社区编辑申请
注册/登录
网络安全专家警告“Black Basta”勒索软件的新威胁
安全
Black Basta 勒索软件是攻击的最终有效载荷。与大多数勒索软件一样,它的设计目的是加密机器上的文件,并向用户留下勒索字条。

BLACK BASTA 勒索软件攻击分析

6 月初,据报道Black Basta 勒索软件团伙与QBot 恶意软件行动合作传播他们的勒索软件。当然,这并不是勒索软件团伙第一次与 QBot 合作,将其用作主要分销商。 

勒索软件领域的许多“大玩家”之前都做过,包括MegaCortex、ProLock、DoppelPaymer、Conti和Egregor。这些合作伙伴关系在过去已经证明了自己,而 Black Basta 很可能是为了追随大玩家的领先一步,也决定这样做。

QBot 的使用为勒索软件运营商节省了时间。QBot 具有许多对攻击者非常有用的内置功能。其中一些用于执行侦察、收集数据和凭据、横向移动以及下载和执行有效载荷。 

在获取凭据并了解网络架构后,攻击者以域控制器为目标,并使用 PsExec 横向移动。一旦成功入侵,攻击者就会“做好准备”并执行旨在避免检测和预防的最终程序。

攻击者在受感染的 DC 上创建组策略对象 (GPO) 以禁用 Windows Defender 并尝试关闭任何防病毒产品。有趣的是,过去在QBot-Egregor 攻击中也观察到了这种技术。

攻击的最后阶段是将勒索软件部署到目标端点。为此,攻击者使用编码的 PowerShell 命令,该命令利用 WMI 将勒索软件二进制文件推送到攻击早期创建的文件C:\Windows\pc_list.txt中包含的 IP 地址。

BLACK BASTA 勒索软件

Black Basta 勒索软件是攻击的最终有效载荷。与大多数勒索软件一样,它的设计目的是加密机器上的文件,并向用户留下勒索字条。

执行后,勒索软件会使用vssadmin.exe删除系统的虚拟卷影副本, vssadmin.exe是一种管理卷影复制服务 (VSS) 的命令行工具,它捕获并复制稳定的映像以在运行的系统上进行备份。

勒索软件通常使用vssadmin.exe在加密文件之前删除文件的卷影副本和其他备份。这是另一种确保受害者在无法从 VSS 解密或检索到有价值的文件时被迫付费解密的方法:

图片图片

Cybereason 防御平台中显示的 Black Basta 执行

勒索软件将两个文件放入 %TEMP%:一个是加密文件的图标(名为“fkdjsadasd.ico”),另一个是用作背景图像的 .jpg 文件(名为“dlaksjdoiwq.jpg”) :

图片

当勒索软件启动其加密程序时,它首先会更改桌面的背景图像,同时遍历文件并对其进行加密。

扩展名“.basta”被添加到加密文件中,恶意软件会在每个文件夹中删除名为“readme.txt”的赎金记录。赎金记录是为受害者定制的,并包含一个唯一的 ID,供受害者在谈判聊天中使用:

图片

黑色巴斯塔壁纸

图片图片

加密文件和赎金记录

LINUX 版本

6 月初,Black Basta增加了对在企业 Linux 服务器上运行的VMware ESXi 虚拟机 (VM) 的加密支持。这种策略在不同的勒索软件团伙中广受欢迎,因为它符合他们的企业目标,并且还可以利用单个命令对多个服务器进行更快的加密。这些帮派包括:LockBit、Hive和Cheerscrypt。

执行后,Black Basta 会查找 /vmfs/volumes,如果路径不存在,勒索软件将抛出“错误”-“此系统中不存在路径”并退出:

图片

Black Basta 创建的错误消息

Linux 版本除了以 ESXi 为中心之外,与 Windows 版本有许多相似之处。两种变体在加密期间显示相同的消息:“完成时间:%.4f 秒,加密:%.4f gb”:

图片

变体之间的相似性 - “完成时间”按摩

这两种变体还共享在 Black Basta 中发现的相同唯一字符串:“ ERRRRRRRRROr”和“错误 755”:

图片图片

变体之间的相似性 - “ERRRRRRRRRor”唯一字符串

两种变体赎金记录(readme.txt)是相同的:

图片

人们对新的 Black Basta 知之甚少,因为他们还没有开始营销他们的业务或在黑客论坛上招募附属机构。然而,由于他们能够迅速积累新的受害者,不同的研究人员认为这不是他们的第一次。

责任编辑:赵宁宁 来源: 祺印说信安
相关推荐

2022-06-13 11:57:03

移动攻击勒索软件恶意软件

2022-04-27 13:55:22

网络攻击勒索软件

2022-08-12 10:45:00

勒索软件思科

2019-08-30 08:57:36

2022-08-04 12:03:08

勒索软件勒索团伙

2022-07-04 10:44:12

2022-07-25 12:01:28

勒索软件防御意识

2022-07-05 08:41:56

数据安全工具安全备份

2022-07-19 10:14:53

2022-07-28 16:47:32

漏洞网络安全风险

2022-06-02 19:49:46

戴尔

2022-04-02 11:17:43

勒索软件网络安全网络攻击

2022-03-22 10:00:03

勒索软件BlackCat

2022-02-07 18:53:49

2022-05-09 14:46:55

勒索软件数据保护

2021-12-31 06:58:25

2021-06-15 06:55:28

2022-01-05 09:30:16

2022-03-02 11:42:06

勒索软件网络安全

2022-02-16 09:31:29

勒索软件网络攻击

同话题下的热门内容

分类分级是数据安全的必由之路!关于Web渗透测试需要知道的一切:完整指南一起看看21个网络安全优秀实践针对Windows和Linux ESXi服务器,GwisinLocker勒索软件发起勒索攻击如何保护智能家居避免黑客攻击理解工作角色和选择网络安全职业的指南新型在野远控木马Woody RAT,针对俄罗斯航空航天组织新型Linux僵尸网络RapperBot暴力破解SSH服务器

编辑推荐

付费成人网站OnlyFans数百名创作者内容泄露,可能有你关注的YouTube博主2019年最近发现的网络安全事件权威解读 | 网络安全等级保护2.0标准体系以及主要标准2019年网络安全事件回顾(国际篇)2019年网络安全事件回顾(国内篇)
我收藏的内容
点赞
收藏

51CTO技术栈公众号