Los investigadores han desarrollado un descifrador que explota una falla en el ransomware Black Basta, permitiendo a las víctimas recuperar sus archivos de forma gratuita.
Operaciones del grupo Black Basta
El grupo de ransomware Black Basta comenzó sus operaciones en la primavera del año 2022. Se caracteriza por realizar el robo de datos antes de cifrar los ficheros, lo que se conoce como doble extorsión.
Black Basta amenaza a las víctimas con la publicación de los datos robados y pide un rescate para el descifrado. La familia de ransomware cuenta con una herramienta para el cifrado de máquinas virtuales en servidores ESXi de VMWare.
Relaciones con otros grupos
En junio de 2022 se empezó a detectar una asociación entre las operaciones de Black Basta y las de Qakbot. Qakbot fue desmantelado por el FBI en agosto de 2023, aunque resurgió a finales de año.
Black Basta usaba la infraestructura de Qakbot tanto para el acceso inicial como para el movimiento lateral en las redes infectadas. Las operaciones de Black Basta también han sido relacionadas con el grupo ruso FIN7 (Carnabak).
Características técnicas del cifrado
La posibilidad de descifrar los archivos depende de su tamaño. Aquellos de menos de 5000 bytes no son recuperables.
Para archivos mayores a 1GB, los primeros 5000 bytes se pierden, pero los restantes sí se pueden descifrar. El ransomware cifra los datos mediante una operación lógica XOR con una clave de 64 bytes usando el algoritmo XChaCha20.
El cifrado de flujo de un grupo de 64 ceros con este algoritmo provoca que se pueda recuperar la clave simétrica utilizada en el bloque. El algoritmo rehusa esta misma clave para todos los bloques.
Herramientas y mitigaciones
Los investigadores de SRLabs han proporcionado una serie de herramientas a través de Github, facilitando la recuperación de datos cifrados por este ransomware o la comprensión del fallo en el algoritmo criptográfico.
El descifrador desarrollado por los investigadores permite la recuperación gratuita de archivos afectados por Black Basta. La disponibilidad de herramientas a través de Github facilita la recuperación de datos cifrados y el análisis del fallo en el algoritmo criptográfico.