El correu va arribar abans que ningú de fora sabés que hi havia un incident. Això només ho sap qui hi ha estat a dins.
El 18 d'agost, l'equip de recerca de GuidePoint (GRIT) va explicar una cosa que veia en diverses respostes a incidents recents: a més del rescat de sempre, a la víctima li entrava un segon correu. No del grup que havia xifrat, sinó d'un tercer que es presentava com a Ransom Busters LTD i s'oferia a treure-la del mullader.
Què diu el correu
El text que recull GRIT comença així: «Sóc representant d'un projecte que assisteix víctimes de ciberatacs. Fa més de tres anys que identifiquem vulnerabilitats i ens infiltrem als servidors de grups criminals». A partir d'aquí, l'oferta: diu haver entrat als panells d'administració de l'operació de ransomware, haver-hi trobat les dades robades a la teva empresa i estar disposat a esborrar-les —i a facilitar la clau— per una xifra d'entre 20.000 i 60.000 dòlars.
GRIT va fer el que cal fer amb una afirmació així: preguntar. I en preguntar-li, Ransom Busters va confirmar que tenia accés al mateix conjunt de dades robades que l'afiliat responsable de la intrusió. La seva paraula, no cap verificació independent — però encaixa amb tota la resta.
I del costat forense, les mateixes petjades repetides en els incidents que va analitzar l'equip forense de GuidePoint: SoftPerfect Network Scanner per al reconeixement intern, s5cmd per treure les dades cap a emmagatzematge d'AWS, l'eina de gestió remota Remotely desplegada amb PowerShell, un compte local de backdoor creat amb la contrasenya Numlock!123 i sempre el mateix nom de màquina de l'atacant, DESKTOP-BBETH6K. Activitat lligada a tres operacions diferents: DragonForce, Settra i Anubis.
La conclusió de GRIT, amb les seves paraules i amb el seu matís —«amb confiança moderada»—, és que Ransom Busters no és cap justicier ni cap investigador: és un únic afiliat que treballa per a diverses operacions de ransomware alhora i que, tenint accés a les dades, ha decidit cobrar pel seu compte i deixar sense la seva part la banda que li dóna el programa. Un empleat robant de la caixa.
El que ho canvia tot és la data del correu
Que apareguin voltors al voltant d'una víctima de ransomware no és nou, i convé dir-ho per no vendre això com una cosa inaudita. El 2019, l'investigador Fabian Wosar (Emsisoft) es va fer passar per client i va parar un parany a una firma escocesa de recuperació de dades; ProPublica ho va publicar al juny. Mentre deia al fals client que estava «fent proves» per desbloquejar els fitxers, la firma negociava el rescat directament amb l'atacant i després li passava una factura de 3.950 dòlars: quatre vegades el rescat pactat. Lleig i car, però era un intermediari, i el client anava a buscar-lo a ell.
Aquí no. Aquí les víctimes van rebre el correu abans que l'incident fos públic. No hi ha cap llista d'on treure't, ni fòrum on t'acabin de publicar, ni periodista que ho hagi explicat. Només hi ha una manera de saber que aquesta empresa concreta ha estat xifrada aquell dia concret: haver estat a dins.
Per això el correu no és una oferta. És evidència. Si arriba abans que res sigui públic, t'està confirmant dues coses que potser encara discuties internament: que hi va haver exfiltració de debò i que qui la va fer continua tenint les dades a mà.
Va dirigit a la persona, no al sistema
Fixa't a qui demana parlar el correu: al director general o a qui mana a IT. No a l'equip de resposta, ni a la bústia de seguretat. I arriba aviat, quan encara no saps l'abast, quan portes hores dret i quan el que més vols al món és que això s'acabi avui i sense que surti de casa. Està escrit per a aquest estat d'ànim. Cap control tècnic no l'atura, perquè no ataca cap sistema ni explota cap programari: entra pel correu de sempre i l'únic que explota és el cansament de qui decideix.
L'efecte pràctic és pitjor del que sembla: obre una segona negociació en paral·lel a la primera, amb algú que no respon davant de ningú —ni tan sols davant de la banda per a qui treballa— i sense que les dues parts de dins sàpiguen l'una de l'altra. Si a la teva empresa dues persones diferents parlen cadascuna amb un interlocutor diferent, ja no gestiones un incident: en gestiones dos.
El protocol del primer matí
Això no s'improvisa el dia que passa, perquè el dia que passa ningú no està per escriure procediments. És mitja hora de reunió un dimarts qualsevol. El que posaríem per escrit amb un client abans que faci falta:
- ✓Un canal fora del perímetre, decidit abans. Si el correu corporatiu pot estar compromès, no és el lloc on es coordina la resposta. Un grup en un altre mitjà, amb els mòbils personals apuntats en paper. Sona tosc; el paper és l'únic que no es xifra.
- ✓Un únic portaveu cap a fora, amb nom i cognoms. Escrit abans de l'incident. Tot el que arribi d'un desconegut va a aquesta persona i no es contesta des de cap altre lloc. És el que impedeix la negociació paral·lela.
