Ransom Busters: Falske redningsfirmaer er hackerne selv

Et par dage efter et ransomware-angreb lander der en mail hos direktøren. Afsenderen kalder sig Ransom Busters LTD og fortæller, at de har brudt ind på hackernes egne servere, fundet virksomhedens stjålne filer og nu kan levere både dekrypteringsnøglen og en garanti for, at data bliver slettet. Prisen ligger mellem 20.000 og 60.000 dollar — betydeligt mindre end det oprindelige løsepengekrav.

Sikkerhedsfirmaet GuidePoint Security offentliggjorde den 19. august 2026 en analyse, der viser, hvad tilbuddet i virkeligheden er. Ransom Busters er efter alt at dømme angriberen selv, der forsøger at få løsepengene ind på egen konto uden om den ransomware-gruppe, han eller hun arbejder for.

Beviserne: samme værktøjer, samme kodeord, samme maskine

GuidePoints efterretningsenhed GRIT stødte på fænomenet, mens de håndterede flere aktuelle angreb. Ofrene havde alle været ramt af kendte ransomware-operationer — DragonForce, Settra og Anubis — og de var alle blevet kontaktet af Ransom Busters.

Den kortlægning, GRIT foretog, efterlader ikke meget tvivl. På tværs af sagerne fandt researcherne:

• De samme værktøjer brugt i selve indbruddet og i den efterfølgende "redningsaktion": netværksscanneren SoftPerfect Network Scanner, dataoverførselsværktøjet s5cmd og fjernstyringsværktøjet Remotely.
• Det samme kodeord på de bagdørskonti, angriberen oprettede på de kompromitterede systemer: Numlock!123.
• Det samme værtsnavn på angriberens egen maskine: DESKTOP-BBETH6K.

GRIT vurderer med moderat tillid, at der er tale om én enkelt affiliate — altså en underleverandør i en ransomware-as-a-service-model — som stjæler betalingerne fra de operationer, vedkommende egentlig arbejder for. Det er intern kriminalitet i et kriminelt økosystem.

Forretningsmodellen giver mening set fra affiliatens stol. I en typisk RaaS-aftale skal en betydelig andel af løsepengene afleveres til den gruppe, der leverer selve krypteringsværktøjet og forhandlingsportalen. Lykkes det at få offeret til at betale ved siden af, beholder affiliaten det hele.

Det ene røde flag, der afslører alt

Der findes en helt legitim branche af firmaer, der kontakter ransomware-ofre. Når et angreb bliver offentligt kendt — fordi gruppen lægger virksomheden op på sit lækagesite, eller fordi sagen kommer i pressen — får den ramte ofte en byge af henvendelser fra konsulenthuse, der tilbyder assistance. Det er påtrængende, men ikke kriminelt.

Ransom Busters gør noget andet og afgørende: firmaet kontakter ofrene, før angrebet er offentligt kendt.

Forhandlingsfirmaet Coveware, som specialiserer sig i ransomware-sager, bekræftede over for BleepingComputer, at de har håndteret mindst én hændelse med samme aktør. Coveware beskriver det sådan: "Denne tredjepart kontaktede offeret via e-mail og hævdede at have adgang til både dekrypteringsnøglen og de stjålne data." Og firmaet fremhæver netop det ikke-offentlige som det centrale — den type indblanding er ifølge Coveware "langt mere bekymrende" end de sædvanlige henvendelser fra konsulenter, der har læst om sagen.

Logikken er enkel og værd at holde fast i: kun nogen med indefra-viden kan kende til et angreb, ingen udenforstående har hørt om. Et sikkerhedsfirma, der ringer, før nyheden er ude, har enten selv været med — eller har en kilde, der var.

GuidePoint fandt ingen bekræftede betalinger til Ransom Busters. I ét tilfælde valgte offeret at betale den egentlige ransomware-operatør i stedet, og virksomhedens data blev ikke offentliggjort.

Sådan skelner du et ægte incident response-firma fra en fælde

Er man netop blevet ramt, er dømmekraften under pres. Systemerne står stille, telefonen ringer, og et tilbud om en hurtig udvej er fristende. Brug denne tjekliste, før du svarer på noget som helst.

Kontakten kom uopfordret. Legitime incident response-firmaer bliver hyret — de ringer ikke selv med et løsningsforslag i hånden. Er den første henvendelse kommet fra dem, er det i sig selv et advarselstegn.

