Ransomware Black Basta, který byl poprvé spatřen v dubnu 2022, je ransomware jako služba (RaaS), jehož skupina hackerů používá taktiku dvojitého vydírání. Útočníci se zaměřují spíše na své oběti, než aby používali taktiku „sprej-a-modli se“. Navzdory svým útočným technikám byla skupina Black Basta během druhého pololetí roku 2022 zodpovědná za 101 útoků. Skupina Black Basta je rusky mluvící hackerská skupina,více než 500 obětí do května 2024, přičemž jejich hlavním cílem jsou podniky se sídlem v USA. S taktikou dvojitého vydírání kyberzločinci data nejen zašifrují, ale také je ukradnou a vyhrožují jejich únikem na temný web. V květnu 2024 se skupina začala zaměřovat aurychlila své útoky na zdravotnické organizace.
Jaký druh malwaru je Black Basta?
Black Basta je ransomware jako služba (RaaS), který krade data, odstraňuje zálohu stínových kopií a šifruje soubory. Poté zanechají výkupné požadující platbu výměnou za dešifrovací nástroj a ne za únik dat. Ransomware Black Bast využívá běžné nástroje, jako jsou Qakbot, SystemBC, Mimikatz, CobaltStrike a Rclone. Je napsán v C++ a může ovlivnit systémy Windows i Linux.
Potvrzené jméno
- Black Basta virus
Typ hrozby
- Ransomware
- Kryptovirus
- Skříňka na soubory
Přípona šifrovaných souborů
- .to prostě je
Zpráva požadující výkupné
- Readme.txt
Je k dispozici bezplatný decryptor?
- Ne, pro ransomware Black Basta neexistuje žádný veřejný dešifrovací klíč
Názvy detekcí
- AvastWin32: Malware-gen
- EmsisoftGeneric.Ransom.Basta.A.88A395AA (B)
- KasperskyHEUR:Trojan-Ransom.Win32.Generic
- MalwarebytesRansom.FileCryptor
- MicrosoftVýkupné:Win32/Basta.C
- SophosMal/Generic-S
Příznaky
- Nelze otevřít soubory uložené ve vašem počítači
- Nové přípony souborů
- Zpráva s žádostí o výkupné na vaší ploše
- Změní tapetu plochy na upozornění na šifrování
Rodina a typ ransomwaru
- Black Basta je rodina ransomwaru
- typ RaaS
Distribuční metody
- Infikované e-mailové přílohy (phishingové e-maily)
- Torrentové webové stránky (infikované odkazy nebo soubory)
- Škodlivé reklamy (malvertising)
Důsledky
- Uzamčené soubory
- Ukradená hesla
- Porušení dat
- Byl nainstalován další malware
Prevence
- Antivirus a anti-malware
- Aktualizovaný software
- Aktualizovaný operační systém (OS)
- Firewally
- Neotevírejte přílohu e-mailu z neznámého zdroje
- Nestahujte soubory z podezřelých webových stránek
- Neklikejte na reklamy, pokud si nejste jisti, že je to bezpečné
- Na webové stránky přistupujte pouze z důvěryhodných zdrojů
Jak Black Basta infikoval váš počítač
Primární infekce Black Basta probíhá prostřednictvím phishingových e-mailů. Útočníci se tváří jako legitimní e-mailové kampaně a přesvědčují uživatele, aby klikli na jejich odkazy nebo si stáhli přílohy.
Spamové e-mailové kampanějsou e-maily, ve kterých hackeři používají sociální inženýrství k oklamání obětí, aby klikaly na škodlivé odkazy nebo přílohy. Poté se exploit kit stáhne do počítače a aktéři hrozby mohou kdykoli spustit ransomware. Tyto e-maily mohou být cíleny, když hackeři zamýšlejí získat přístup ke konkrétní firmě, nebo mohou být necíleným phishingem, když posílají hromadnou malwarovou spamovou kampaň.
Black Basta šifrování a výkupné
Po krádeži a zašifrování vašich dat přidá Black Basta výkupné jako textový soubor a změní vaši tapetu na upozornění o šifrování.
