BlackCat-Ransomware zielt auf US-amerikanische und europäische Einzelhandels-, Bau- sowie Transportunternehmen ab
Palo Alto gab an, dass BlackCat im Dezember 2021 hinsichtlich der Anzahl der Opfer, die auf deren Leak-Website aufgeführt sind, die siebtgrößte Ransomware-Gruppe unter den von Unit 42 überwachten Gruppen war.
Die Abteilung Unit 42 von Palo Alto Networks veröffentlichte eine detaillierte Analyse des BlackCat-Ransomware-Programms. Dieses tauchte Mitte November 2021 als innovative Ransomware-as-a-Service-Gruppe (RaaS) auf; sie nutzt die Programmiersprache Rust und gewährt ihren Partnern 80-90 Prozent der Lösegeldeinnahmen.
Im Dezember machte die Ransomware-Familie, auch bekannt als ALPHV, mindestens 10 Opfer. Damit erreichte sie bei den von Unit 42 überwachten Ransomware-Gruppen die siebtgrößte Anzahl an Opfern, die auf deren Leak-Webseite aufgeführt sind.
Doel Santos, Bedrohungsanalytiker bei Unit 42, sagte gegenüber ZDNet, dass die Gruppe bereits eine Vielzahl von Branchen angegriffen habe - darunter Bauwesen und Ingenieurwesen, Einzelhandel, Transportwesen, kommerzielle Dienstleistungen, Versicherungen, Maschinenbau, professionelle Dienstleistungen, Telekommunikation, Autozulieferer sowie Pharmaindustrie.
Letzte Woche wurde bekannt, dass die italienische Modemarke Moncler im Dezember Opfer von BlackCat wurde.
Abgesehen davon, dass das Malware in Russisch geschrieben und in der Programmiersprache Rust codiert wurde, fiel es Santos aus mehreren anderen Gründen auf.
„Was Blackcat besonders hervorhebt, ist die Verwendung ihres privaten Zugangsschlüssel-Tokens. Die meisten Gruppen, die wir in der Vergangenheit untersucht haben, enthalten einen direkten Link sowie die Schlüssel in den Samples - was es einfach macht, die Opfer des Ransomwares zu identifizieren und zu bestätigen“, sagte Santos.
„Die BlackCat-Ransomware-Beispiele enthalten keine Schlüssel. Stattdessen müssen diese vom Betreiber eingereicht werden. Ohne diese Schlüssel hat eine externe Partei keine Möglichkeit, auf die Verhandlungsseite Zugriff zu erhalten oder das Opfer zu identifizieren - es sei denn, sie verfügt über eine exakte Kopie der Lösegeldanweisung samt dem genauen Schlüssel, der zur Ausführung der Ransomware verwendet wird.“
Unit 42 stellte fest, dass die Partnerorganisationen der Gruppe „einen aggressiven Ansatz verfolgen, indem sie Opfer namentlich nennen und bloßstellen; in etwas mehr als einem Monat haben sie mehr als ein Dutzend Opfer auf ihrer Leak-Webseite aufgelistet.“
„Bisher waren US-amerikanische Organisationen die meisten Opfer der Gruppe; doch BlackCat und ihre Verbündeten haben auch Organisationen in Europa, den Philippinen und anderen Orten angegriffen“, heißt es im Bericht.
„Die Nutzung des BlackCat-Ransomware-Programms ist aus verschiedenen Gründen schnell angestiegen (zum Vergleich: AvosLocker hatte innerhalb von zwei Monaten nach seinem Bekanntwerden nur eine Handvoll Opfer öffentlich aufgelistet). Effektives Marketing gegenüber Affiliaten ist vermutlich ein entscheidender Faktor. Neben dem Angebot eines attraktiven Anteils an den Lösegeldern wirbt die Gruppe auch durch das Schalten von Werbeanzeigen in Foren wie dem Ransomware Anonymous Market Place (RAMP) um Affiliierte“, heißt es in dem Bericht.
