คลังข้อมูลภัยคุกคามนั้น: เล่มที่ 7 Black Basta

May 15 2023

ในโลกที่เชื่อมต่อถึงกันทุกวันนี้ ภัยคุกคามจากการโจมตีทางไซเบอร์นั้นแพร่หลายมากขึ้นกว่าเดิม อาชญากรไซเบอร์และผู้มีบทบาทในระดับชาติพยายามใช้ประโยชน์จากช่องโหว่และขโมยข้อมูลที่มีค่าอย่างต่อเนื่อง ซึ่งก่อให้เกิดความเสี่ยงที่สำคัญต่อองค์กรทุกขนาด เพื่อก้าวนำหน้าภัยคุกคามเหล่านี้ องค์กรต่างๆ จำเป็นต้องมีความเข้าใจว่าตัวการคุกคามเหล่านี้คือใครและดำเนินการอย่างไร

ใน That Threat Archive ฉบับนี้ เราจะดำดิ่งสู่กลุ่ม Black Basta ransomware ซึ่งเราจะหารือเกี่ยวกับการใช้เครื่องมือ การโจมตีล่าสุด ตัวบ่งชี้การประนีประนอมบางส่วน และรายการคำแนะนำที่สำคัญทั้งหมดเพื่อปรับปรุงท่าทางการรักษาความปลอดภัยของคุณและป้องกันเชิงรุกจากการโจมตีทางไซเบอร์เหล่านี้

ขอต้อนรับสู่เล่มที่ 7 ของ That Threat Archive

!! ดังนั้นมาเรียนรู้เกี่ยวกับ BLACK BASTA กันเถอะ !!

Black Bastaถูกตรวจพบครั้งแรกในเดือนเมษายน พ.ศ. 2565 และเป็นกลุ่มแรนซัมแวร์ ซึ่งนักวิจัยได้เชื่อมโยงกับกลุ่มแฮ็ค Fin7 หรือที่รู้จักในชื่อ Carbank อย่างไรก็ตาม นักวิจัยคนอื่นๆ ได้แนะนำว่าอาจมีการเชื่อมโยงไปยัง Conti ซึ่งจะปิดเซิร์ฟเวอร์ในปี 2565

หมายความว่ากลุ่มนี้ค่อนข้างแย่และแม้ว่าจะยังใหม่กับฉากแรนซัมแวร์ก็อย่ามองข้ามคนกลุ่มนี้

ความเป็นมาเกี่ยวกับ Fin7

Fin7 หรือที่รู้จักในชื่อ Carbanak / เนวิเกเตอร์ สร้างชื่อด้วยการขโมยเงิน 1 พันล้านดอลลาร์จากบริษัทมากกว่า 100 แห่งในปี 2014 เริ่มจากซอฟต์แวร์สกิมเมอร์บัตรเครดิตที่กำหนดเป้าหมายเหยื่อ ณ จุดขายของระบบ

โมเดลเพชรของ Black Basta

Black Basta ได้รับการมองว่ามีวิธีการที่กำหนดเป้าหมายไปยังผู้ที่กำหนดเป้าหมายแทนที่จะใช้กลยุทธ์สเปรย์และอธิษฐาน เชื่อกันว่านี่อาจเป็นการรีแบรนด์ของ Conti และการวิจัยที่เป็นไปได้แสดงให้เห็นว่าอาจเชื่อมโยงกับ Fin7 เนื่องจากความคล้ายคลึงกันในเทคนิคและขั้นตอนยุทธวิธี (TTPs) ที่อยู่ IP และเทคนิคการหลีกเลี่ยง EDR

พวกเขาใช้เทคนิคการขู่กรรโชกสองครั้ง ซึ่งเป็นการโจมตีทางไซเบอร์ประเภทหนึ่ง โดยจะกรองและเข้ารหัสข้อมูลของเหยื่อ จากนั้นเรียกค่าไถ่ทั้งในการถอดรหัสและการป้องกันการรั่วไหลของข้อมูล