Výkupné je jednoduché a poskytuje podrobnosti pro komunikaci.Vaše data jsou ukradena a zašifrovánaPokud nezaplatíte výkupné, budou data zveřejněna na webu TORMůžete nás kontaktovat a dešifrovat jeden soubor zdarma na tomto webu TOR (nejprve byste si měli stáhnout a nainstalovat prohlížeč TOR hxxps://torproject.org)hxxps://aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/
Jak Black Basta funguje
Black Bast má během procesu šifrování 8 fází.
1. Počáteční přístup
První fáze je, když útočníci najdou cestu do vaší sítě. Pravděpodobně to bude prostřednictvím phishingového e-mailu.
2. Provedení
Poté Black Basta používá skripty PowerShellu k zjišťování informací o síti a ke stažení dalších skriptů.
3. Obranný únik
V této fázi ransomware deaktivuje antimalware a další bezpečnostní software a nástroje.
4. Eskalace oprávnění
Black Basta využívá zranitelnosti k získání privilegovaného přístupu a provádění úkolů a operací. Také dodává maják Cobalt Strike nebo jiné užitečné zatížení.
5. Přístup k pověření
Black Basta používá Mimikatz k výpisu přihlašovacích údajů.
6. Pohyb do stran
Další fází je přístup k dalším zařízením připojeným k síti prostřednictvím protokolu RDP (Remote Desktop Protocol).
7. Exfiltrace
Během tohoto kroku útočníci extrahují data pro taktiku dvojitého vydírání. Používá Rclone k exfiltraci dat z kompromitovaných systémů.
8. Dopad
Poslední fází je zašifrování dat a změna tapety plochy.
Přečtěte si také:Secles Ransomware: Průvodce odstraněním
Zabraňte útoku ransomwaru Black Basta
Již jsme zmínili několik způsobů, jak můžete zabránit útokům ransomwaru Black Basta. Zde je kompletní seznam toho, co dělat, aby byla vaše data a podnikání v bezpečí.
1. Použijte řešení kybernetické bezpečnosti
Můžete mít buď IT tým, který zaručí bezpečnost vaší firmy, nebo si najmout službu kybernetické bezpečnosti. V každém případě musíte hledat zranitelná místa v síti, jako jsou zadní vrátka, exploit kity a software.
2. Používejte silná hesla a používejte vícefaktorové ověřování
Vždy používejte silná a jedinečná hesla pro každý účet a sdílejte je pouze s nezbytnými lidmi. Pokud například zaměstnanci ke své práci nepotřebují účet na webu nebo software, nepotřebují přístup. To může zaručit, že ke každému firemnímu účtu budou mít přístup pouze oprávněné osoby. Můžete použít dvoufaktorové ověření nebo biometrické odemknutí, abyste zajistili, že ke složkám, zařízením nebo účtům budou mít přístup pouze oprávněné osoby.
3. Vymažte zastaralé a nepoužívané uživatelské účty
Nepoužívané účty jsou zranitelnosti, které mohou hackeři zneužít. Deaktivujte a zavřete nepoužívané účty, stejně jako účty používané minulými zaměstnanci.
4. Udržujte software aktualizovaný
Jak již bylo zmíněno, slabým místem je zastaralý software. Je to proto, že nové aktualizace mohou vytvořit ochranu proti novým typům malwaru, jako je Black Basta.
5. Naplánujte pravidelné zálohování
Uchovávejte alespoň tři kopie svých dat, z nichž alespoň jedna je uložena offline a mimo web. To může zaručit, že vaše data budou vždy v bezpečí, i když vás zasáhne přírodní nebo člověkem způsobená katastrofa (jako je ransomware). Pravidelné zálohování může zabránit výpadkům a zajistit, že nikdy neztratíte žádná citlivá data.
6. Mějte v ruce plán obnovy
Plány obnovy dat jsou dokumenty, které slouží jako návod, co dělat v případě havárie. Mohou vám pomoci obnovit vaši firmu rychleji a bezpečněji. Podívejte se, jak vytvořit plán obnovy dat pomocí našeho podrobného průvodce.
