網(wǎng)絡(luò)安全專家警告“Black Basta”勒索軟件的新威脅

作者：何威風(fēng) 2022-06-28 05:35:46

Black Basta 勒索軟件是攻擊的最終有效載荷。與大多數(shù)勒索軟件一樣，它的設(shè)計(jì)目的是加密機(jī)器上的文件，并向用戶留下勒索字條。

BLACK BASTA 勒索軟件攻擊分析

6 月初，據(jù)報(bào)道Black Basta 勒索軟件團(tuán)伙與QBot 惡意軟件行動(dòng)合作傳播他們的勒索軟件。當(dāng)然，這并不是勒索軟件團(tuán)伙第一次與 QBot 合作，將其用作主要分銷商。

勒索軟件領(lǐng)域的許多“大玩家”之前都做過，包括MegaCortex、ProLock、DoppelPaymer、Conti和Egregor。這些合作伙伴關(guān)系在過去已經(jīng)證明了自己，而 Black Basta 很可能是為了追隨大玩家的領(lǐng)先一步，也決定這樣做。

QBot 的使用為勒索軟件運(yùn)營(yíng)商節(jié)省了時(shí)間。QBot 具有許多對(duì)攻擊者非常有用的內(nèi)置功能。其中一些用于執(zhí)行偵察、收集數(shù)據(jù)和憑據(jù)、橫向移動(dòng)以及下載和執(zhí)行有效載荷。

在獲取憑據(jù)并了解網(wǎng)絡(luò)架構(gòu)后，攻擊者以域控制器為目標(biāo)，并使用 PsExec 橫向移動(dòng)。一旦成功入侵，攻擊者就會(huì)“做好準(zhǔn)備”并執(zhí)行旨在避免檢測(cè)和預(yù)防的最終程序。

攻擊者在受感染的 DC 上創(chuàng)建組策略對(duì)象 (GPO) 以禁用 Windows Defender 并嘗試關(guān)閉任何防病毒產(chǎn)品。有趣的是，過去在QBot-Egregor 攻擊中也觀察到了這種技術(shù)。

攻擊的最后階段是將勒索軟件部署到目標(biāo)端點(diǎn)。為此，攻擊者使用編碼的 PowerShell 命令，該命令利用 WMI 將勒索軟件二進(jìn)制文件推送到攻擊早期創(chuàng)建的文件C:\Windows\pc_list.txt中包含的 IP 地址。

BLACK BASTA 勒索軟件

Black Basta 勒索軟件是攻擊的最終有效載荷。與大多數(shù)勒索軟件一樣，它的設(shè)計(jì)目的是加密機(jī)器上的文件，并向用戶留下勒索字條。

執(zhí)行后，勒索軟件會(huì)使用vssadmin.exe刪除系統(tǒng)的虛擬卷影副本， vssadmin.exe是一種管理卷影復(fù)制服務(wù) (VSS) 的命令行工具，它捕獲并復(fù)制穩(wěn)定的映像以在運(yùn)行的系統(tǒng)上進(jìn)行備份。

勒索軟件通常使用vssadmin.exe在加密文件之前刪除文件的卷影副本和其他備份。這是另一種確保受害者在無法從 VSS 解密或檢索到有價(jià)值的文件時(shí)被迫付費(fèi)解密的方法：

Cybereason 防御平臺(tái)中顯示的 Black Basta 執(zhí)行

勒索軟件將兩個(gè)文件放入 %TEMP%：一個(gè)是加密文件的圖標(biāo)（名為“fkdjsadasd.ico”），另一個(gè)是用作背景圖像的 .jpg 文件（名為“dlaksjdoiwq.jpg”）：

當(dāng)勒索軟件啟動(dòng)其加密程序時(shí)，它首先會(huì)更改桌面的背景圖像，同時(shí)遍歷文件并對(duì)其進(jìn)行加密。

擴(kuò)展名“.basta”被添加到加密文件中，惡意軟件會(huì)在每個(gè)文件夾中刪除名為“readme.txt”的贖金記錄。贖金記錄是為受害者定制的，并包含一個(gè)唯一的 ID，供受害者在談判聊天中使用：

黑色巴斯塔壁紙

加密文件和贖金記錄

LINUX 版本

6 月初，Black Basta增加了對(duì)在企業(yè) Linux 服務(wù)器上運(yùn)行的VMware ESXi 虛擬機(jī) (VM) 的加密支持。這種策略在不同的勒索軟件團(tuán)伙中廣受歡迎，因?yàn)樗纤麄兊钠髽I(yè)目標(biāo)，并且還可以利用單個(gè)命令對(duì)多個(gè)服務(wù)器進(jìn)行更快的加密。這些幫派包括：LockBit、Hive和Cheerscrypt。

執(zhí)行后，Black Basta 會(huì)查找 /vmfs/volumes，如果路徑不存在，勒索軟件將拋出“錯(cuò)誤”-“此系統(tǒng)中不存在路徑”并退出：