Black Basta
Black Basta’s operational methods highlighted their adaptability and willingness to exploit both technical vulnerabilities and human factors to achieve their goals. Understanding these tactics can help organizations bolster their defenses against such sophisticated threats.
L'origine des Black Basta
Black Basta was a financially motivated ransomware group active from early 2022 until January 2025, known for high-impact double extortion operations targeting organizations across North America, Europe, and Asia. The group compromised corporate networks to deploy ransomware payloads, exfiltrated sensitive data, and pressured victims into paying multimillion-dollar ransoms under threat of public leaks.
Black Basta often leveraged:
- Accès initial par le biais d'informations d'identification volées, de malspam ou d'exposition à un bureau à distance
- Cobalt StrikeBrute Ratel, et chargeurs personnalisés pour les mouvements latéraux
- Outils tels que Mimikatz, RClone et PSExec pour l'extraction d'informations d'identification et l'exfiltration de données
- Publication de données exfiltrées sur leur site de fuite à des fins d'extorsion
The group has exhibited ties to advanced infrastructure management, including SOCKS proxy layers, phishing infrastructure, and modular tooling. It maintained Russian-language internal communications and coordinates through Matrix channels, often collaborating with affiliates or brokers.
Black Basta a été associé à des attaques contre des infrastructures critiques et des secteurs de la santé, de la justice et de l'industrie. Il est considéré comme l'une des opérations de ransomware les plus actives et les plus structurées de 2024.
Pays ciblés par Blackbasta
Black Basta's operations spun multiple regions, with significant incidents reported in the United States, Germany, the United Kingdom, Canada, and Australia. These regions are often targeted due to their high-value industries and critical infrastructure.
Industries ciblées par Blackbasta
Black Basta a ciblé un large éventail d'industries, notamment le secteur des soins de santé et de la santé publique (HPH) en raison de sa nature critique et de sa dépendance à l'égard de la technologie. Les autres secteurs touchés sont la finance, l'industrie manufacturière et les technologies de l'information.
Les victimes de Blackbasta
More than 521 victims were targeted by Black Basta between April 2022 and January 2025.
Méthode d'attaque de Blackbasta
Black Basta affiliates typically used spearphishing emails and exploit known vulnerabilities such as CVE-2024-1709. They have also been known to abuse valid credentials to gain initial access.
Tools like Mimikatz were used for credential scraping, while vulnerabilities such as ZeroLogon (CVE-2020-1472), NoPac (CVE-2021-42278, CVE-2021-42287), and PrintNightmare (CVE-2021-34527) were exploited to escalate privileges.
The group employed masquerading tactics by using innocuous file names, such as Intel or Dell. They also deployed tools like Backstab to disable endpoint detection and response (EDR) systems, and use PowerShell to disable antivirus products.
Black Basta affiliates used credential scraping tools like Mimikatz and exploited known vulnerabilities to gain administrative access and escalate privileges within the network.
Network scanning tools such as SoftPerfect Network Scanner were used to map out the network and identify key systems and data stores.
The group used tools like BITSAdmin, PsExec, Remote Desktop Protocol (RDP), Splashtop, ScreenConnect, and Cobalt Strike to move laterally across networks.
Before encryption, data was collected and prepared for exfiltration. This involved compressing files or staging data in preparation for transfer.
Tools such as RClone were used to exfiltrate data to actor-controlled servers.
The ransomware encrypted files using a ChaCha20 algorithm with an RSA-4096 public key, adding a .basta or random extension to file names. Ransom notes left on compromised systems instructed victims to contact the group via a Tor site.
Black Basta affiliates typically used spearphishing emails and exploit known vulnerabilities such as CVE-2024-1709. They have also been known to abuse valid credentials to gain initial access.
Tools like Mimikatz were used for credential scraping, while vulnerabilities such as ZeroLogon (CVE-2020-1472), NoPac (CVE-2021-42278, CVE-2021-42287), and PrintNightmare (CVE-2021-34527) were exploited to escalate privileges.
The group employed masquerading tactics by using innocuous file names, such as Intel or Dell. They also deployed tools like Backstab to disable endpoint detection and response (EDR) systems, and use PowerShell to disable antivirus products.