- ✓No es respon «només per veure què diuen». Contestar confirma tres coses de franc: que la bústia és viva, que hi ha algú espantat al darrere i que hi ha marge per parlar de diners. GRIT recomana tractar aquestes ofertes amb escepticisme seriós i passar-les a l'equip de resposta; nosaltres ho diríem més curt: no hi ha curiositat barata enmig d'un incident.
- ✓Es reenvia amb les capçaleres completes i s'anota l'hora exacta de recepció. És una dada de la línia temporal. Si el correu va entrar abans que la nota de rescat, o abans que se sabés res a fora, això acota la finestra d'exfiltració millor que molts registres.
- ✓La decisió de pagar no la pren qui rep el correu. Mai. És de direcció, amb assessoria legal i amb l'asseguradora si n'hi ha, i amb la dada sobre la taula de si es pot restaurar sense ells. Pagar perquè «esborrin» les teves dades és comprar una promesa sense res al darrere: GRIT ho diu tal qual —pagar a qualsevol part criminal no dóna cap garantia que les dades robades s'esborrin— i no hi ha manera d'auditar un esborrat que passa a l'ordinador d'un delinqüent.
El que aquest protocol NO t'evita
Cap dels cinc punts de dalt no hauria impedit la intrusió, i cap no desxifra ni un sol fitxer. Un protocol de comunicació ordena un matí horrible; no el cancel·la. Si arribes al dia del correu sense poder reconstruir pel teu compte, tens exactament les mateixes opcions dolentes que tenies, una mica més ben ordenades.
El que decideix si un rescat és una negociació o un tràmit és si pots aixecar la casa sense ells. Ja ho vam escriure a propòsit del registre de la propietat romanès al qual van esborrar fins i tot les còpies: la paraula que importa és «immutable», no «diària». I l'altra cara del mateix assumpte és tenir un RTO i un RPO calculats de debò, perquè quan algú et demana 60.000 dòlars per una promesa, l'única resposta amb criteri és saber quant et costa a tu no pagar-la.
Segona advertència, aquesta sobre els indicadors. La contrasenya Numlock!123 i el nom de màquina DESKTOP-BBETH6K serveixen per buscar cap enrere als teus registres: si hi apareixen, tens una conversa molt diferent aquesta tarda. No serveixen com a defensa. Canviar un nom de màquina costa trenta segons, i qui el va repetir en els incidents de GuidePoint ja l'haurà canviat. El que sí que és estable és el patró del mig —escàner de xarxa, eina de gestió remota que ningú no va instal·lar i un compte local nou—, que és justament el que un servei gestionat ha de veure quan passa. Nosaltres ja vam explicar com s'apaga un EDR amb un simple reinici en mode segur: la fase de reconeixement és l'estona en què encara es pot.
Quan això no va amb tu
Si la teva empresa ja té un equip de resposta contractat amb retén, un pla de comunicació de crisi provat i algú que sap què fer amb un correu així, aquest article no t'aporta gran cosa: reenvies, continues i prou. Dir-te el contrari seria vendre't fum. El problema és que aquest no és el cas de la majoria d'empreses de la mida amb què treballem, on el pla de crisi és una persona que agafa el telèfon a les tres de la matinada i decideix sola.
Què fas amb el correu de demà
Hora de recepció, capçaleres completes, un portaveu, i la decisió on toca. Això és tot el que cal fer-ne el dia que arribi. Algú de dins de la cadena que et va atacar té les teves dades al davant i ha decidit cobrar-les dues vegades, i el seu correu t'ho està explicant de franc. I la conversa important guarda-te-la per a un altre dia, un de tranquil, en què la pregunta sigui quant trigues a tornar a aixecar la casa sense ells.
Fonts: text dels correus, xifres de 20.000 a 60.000 dòlars, indicadors forenses (SoftPerfect Network Scanner, s5cmd, Remotely, la contrasenya Numlock!123 i el nom de màquina DESKTOP-BBETH6K), operacions implicades (DragonForce, Settra, Anubis), la valoració «amb confiança moderada» i la recomanació a les víctimes — «Beware the Ransomware Rescuer: Ransom Busters», GuidePoint Security (GRIT), 18-ag.-2026, per Justin Timothy; confirmació que els correus van arribar abans que els incidents fossin públics — BleepingComputer i The Hacker News; el cas del 2019 de la firma de recuperació que negociava el rescat i facturava quatre vegades el pactat — el parany de Fabian Wosar (Emsisoft), publicat per ProPublica el 24 de juny del 2019.
Qui agafa el telèfon a la teva empresa a les tres de la matinada?
A everyWAN donem suport IT 24x7 i muntem el pla de disaster recovery que fa que un correu així es contesti amb un reenviament i poc més. Mitja hora de reunió ara val més que qualsevol cosa que puguem fer aquell dia — i si el que ja tens està bé, t'ho direm.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN