המייל מגיע כמה ימים אחרי שהקבצים בארגון הוצפנו, ולפני שהשם שלו הופיע באתר הדלפות כלשהו או בתקשורת. הכותב מציג את עצמו כשירות שחזור בשם Ransom Busters, מסביר שהוא פרץ לממשקי הניהול של קבוצות הכופרה עצמן, ומציע להשיג את מפתח הפענוח ולמחוק את המידע שנגנב תמורת סכום שנע בין 20 ל-60 אלף דולר. השאלה שהטרידה את מי שקיבל את המייל היא איך הוא ידע בכלל שיש מה לשחזר.

מה קרה

צוות המחקר GRIT של חברת GuidePoint Security נתקל בפניות האלה בזמן שטיפל בכמה אירועי כופרה. הגורם טען שניצל חולשות בממשקי הניהול של מבצעי כופרה-כשירות, מודל שבו קבוצה אחת מפתחת ומתחזקת את הכופרה ושותפים חיצוניים מבצעים בפועל את הפריצות ומתחלקים איתה בתשלום, ובהם DragonForce, Settra ו-Anubis. כך, לדבריו, הוא מחזיק גם במפתחות ההצפנה וגם במידע שנגנב.

אז החוקרים השוו. בשני אירועים נפרדים הכלים שהתוקף השאיר אחריו היו אותם כלים בדיוק: סורק הרשת SoftPerfect Network Scanner, הכלי s5cmd להעתקת קבצים לאחסון ענן, וכלי הניהול מרחוק Remotely. בשני המקרים נפתח באותו אופן חשבון גיבוי מקומי עם הסיסמה Numlock!123, ובשניהם הופיע אותו שם מחשב בשליטת התוקף, DESKTOP-BBETH6K. המסקנה של GRIT מנוסחת ברמת ביטחון בינונית ולא כקביעה: Ransom Busters אינו חברת שחזור אלא שותף אחד שעובד מול כמה קבוצות כופרה, ומשתמש בגישה שיש לו כדי לגזור לעצמו את התשלום במקומן.

החוקרים מדגישים שהם לא ראו אף קורבן משלם ל-Ransom Busters. באחד המקרים הקורבן שילם דווקא לקבוצת הכופרה, ושמו והמידע שנגנב ממנו לא פורסמו בסוף. חברת המשא ומתן Coveware אישרה ל-BleepingComputer שגם היא נתקלה לאחרונה לפחות באירוע אחד עם אותו גורם, ולדבריה מתווכים כאלה, בשמות אחרים, מוכרים כבר מ-2024. ההבדל הוא שאותם מתווכים פנו לקורבנות רק אחרי שהמתקפה כבר פורסמה. פנייה לאירוע שעדיין לא יצא החוצה היא סיפור אחר.

למה זה חשוב לכם

רוב הקוראים כאן לא ינהלו משא ומתן מול קבוצת כופרה, אבל אותה תבנית מגיעה גם לאנשים פרטיים: הודעה ממישהו שמציע להחזיר חשבון פייסבוק או אינסטגרם שנפרץ, או מטבעות קריפטו שנעלמו, תמורת תשלום מראש. הכלל שעולה מהמקרה הזה לא נשען על זהות התוקף אלא על עצם הפנייה, ולכן הוא עובד בשני הגדלים: הצעת עזרה שמגיעה לפני שביקשתם עזרה היא סימן, לא הזדמנות. למי שמנהל ארגון יש כאן עוד שורה לא נוחה ש-Coveware מצביעה עליה. אם לצד שלישי יש עותק של המידע הגנוב, תשלום לקבוצה שתקפה כבר לא מבטיח שכל מי שמחזיק בו יכבד את ההסכם.

מה עושים?

קיבלתם פנייה כזאת בארגון? אל תשיבו לבד. העבירו את המייל המקורי, על הכותרות הטכניות שלו, לצוות התגובה לאירועי סייבר ולייעוץ המשפטי, ודווחו למוקד 119 של מערך הסייבר הלאומי.

אל תשלמו לגורם שיזם את הפנייה, גם כשהוא מציג את עצמו כמי שנלחם בתוקפים. לפי הממצאים של GRIT, סביר שבמקרה הזה התשלום מגיע לאותו אדם פעם שנייה.

כאדם פרטי: מי שפונה אליכם ומציע להחזיר חשבון שנפרץ או כסף שנגנב תמורת תשלום מראש הוא כמעט תמיד חלק מהבעיה. השחזור עובר במסלול הרשמי של הפלטפורמה, דרך הבנק או חברת האשראי, ובתלונה במשטרה.

ובארגון, הדבר היחיד שמוציא אתכם מהמשא ומתן הזה מלכתחילה הוא גיבוי מנותק מהרשת שבדקתם בפועל שאפשר לשחזר ממנו.

מי שיודע על הפריצה שלכם לפני שאתם פרסמתם אותה, יודע עליה מבפנים.