Bashe
Bashe, un groupe de ransomware anciennement connu sous le nom d'APT73 ou d'Eraleig, est apparu en 2024 avec des tactiques semblables à celles de LockBit, ciblant des industries critiques dans les pays développés et recourant à l'extorsion de données par l'intermédiaire d'un site de fuite de données (DLS) basé sur Tor.
L'origine de Bashe
Bashe, précédemment connu sous le nom d'APT73 et d'Eraleig Ransomware, est apparu à la mi-avril 2024, s'identifiant initialement comme une "menace persistante avancée" (APT). Cette auto-désignation, généralement réservée à des cyberacteurs très sophistiqués et disposant de ressources importantes, semble faire partie de la stratégie de Bashe pour se présenter comme une menace crédible. On pense que Bashe est issu du groupe de ransomware LockBit, en raison des similitudes entre leurs sites de fuite de données (DLS). La structure du DLS de Bashe comprend des sections "Contact Us", "How to Buy Bitcoin", "Web Security Bug Bounty" et "Mirrors", identiques à celles que l'on trouve dans la configuration de LockBit.
Bashe opère via le réseau Tor avec une infrastructure hébergée en République tchèque. Il s'appuie sur AS9009 ASN pour l'hébergement, un réseau précédemment utilisé par plusieurs groupes malveillants et malware, dont DarkAngels, Vice Society, TrickBot, Meduza Stealer et Rimasuta. Ce choix d'infrastructure suggère que Bashe pourrait tirer parti de systèmes familiers pour échapper à la détection.
Cibles
Les objectifs de Bashe
Pays ciblés par Bashe
Les activités du groupe auraient touché des organisations en Amérique du Nord, au Royaume-Uni, en France, en Allemagne, en Inde et en Australie. Le fait que Bashe se concentre sur les pays développés disposant de données précieuses met en évidence son approche globale visant à maximiser le potentiel de victimisation.
Source de l'image : ransomware.live
Industries ciblées par Bashe
M. Bashe semble privilégier les secteurs à forte valeur ajoutée, notamment les technologies, les services aux entreprises, l'industrie manufacturière, les services aux consommateurs et les services financiers. Le groupe cible également les transports, la logistique, les soins de santé et la construction. Le fait de se concentrer sur ces secteurs permet à Bashe de maximiser son influence sur les demandes de rançon en ciblant les secteurs qui traitent des données sensibles ou essentielles.
Industries ciblées par Bashe
M. Bashe semble privilégier les secteurs à forte valeur ajoutée, notamment les technologies, les services aux entreprises, l'industrie manufacturière, les services aux consommateurs et les services financiers. Le groupe cible également les transports, la logistique, les soins de santé et la construction. Le fait de se concentrer sur ces secteurs permet à Bashe de maximiser son influence sur les demandes de rançon en ciblant les secteurs qui traitent des données sensibles ou essentielles.
Les victimes de Bashe
Jusqu'à présent, Bashe a touché environ 35 victimes.
Méthode d'attaque
Accès Initial
Élévation de privilèges
Défense Evasion
Accès aux identifiants
Découverte
Mouvement latéral
Collection
Exécution
Exfiltration
Impact
MITRE ATT&CK Mapping
TA0001: Initial Access
No items found.
TA0002: Execution
No items found.
TA0003: Persistence
No items found.
TA0004: Privilege Escalation
No items found.
TA0005: Defense Evasion
No items found.
TA0006: Credential Access
No items found.
TA0007: Discovery
No items found.
TA0008: Lateral Movement
No items found.
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
No items found.
TA0040: Impact
No items found.
Détections de la plate-forme
Comment détecter les attaques de ransomware avec Vectra AI
Bien que les tactiques, techniques et procédures (TTP) de Bashe fassent encore l'objet de recherches, nous pouvons évaluer les activités probables sur la base de ses similitudes avec LockBit. Voici un aperçu des détections Vectra AI qui seront déclenchées dans le cas d'une attaque typique de ransomware :