Az eredetileg latin szállóige (Vae victis!) érvénye úgy tűnik több mint két évezred után sem kopott meg, pedig ezúttal a ransomware támadások körül ólálkodó hiénákról lesz szó.

Ransomware áldozatnak még átlagos normál körülmények között sem jó lenni, de néha pluszban még tetézik is a bajt egyéb kellemetlen történések. Ha csak felidézünk pár ilyen nyomasztó destruktív körülményt, szerepelt már itt több hibásan megírt zsarolóvírus például PowerWorm, ahol még ha esetleg fizetett is az áldozat, akkor is 100 százalékban bebukta az áldozat az állományait.

Aztán voltak, sőt folyamatosan vannak olyan bűnözői csoportok, akik a váltságdíj fizetés után kis idővel újra próbálkoznak pénzkéréssel vagy éppen hátsó ajtót telepítenek, és azon keresztül ismét támadnak ugyanott, például egy szállodában.

De olyan brigádokról is szóltak már a posztok, akiknek az égvilágon semmi köze nem volt az eredeti támadókhoz, de máshonnan hozzáférve az így kiszivárgott adatokhoz, próbálták megzsarolni az adott bajbajutott céget, például az Ox Thief nevű csoport.

És emellett emlékezetes lehet a Change Healthcare eset is, amikor a külső partnereket (affiliate) alkalmazó ALPHV/BlackCat bűnözők váratlanul kizárták a sikeres zsarolást végző alvállalkozójukat, és egyszerűen lenyúlták tőlük a váltságdíjat, aminek következtében az áldozattól az eredeti támadók újra pénzt követeltek. 

Ennyi szokatlan előzmény után ugorjunk a legfrissebb esetre, ahol ami hasonló kaliberű, de újabb csavart hoz a történetbe, és mi másra is hegyezne, mint hogy többszörösen megkárosítsa az áldozatokat. Újszerűsége abban állt, hogy az elkövetők Ransom Busters LTD álnéven nemcsak megtámadták az áldozatokat, hanem jól időzítve még az incidens nyilvánosságra kerülése előtt felvette velük a kapcsolatot (ekkor vajon ki tudhatott még erről?), és ransomware helyreállító cégnek álcázva magát segítséget ajánlottak fel.

20 és 60 ezer dollár közötti összegért nem csak helyreállítják a titkosított fájlokat, hanem állítólag megtalálták és megsemmisítik a banda által tőlük ellopott adatok biztonsági mentéseit. Ez utóbbi TÚL SZÉP HOGY IGAZ LEGYEN típusú ígéret azért jogosan kelthetne gyanút bárkiben.

Az utólagos forensic vizsgálatok alapján egyértelműen kijelenthető, hogy az állítólagos segítők valóban maguk az eredeti támadók voltak, gyakorlatilag ismételten zsarolva meg ugyanazokat az áldozatokat. Technikai részletek egyezése - például ismétlődő hátsó ajtó jelszót (Numlock!123) választottak, azonos gazdagépnevet használták, és ugyanazokat az eszközöket futtatták (SoftPerfect Network Scanner, s5cmd, Remotely).

Fontos, hogy csak megbízható informatikai szakértőket és túsztárgyalókat alkalmazzanak az áldozatok, ellenkező esetben kétszer fizethetnek anélkül, hogy valódi megoldást kapnának. Támadásból pedig sajnos úgy tűnik, a jövőben sem lesz hiány.