De kender ting, der ikke er offentlige. Nævner afsenderen konkrete filnavne, systemnavne, medarbejdere eller detaljer om angrebet, som ikke har været omtalt nogen steder, så er spørgsmålet ikke, om de er dygtige. Det er, hvordan de ved det.

De tilbyder en dekrypteringsnøgle. Et rigtigt IR-firma kan hjælpe med genetablering, forensics, forhandling og myndighedskontakt. Det kan ikke skaffe dig nøglen — medmindre det har fat i den ende af sagen, hvor nøglen bliver lavet.

Der er ingen kontrakt og ingen databehandleraftale. Enhver seriøs leverandør, der skal røre ved jeres systemer, skal have en skriftlig aftale og en databehandleraftale efter GDPR. Kommer forslaget om betaling før papirerne, er det ikke et firma.

Firmaet kan ikke verificeres. Slå det op. Er der et CVR-nummer eller en tilsvarende udenlandsk registrering? Findes der navngivne medarbejdere med sporbar historik? Er domænet registreret for tre uger siden? Ring til hovednummeret på hjemmesiden — ikke til det nummer, der stod i mailen.

Betalingen skal ske i krypto til en adresse, du får i en mail. Det er ikke, hvordan man betaler en dansk eller europæisk leverandør.

De presser på tiden. Kunstig hastværk er standardværktøjet i alt fra CEO-fraud til de angreb, hvor hackere ringer og udgiver sig for IT-support. Et seriøst IR-firma vil tværtimod bede jer bevare ro og undgå at ødelægge spor.

Sådan gør du i stedet. Kontakt jeres cyberforsikring, som normalt har et fastlagt panel af godkendte IR-leverandører. Underret Datatilsynet inden 72 timer, hvis persondata er berørt — det er et krav efter GDPR, ikke en anbefaling — og anmeld forholdet til politiet. Center for Cybersikkerhed under Forsvarets Efterretningstjeneste udgiver vejledninger til håndtering af hændelser på cfcs.dk, og anmeldelse sker via politi.dk. Og luk aldrig sagen ved at betale nogen som helst, før I ved, hvem I taler med.

Modtager du en afpresningsmail uden nogen tegn på, at der faktisk er sket et indbrud, er der ofte tale om ren bluff. Vi har gennemgået den variant separat i vores guide til ShinyHunters-afpresningsmails.

Hvad betyder det for danskerne?

Danske virksomheder er ikke et randfænomen i ransomware-statistikken. DragonForce og Anubis har begge ramt europæiske mål i 2026, og angrebene mod leverandørkæder — som da Clop-gruppen gik efter industriel PLM-software — rammer i praksis også danske underleverandører, der bruger de samme systemer.

Det, der gør Ransom Busters-modellen særligt farlig i en dansk kontekst, er størrelsen på kravet. 20.000–60.000 dollar svarer til cirka 140.000–420.000 kroner. Det er et beløb, en mellemstor dansk virksomhed kan finde uden bestyrelsesbeslutning — og markant mindre end de millionkrav, de store RaaS-operationer stiller. Tilbuddet er skruet sammen til at ligne den fornuftige, pragmatiske løsning. Det er præcis derfor, det virker.

Konklusion

Ransom Busters er en påmindelse om, at afpresningen ikke nødvendigvis stopper, når selve angrebet er ovre. Den næste henvendelse kan komme fra en, der udgiver sig for at ville hjælpe — og som teknisk set godt kan levere en dekrypteringsnøgle, netop fordi vedkommende selv lavede krypteringen.

GuidePoints kortlægning gør det svært for præcis denne aktør at fortsætte under samme navn og med samme værktøjskasse. Men modellen er nem at kopiere, og incitamentet er stærkt for enhver affiliate, der er træt af at aflevere sin andel til RaaS-operatøren. Forvent flere navne i samme genre i løbet af efteråret.

Den brugbare regel er derfor ikke at huske ét firmanavn, men at vende bevisbyrden om: hjælp, du ikke selv har opsøgt, skal verificeres, før den bliver taget imod.

Sagen blev først beskrevet af BleepingComputer den 19. august 2026 på baggrund af GuidePoints analyse, som findes på guidepointsecurity.com.