avril 29, 2024
La cyber-sécurité

Des liens entre Black Basta Ransomware et FIN7 Hackers ont été trouvés par des chercheurs

Une nouvelle analyse des outils a identifié des liens entre Black Basta Ransomware et le groupe FIN7 (alias Carbanak).

"Ce lien pourrait suggérer soit que Black Basta et FIN7 entretiennent une relation spéciale, soit qu'un ou plusieurs individus appartiennent aux deux groupes", a déclaré la société de cybersécurité SentinelOne dans un article technique partagé avec The Hacker News.

Black Basta, qui a émergé plus tôt cette année, a été attribué à une vague de rançongiciels qui a fait plus de 90 victimes en septembre 2022. Cela suggère que l'adversaire est à la fois bien organisé et bien doté en ressources.

ransoware basta noir
Source des images <a href="/fr/httpswwwitechpostcomarticles11035020220428new/" ransomware gang black basta emerges e28094 here s fighthtm>iTechpost<a>

Un aspect notable qui rend le groupe unique est le fait qu'il n'y a eu aucun signe que ses opérateurs tentent de recruter des affiliés ou de faire la publicité du malware en tant que RaaS sur les forums darknet ou les marchés des logiciels criminels.

Cela a soulevé la possibilité que les développeurs de Black Basta suppriment les affiliés de la chaîne et déploient le ransomware via leur propre ensemble d'outils personnalisés ou travaillent alternativement avec un ensemble proche d'affiliés sans avoir besoin de commercialiser leur warez.

Les chaînes d'attaque impliquant Black Basta sont connues pour tirer parti de QBot (alias Qakbot), qui, à son tour, est livré au moyen d'e-mails de phishing contenant des documents Microsoft Office basés sur des macros, avec de nouvelles infections tirant parti des images ISO et des droppers LNK pour contourner Microsoft. décision de bloquer par défaut les macros dans les fichiers téléchargés sur le Web.

Sont également utilisées à ce stade des portes dérobées telles que SystemBC (alias Coroxy) pour l'exfiltration de données et le téléchargement de modules malveillants supplémentaires, avant de procéder à un mouvement latéral et de prendre des mesures pour nuire aux défenses en désactivant les solutions de sécurité installées.

Cela inclut également un outil d'évasion EDR personnalisé qui a été exclusivement utilisé dans les incidents de Black Basta et est intégré à une porte dérobée appelée BIRDDOG, également appelée SocksBot et qui a été utilisée dans plusieurs attaques précédemment attribuées au groupe FIN7.

Le syndicat de la cybercriminalité FIN7, actif depuis 2012, a fait ses preuves dans le montage de campagnes de logiciels malveillants à grande échelle ciblant les systèmes de points de vente (PoS) destinés aux secteurs de la restauration, des jeux de hasard et de l'hôtellerie pour fraude financière.

"À ce stade, il est probable que FIN7 ou une filiale ait commencé à écrire des outils à partir de zéro afin de dissocier leurs nouvelles opérations des anciennes", ont déclaré les chercheurs Antonio Cocomazzi et Antonio Pirozzi. "Il est probable que le ou les développeurs derrière leurs outils pour nuire aux défenses des victimes soient, ou aient été, un développeur pour FIN7."

Les résultats surviennent des semaines après que l'acteur de Black Basta a été observé en train d'utiliser le cheval de Troie Qakbot pour déployer les frameworks Cobalt Strike et Brute Ratel C4 en tant que charge utile de deuxième étape lors d'attaques récentes.

"L'écosystème des logiciels criminels se développe, change et évolue constamment", ont conclu les chercheurs. "FIN7 (ou Carbanak) est souvent crédité d'innover dans l'espace criminel, portant les attaques contre les banques et les systèmes PoS à de nouveaux sommets au-delà des stratagèmes de leurs pairs."

La divulgation arrive également alors que le Financial Crimes Enforcement Network (FinCEN) des États-Unis a signalé une augmentation des attaques de ransomwares ciblant des entités nationales de 487 en 2020 à 1 489 en 2021, entraînant un coût total de $1,2 milliard, un bond de 188% par rapport à $416 millions le précédent. année.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

fr_BEFrançais de Belgique