เว็บไซต์ชำระเงิน Black Basta

ดังนั้นเราจึงรู้ว่ากลุ่มนี้ดำเนินการตั้งแต่เดือนเมษายน 2565 แต่เพิ่งมีนาคม 2566 พวกเขาสามารถกำหนดเป้าหมายอย่างจริงจังในช่วงเวลาดังกล่าวได้กี่แห่ง

?ภาพแสดงเหยื่อของ Black Basta

ด้านบนทำให้ฉันคิดเช่นกัน และจนถึงวันนี้ มีองค์กรมากกว่า 75 องค์กรบนไซต์ ซึ่งถือว่าเยอะมากเมื่อพิจารณาว่ากลุ่มนี้ไม่ได้อยู่มานานแล้ว ดังนั้นพวกเขาจึงค่อนข้างกระตือรือร้น

การละเมิดล่าสุดของ Black Basta

เมษายน 2565:

บาสต้าสีดำปรากฏขึ้น
Deutsche Windtechnik ถูกโจมตีโดย Black Basta และต้องปิดการเชื่อมต่อการตรวจสอบระยะไกลไปยังกังหันลม

ADA (สมาคมทันตกรรมอเมริกัน) มีข้อมูล 2.8GB ที่ถูกขโมย โดย 30% ของข้อมูลนั้นรั่วไหลบนไซต์ด้วยการโจมตีที่ขัดขวางอีเมล โทรศัพท์ และระบบแชท

Capita ซึ่งเป็นบริษัทเอาต์ซอร์สของภาครัฐถูกโจมตีและมีข้อมูลลับถูกขโมย สิ่งนี้นำไปสู่โรงเรียนหลายแห่งและโครงสร้างพื้นฐานระดับชาติที่สำคัญบางแห่งที่มีปัญหาด้านไอทีที่สำคัญ

สมุดหน้าเหลืองในแคนาดา (ถ้าคุณอายุเท่าฉัน หนังสือจะเล็กกว่านี้มากถ้าคุณยังหาได้) ประกาศว่าพวกเขาตกเป็นเหยื่อของ Black Basta และพบว่าข้อมูลถูกขโมยไปจากหนังสือเดินทาง งบประมาณ และหนี้สิน การคาดการณ์และการสูญหายของข้อมูลที่อยู่และวันเดือนปีเกิดของพนักงาน
ABB ซึ่งเป็นบริษัทข้ามชาติของสวิสซึ่งเป็นผู้ให้บริการเทคโนโลยีชั้นนำในขณะที่เขียนบทความนี้ยังคงตรวจสอบการละเมิดอยู่

บันทึก Ransomware ที่ Black Basta ทิ้งไว้

Black Basta เขียนด้วยภาษา C++ และเป็นแรนซัมแวร์ข้ามแพลตฟอร์มที่ส่งผลกระทบต่อทั้ง Windows และ Linux เป็นที่รู้กันว่ากลุ่มนี้ใช้ฟิชชิงกับเอกสาร/ไฟล์แนบที่เป็นอันตราย ซึ่งเมื่อผู้ใช้โต้ตอบกับเอกสารและดาวน์โหลด Qakbot และ Cobalt Strike

รายละเอียดด้านล่างคือเครือข่าย Cyber Kill ของวิธีการที่ Black Basta เข้าสู่เครือข่ายโดยใช้อีเมลฟิชชิ่งเป็นการเข้าถึงเบื้องต้น จากนั้นตามด้วยเครือข่าย Kill

คลังข้อมูลภัยคุกคามนั้น: เล่มที่ 7 Black Basta

!! ดังนั้นมาเรียนรู้เกี่ยวกับ BLACK BASTA กันเถอะ !!

ความเป็นมาเกี่ยวกับ Fin7

การละเมิดล่าสุดของ Black Basta

คำแนะนำ

ขอบคุณที่อ่านสิ่งเหล่านี้ โปรดแสดงความคิดเห็นโต้ตอบและติดตามฉัน

แหล่งที่มา