Een nieuwe hackersgroep genaamd 'Black Basta' timmert hard aan de weg. In de tweede week van april maakte de groep zijn eerste slachtoffer. In de daarop volgende week vielen meerdere bedrijven ten prooi aan de ransomware-aanvallen van Black Basta.
Slachtoffer | Cybercriminelen | Website | Land |
---|---|---|---|
TÜV NORD GROUP | Black Basta | www.tuev-nord.de | Germany |
Plauen Stahl Technologie GmbH | Black Basta | www.plauen-stahl.de | Germany |
Oralia | Black Basta | oralia.fr | France |
Boswell Engineering | Black Basta | www.boswellengineering.com | USA |
LECHLER S.p.A. | Black Basta | www.lechler.eu | Italy |
Laiteries Reunies Societe cooperative | Black Basta | lrgg.ch | Switzerland |
IMA Schelling Group | Black Basta | www.imaschelling.com | Germany |
LACKS | Black Basta | www.lacks.com | USA |
Basler Versicherungen | Black Basta | www.basler.de | Germany |
Deutsche Windtechnik | Black Basta | www.deutsche-windtechnik.de | Germany |
Volgens de techsite Bleepingcomputer is er vrij weinig bekend over Black Basta. Ze maken bijvoorbeeld geen reclame voor hun aanvallen en rekruteren ook geen hackers of andere medewerkers via populaire hacking fora. Het gebrek aan publiciteit betekent echter niet dat de hackersgroep niet of minder actief is dan andere groeperingen.
Werkwijze Black Basta
De werkwijze van Black Basta is vergelijkbaar met die van andere hackerscollectieven. De groep gebruikt gijzelsoftware om de computersystemen van hun slachtoffers binnen te dringen. Eenmaal binnen stelen ze bedrijfsgevoelige en vertrouwelijke informatie en documenten. Vervolgens plaatsen ze alle bestanden achter slot en grendel met ransomware.
Om hun losgeld zo snel mogelijk op te strijken, voert Black Basta de druk op bij slachtoffers. De groep dreigt alle buitgemaakte gegevens openbaar te maken, tenzij de gedupeerde losgeld betaalt om publicatie te voorkomen. Om hun woorden kracht bij te zetten, publiceert de hackersgroep steeds meer gestolen data. Dit doen de hackers net zolang totdat het slachtoffer betaalt. Dit noemen we ook wel double extortion.
Leak sites Darkweb
Black Basta heeft verschillende webpagina’s op het darkweb, zoals de Black Basta Blog en Basta News. Deze sites zijn alleen via de webbrowser Tor toegankelijk. Daar vindt je niet alleen een lijst met slachtoffers, maar vaak ook een sample van de gegevens die de hackersgroep gestolen heeft.
Als de gijzelsoftware van Black Basta eenmaal een systeem heeft geïnfecteerd, worden alle bestanden afgeschermd. Deze bestanden zijn te herkennen aan een icoontje met de extensie .basta. In een tekstbestand staat een URL en login ID die naar een helpdesk leidt. Via deze Chat Black Baste kunnen slachtoffers onderhandelen over de hoogte van het losgeld. De hackers beloven een beveiligingsrapport op te stellen nadat het losgeld is betaald.
Rebranding Conti
BleepingComputer denkt dat Black Basta een rebranding is van een ervaren hackersgroep. MalwareHunterTeam wijst via Twitter op de overeenkomsten met Conti. Zo hebben de websites van de groep de look and feel van Conti en is de manier waarop de helpdesk communiceert met slachtoffers nagenoeg hetzelfde. Door onder een andere naam te opereren, hopen de hackers de opsporingsinstanties op een dwaalspoor te zetten.
So this Black Basta ransomware gang must have something to do with Conti:
— MalwareHunterTeam (@malwrhunterteam) April 27, 2022
- The leak site feels to much similar to Conti's.
- The payment site is some too.
- How their support people talking is also basically same.
- How they/their support people behaves also reminds me of Conti.
Conti was volgens beveiligingsonderzoekers vorig jaar verantwoordelijk voor 13 procent van alle wereldwijde ransomware-aanvallen. Ook hier in Nederland zijn er recentelijk slachtoffers gevallen. De groep zit naar verluidt achter de cyberaanval op meerdere woningcorporaties. De hackersgroep eist 15 miljoen euro aan losgeld.