Black Basta affiliates used credential scraping tools like Mimikatz and exploited known vulnerabilities to gain administrative access and escalate privileges within the network.
Network scanning tools such as SoftPerfect Network Scanner were used to map out the network and identify key systems and data stores.
The group used tools like BITSAdmin, PsExec, Remote Desktop Protocol (RDP), Splashtop, ScreenConnect, and Cobalt Strike to move laterally across networks.
Before encryption, data was collected and prepared for exfiltration. This involved compressing files or staging data in preparation for transfer.
Tools such as RClone were used to exfiltrate data to actor-controlled servers.
The ransomware encrypted files using a ChaCha20 algorithm with an RSA-4096 public key, adding a .basta or random extension to file names. Ransom notes left on compromised systems instructed victims to contact the group via a Tor site.
Les TTP utilisées par les Black Basta
How to Detect Threat Actors with Vectra AI
Liste des détections disponibles dans la plate-forme Vectra AI qui indiquent une attaque par ransomware.
Foire aux questions
Qu'est-ce que le ransomware Blackbasta ?
Blackbasta est un groupe de ransomware sophistiqué apparu en avril 2022. Il utilise une double tactique d'extorsion, en chiffrant les données des victimes et en menaçant de divulguer des informations sensibles si la rançon n'est pas payée.
Comment Blackbasta obtient-il généralement l'accès initial à un réseau ?
Blackbasta obtient souvent un accès initial en envoyant des courriels à l'adresse phishing contenant des pièces jointes ou des liens malveillants, en exploitant les vulnérabilités des applications publiques et en utilisant des publicités malveillantes ou des téléchargements de type "drive-by".
Quelles sont les industries les plus fréquemment ciblées par Blackbasta ?
Blackbasta s'adresse à un large éventail de secteurs, notamment les soins de santé, l'industrie manufacturière, la finance, le droit, l'éducation, le gouvernement et les technologies de l'information.
Quels sont les pays les plus touchés par les attaques de Blackbasta ?
Blackbasta cible principalement les organisations des États-Unis, du Canada, du Royaume-Uni, de l'Allemagne, de la France et de l'Australie, bien qu'elle ait une portée mondiale.
Quelles sont les tactiques, techniques et procédures (TTP) connues utilisées par Blackbasta ?
Blackbasta utilise diverses techniques de transfert de technologie telles que phishing (T1566), un interpréteur de commandes et de scripts (T1059), l'extraction d'informations d'identification (T1003), la désactivation d'outils de sécurité (T1562) et le chiffrement des données pour en faciliter l'accès (T1486).
Comment Blackbasta escalade-t-il les privilèges au sein d'un réseau compromis ?
Blackbasta escalade les privilèges en exploitant des vulnérabilités logicielles non corrigées et en utilisant des outils tels que Mimikatz pour extraire des informations d'identification de la mémoire.
Quelles sont les méthodes utilisées par Blackbasta pour échapper à la détection ?
Blackbasta utilise des techniques d'obscurcissement, désactive les outils de sécurité, emploie des tactiques de survie sur le terrain (LotL) et utilise des logiciels et des outils légitimes pour échapper à la détection.
Comment Blackbasta se déplace-t-il latéralement au sein d'un réseau ?
Blackbasta utilise le protocole de bureau à distance (RDP), l'instrumentation de gestion Windows (WMI) et les services à distance pour se déplacer latéralement au sein d'un réseau.
Quelles sont les étapes typiques d'une attaque par ransomware Blackbasta ?
Les étapes comprennent l'accès initial, l'escalade des privilèges, l'évasion des défenses, l'accès aux informations d'identification, la découverte, le mouvement latéral, la collecte, l'exécution, l'exfiltration et l'impact.
Quelles mesures préventives les organisations peuvent-elles prendre pour se protéger contre le ransomware Blackbasta ?
Les entreprises peuvent se protéger contre Blackbasta en mettant en place un filtrage efficace des courriels, en corrigeant rapidement les vulnérabilités, en utilisant l'authentification à plusieurs facteurs, en organisant régulièrement des formations à la sécurité pour les employés, en surveillant les activités inhabituelles, en conservant des sauvegardes à jour et en déployant des systèmes de détection et de réponse étendues (XDR) pour identifier les menaces et y répondre rapidement.