Jak zvládnout útok ransomwaru Black Basta
Prvním krokem k zotavení z útoku Black Basta je izolovat infikovaný počítač odpojením od internetu a odebráním jakéhokoli připojeného zařízení. Poté musíte kontaktovat místní úřady. Pro obyvatele a podniky v USA je tomístní pobočka FBIaInternet Crime Complaint Center (IC3).Chcete-li nahlásit útok ransomware, musíte o něm shromáždit všechny dostupné informace, včetně:
- Snímky obrazovky výkupného
- Komunikace s herci Black Basta (pokud je máte)
- Ukázka zašifrovaného souboru
Nesmíte ransomware odstranit a ponechat si všechny důkazy o útoku. To je důležité pro digitální forenzní vědu, aby odborníci mohli zpětně vysledovat skupinu hackerů a identifikovat je. Využívá data z vašeho infikovaného systému, takže úřady mohou útok prošetřit a najít odpovědné. Vyšetřování kybernetického útoku se neliší od jakéhokoli jiného vyšetřování trestných činů: potřebuje důkazy k nalezení útočníků.
Po izolaci zařízení a kontaktování úřadů musíte k načtení svých dat postupovat podle následujících kroků:
1. Obraťte se na svého zástupce pro reakci na incidenty
Reakce na kybernetický incident je proces reakce na kybernetický bezpečnostní incident a jeho řízení. Incident Response Retainer je servisní smlouva s poskytovatelem kybernetické bezpečnosti, která organizacím umožňuje získat externí pomoc s kybernetickými bezpečnostními incidenty. Poskytuje organizacím strukturovanou formu odborných znalostí a podpory prostřednictvím bezpečnostního partnera, což jim umožňuje rychle a efektivně reagovat v případě kybernetického incidentu. Zásobník reakce na incident nabízí organizacím klid a nabízí odbornou podporu před a po kybernetickém bezpečnostním incidentu. Konkrétní povaha a struktura úložiště odezvy na incident se bude lišit podle poskytovatele a požadavků organizace. Dobrý zálohovač reakce na incidenty by měl být robustní, ale flexibilní a měl by poskytovat osvědčené služby ke zlepšení dlouhodobého bezpečnostního postavení organizace.
2. Identifikujte infekci ransomware
Můžete zkontrolovat, který ransomware infikoval váš počítač, podle přípony souboru (některý ransomware používá příponu souboru jako svůj název), nebo to bude na poznámce o výkupném. S těmito informacemi můžete hledat veřejný dešifrovací klíč. Black Basta to však ještě nemá.
3. Odstraňte ransomware a odstraňte exploit kity
Před obnovením dat musíte zaručit, že vaše zařízení neobsahuje ransomware a že útočníci nemohou provést nový útok prostřednictvím sad exploitů nebo jiných zranitelností. Služba pro odstranění ransomwaru může ransomware odstranit, vytvořit forenzní dokument pro vyšetřování, odstranit zranitelnosti a obnovit vaše data.
4. K obnovení dat použijte zálohu
Zálohy jsou nejúčinnějším způsobem obnovy dat. Ujistěte se, že máte denní nebo týdenní zálohy v závislosti na využití dat.
5. Kontaktujte službu obnovy ransomwaru
Pokud nemáte zálohu nebo potřebujete pomoc s odstraněním ransomwaru a odstraněním zranitelností, měli byste kontaktovat službu pro obnovu dat.NEPLATÍTE VÝKUPNÉ.Neexistuje žádná záruka, že útočníci Black Basta vrátí data poté, co jim zaplatíte. Správnou akcí je kontaktovat místní úřady a ransomware odstranit. Pro odstranění i obnovu dat můžete kontaktovat službu obnovy ransomwaru. Odborníci na SalvageData mohou bezpečně obnovit vaše soubory a zaručit, že ransomware Black Basta znovu nenapadne vaši síť. Kontaktujte naše odborníky 24 hodin denně, 7 dní v týdnu pro pohotovostní záchrannou službu nebo najděte záchranné centrum ve vašem okolí.