„Obwohl dies nicht das erste Mal ist, dass Malware Rust verwendet, handelt es sich dabei um eines der ersten - wenn nicht sogar das erste - Ransomware-Programme, das diese Programmiersprache nutzt. Indem sie Rust einsetzen, können die Malware-Ersteller das Programm problemlos für verschiedene Betriebssystem-Architekturen kompilieren. Dank der zahlreichen nativen Funktionen ist Rust äußerst anpassbar, was es ermöglicht, Angriffe individuell zu gestalten.“
Die Gruppe erpresst ihre Opfer außerdem, indem sie vor der Einschleusung des Ransomware-Programms deren Daten stehlen und damit drohen, diese Daten öffentlich zu machen sowie Distributed-Denial-of-Service-(DDoS)-Angriffe zu starten.
Laut Unit 42 hat BlackCat sowohl Windows- als auch Linux-Systeme ins Visier genommen. Zudem berichtete Unit 42, dass es beobachtet habe, wie Mitglieder des Netzwerks Lösegeldbeträge in Höhe von bis zu 14 Millionen Dollar verlangten. In einigen Fällen boten diese Mitglieder einen Rabatt von 9 Millionen Dollar an, falls das Lösegeld vor Ablauf der Frist gezahlt würde. Die Zahlung des Lösegelds ist in Bitcoin und Monero möglich.
„In einigen Fällen nutzen die BlackCat-Operateure den Chat, um das Opfer zu bedrohen, indem sie androhen, einen DDoS-Angriff auf die Infrastruktur des Opfers zu starten, falls das Lösegeld nicht gezahlt wird. Wenn diese Vorgehensweise zusätzlich zur Nutzung einer Leak-Website angewandt wird, spricht man von „dreifacher Erpressung“ - einer Taktik, die in der Vergangenheit bereits von Gruppen wie Avaddon und Suncrypt eingesetzt wurde“, erklärte Unit 42.
„Eine besondere Eigenschaft des BlackCat-Ransomware ist, dass auf die Verhandlungschats nur Zugriff haben, wer einen Zugangstoken-Schlüssel bzw. die Lösegeldnachricht besitzt - die Gruppe hat sich bemüht, das Mitlesen durch Dritte zu verhindern.“
Allan Liska, Experte für Ransomware bei Recorded Future, sagte, dass Black Cat/ALPHV laut mehreren Indizien - darunter die Verwendung der Programmiersprache Rust - offenbar eine gut vernetzte Gruppe sei.
Liska sagte, dass die Tatsache, dass die Gruppe mit Ransomware-Varianten begann, die Windows-, Linux- und ESXi-Systeme ins Visier nehmen, „ein hohes Maß an Raffinesse zeigt“.
„Sie haben sich schnell zu einer der führenden Ransomware-Gruppen entwickelt. Dies ist zum Teil darauf zurückzuführen, dass ihr RaaS-Angebot sehr aggressiv ist - es ermöglicht den Partnern, 80 bis 90 Prozent des gezahlten Lösegelds zu behalten, ein außergewöhnlich hoher Prozentsatz. Trotz einiger anfänglicher Erfolge waren nicht alle Partner davon begeistert - wie diese äußerst negative Bewertung zeigt“, sagte Liska und teilte dabei einen Screenshot eines Partners, der darüber klagte, von BlackCat wegen der Angriffe auf eine Organisation in Turkmenistan gesperrt worden zu sein.
Obwohl Turkmenistan nicht zur GUS gehört, unterhält es enge Beziehungen zu Russland.
Der äußerst aktive #Ransomware-Betreiber, bekannt als FishEye bzw. Bassterlord, ist nach einem Monat Abwesenheit wieder aus dem „Versteck“ hervorgetreten und hat eine sehr negative Bewertung des #ALPHA-#Ransomware-Programms (#BlackCat) abgegeben. 1/5 pic.twitter.com/k1Wl1liljO
„Ihre öffentlichen Zielgruppen waren größere Organisationen, und sie scheinen sehr aggressiv zu sein, wenn es um Verhandlungen mit Vertragspartnern und deren Tochterunternehmen geht (z. B. ein Ausschluss aus dem Affiliate-Programm nach zwei Wochen Inaktivität). Wir werden sehen, ob ihre Neigung zur Übergriffigkeit die attraktiven Prozentsätze, die sie anbieten, überwiegt“, fügte Liska hinzu.