De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: malwrhunterteam, bleepingcomputer.com, vpngids.nl
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer ransomware nieuws
Logistiek bedrijf in Brabant betaalt losgeld na infectie door ransomware
De Brabantse logistiek dienstverlener 'Van der Helm Logistics' heeft cybercriminelen losgeld betaald nadat bestanden door de Lockbit-ransomware waren versleuteld. De realtimeback-ups waren ook door de ransomware versleuteld en de tapestreamer voor de tapeback-ups was kapot gegaan. Dat laat het bedrijf tegenover De Volkskrant weten.
Minister: "Door losgeld te betalen worden criminele activiteiten beloond en gestimuleerd"
Minister van Justitie en Veiligheid Ferd Grapperhaus vraagt verzekeraars om het losgeld dat cybercriminelen eisen bij ransomware niet langer te vergoeden. De minister is van mening dat de geleden schade als gevolg van het niet-betalen van het losgeld het uitgangspunt moet zijn van verzekeraars. Door het gevraagde losgeld te vergoeden, werken ze cybercriminaliteit in de hand.
2,3 miljoen dollar aan cybercriminelen betaald
Wisselkantoor Travelex betaalde 2,3 miljoen dollar aan cybercriminelen na een ransomware-aanval. De systemen van Travelex werden begin januari versleuteld door ransomware. Travelex heeft cyberecriminelen betaald om verloren data terug te krijgen blijkt uit bronnen van The Wall Street Journal.
Organisaties lopen flink risico om geraakt te worden door ransomware
Organisaties lopen flink risico om geraakt te worden door ransomware én de impact kan dan groot zijn. Dit geven IT’ers aan in het 2020-securityonderzoek van AG Connect ‘Reageren op ransomware’, wat is uitgevoerd vlak voordat de coronacrisis uitbrak in Nederland.
Grootste energiebedrijf van Portugal getroffen door ransomware
'Energias de Portugal (EDP)', het grootste energiebedrijf van Portugal, is op tweede paasdag getroffen door ransomware. De aanvallers claimen dat ze tien terabyte aan data van de servers van EDP hebben gestolen en dreigen die openbaar te maken tenzij het bedrijf 10 miljoen euro losgeld betaalt, zo melden beveiligingsonderzoekers Vitali Kremez en 'MalwareHunterTeam' op Twitter.
"Sterke toename van het aantal aanvallen met ransomware op ziekenhuizen" zegt Interpol
Er is een sterke toename van het aantal aanvallen met ransomware op ziekenhuizen en medische instellingen, zo stelt Interpol, dat zowel ziekenhuizen als politiediensten in 194 landen voor de verhoogde dreiging heeft gewaarschuwd.
De Ryuk-ransomware is afgelopen maand gebruikt voor aanvallen op 10 gezondheidsorganisaties
De Ryuk-ransomware blijft zich richten op ziekenhuizen tijdens de coronacrisis.
Begeleidingscentrum Open Thuis in Hasselt (B) slachtoffer van ransomware-aanval
Open Thuis vzw in Hasselt, een begeleidingscentrum voor volwassenen met een beperking, is het voorbije weekend het slachtoffer geworden van een aanval met gijzelsoftware.
Ransomware criminelen zetten toch data van medische instelling online na aanval
De criminelen achter de 'Maze-ransomware' hebben data online gezet van een Brits onderzoeksbedrijf dat medicijnen en vaccins voor ziektes maakt. De groep beloofde eerder dat juist niet te doen.
Laat je niet gijzelen door ransomware
Ransomware kosten escaleren, met wereldwijde schade voorspeld tot $ 20 miljard tegen 2021, volgens 'Northport-gebaseerde Cybersecurity Ventures'.
Scholen kwetsbaar voor ransomware tijdens vakanties
De Stichting Limburgs Voortgezet Onderwijs (LVO), met 23 scholen verspreid over 31 locaties, is 19 februari getroffen door een nieuw soort ransomware dat nog niet door virusscanners werd herkend.
Politie: pas op voor nieuwe ransomware technieken
Tegenwoordig worden bij ransomware-aanvallen niet alleen bestanden versleuteld, maar ook data gestolen. Wanneer er niet aan de betaling wordt voldaan, dreigen ransomware-criminelen nu met het online verspreiden van de gestolen bedrijfsdata. De politie waarschuwt afgelopen zondag in 'Reporter Radio' voor deze ontwikkeling.