Black Basta: Große Ransomware-Bande wurde komplett entblößt

Eine der aktivsten russischen Ransomware-Gruppen ist in den letzten Wochen von Sicherheitsexperten faktisch entblößt wor­den. Diese verschafften sich Zugang und Einblicke in die Sys­te­me und Prozesse bei der "Black Basta"-Bande. Aktuell gibt es in der Ransomware-Szene nur wenige Akteure, die für die wirklich großen Kampagnen verantwortlich sind. Bekannt sind hier Namen wie Hive oder LockBit, aber eben auch Black Basta reiht sich in diese Gruppe ein. Hive erlebte kürzlich einen gravierenden Rückschlag, als Ermittler des FBI die Möglichkeiten der Gruppe, ihre Malware für die sogenannte Ransomware-as-a-Service (RaaS)-Branche zu vermarkten, deutlich einschränkten.

Nun gelang es auch, Black Basta auf die Füße zu treten. Den Hauptanteil daran hatten die Experten des Sicherheits-Unternehmens Quadrant Information Security. Diese ertappten die Black Basta-Leute auf frischer Tat, als sie gerade das Netzwerk eines Unternehmens infiltrierten. Dabei werden dann die auffindbaren Daten kopiert und anschließend die Server im Firmennetz verschlüsselt, um Lösegeldzahlungen durchsetzen zu können.

Mehr als nur abschalten

Hier geht es nicht nur darum, dass die Opfer durch die Zahlung an den Entschlüsselungs-Key kommen, denn insbesondere Unternehmen haben oft Backups, mit denen sich das Schlimmste beheben lässt. Die Angreifer erpressen die Firma daher auch mit der Drohung, die internen Daten an die Öffentlichkeit zu geben.

Im jüngsten Fall konnte der Angriff aber nicht nur unterbunden werden, sondern die Sicherheitsforscher drangen auch tief in die Strukturen Black Bastas vor. Das dürfte dazu führen, dass die Gruppe im Grunde nicht mehr auf ihrer lange aufgebauten Basis weiterarbeiten kann. Denn jede neue Aktion, die mit der zuletzt eingesetzten Infrastruktur durchgeführt wird, kann faktisch live beobachtet und im geeigneten Moment gestoppt werden. Das dürfte ähnlich effektiv sein wie eine komplette Übernahme der genutzten Server.

Weiterhin bietet die Angelegenheit der Security-Branche aber auch die Möglichkeit, deutlich detaillierter als bisher in die inneren Strukturen und Arbeitsweisen der Ransomware-Szene einzutauchen. Als Ausgangspunkt können dafür zwei Reports dienen, die von den Quadrant-Mitarbeitern veröffentlicht wurden. Der erste Bericht geht auf die technischen Details der von Black Basta verwendeten Malware und Taktiken ein. Der zweite Bericht konzentriert sich auf die Backend-Server und, wie sie verwaltet werden.


Siehe auch: