Lösegeld bis 60.000 US-Dollar« bei Google Deutschland suchen, bei Bing oder Google News!