Se han filtrado chats internos del grupo de amenazas Black Basta, lo que arroja luz sobre su situación interna y operaciones. El grupo, una organización de ransomware como servicio (RaaS) en ruso, apareció en abril de 2022 tras el vacío dejado por Conti.
Actividad disminuida
Según la empresa de ciberinteligencia Prodaft, las campañas de Black Basta han disminuido constantemente desde el verano de 2024. Sus últimas operaciones conocidas ocurrieron en diciembre del año anterior.
Filtraciones revelan conflictos internos
El 11 de febrero, un usuario de Telegram llamado «ExploitWhispers» filtró chats de Black Basta en ruso compartidos a través del protocolo Matrix. Los registros, denominados «bestflowers», contienen aproximadamente 196.045 mensajes desde el 18 de septiembre de 2023 hasta el 28 de septiembre de 2024.
El filtrador parece haber sido motivado por la venganza debido a la decisión del grupo de atacar brutalmente la infraestructura bancaria rusa. Un individuo asociado tanto con Black Basta como con Qakbot, que se hace llamar «Cortes», también expresó su descontento con esta acción.
Conflictos internos y liderazgo
El líder del grupo, Oleg Nefedovaka (también conocido como GG, AA, Trump / Tramp), es descrito como alguien que prioriza su propio beneficio financiero sin considerar los intereses del equipo. Algunos miembros se sienten ofendidos con su liderazgo.
«Lapa», uno de los principales administradores del grupo, es descrito como demasiado ocupado, estresado y mal pagado. Ha sido frecuentemente insultado por su jefe. «Trump» (también conocido como «Larva-18») ha causado algunos problemas indefinidos dentro del grupo.
Además, se mencionan conflictos debido a que algunos miembros no han cumplido sus promesas a las víctimas y han aceptado pagos de rescate sin proporcionar descifradores funcionales.
Estrategias de ataque
Según Qualys, Black Basta aprovecha vulnerabilidades conocidas, configuraciones incorrectas y controles de seguridad insuficientes para obtener acceso inicial a las redes de destino. Las discusiones muestran que se explotan rutinariamente configuraciones incorrectas de SMB, servidores RDP expuestos y mecanismos de autenticación débiles.
Se incluye una tabla con los 20 principales CVE que exigen atención inmediata. Estos son los fallos que preocupan a los equipos de ransomware y su organización podría ser la próxima si no se solucionan ayer.
Configuraciones erróneas
La siguiente tabla destaca las principales configuraciones erróneas que explotan de forma rutinaria los operadores del ransomware Black Basta. Debido a que los atacantes escanean activamente su perímetro en busca de estas debilidades, trátelas como problemas que deben solucionarse ahora para estar un paso por delante de las amenazas del ransomware.
Usuarios clave
- GG, AA y Trump son todos alias utilizados por Oleg Nefedov, el jefe del grupo. Impone plazos, exige resultados y ejerce presión sobre los demás.
- Lapa es uno de los administradores clave de Black Basta y está constantemente ocupado con tareas administrativas. Ocupando este puesto de alta confianza, Lapa es frecuentemente insultado por su jefe.
- Cortes está asociado con el grupo Qakbot, que tuvo tratos con estadounidenses el año pasado, lo que probablemente atrajo la atención de los servicios de inteligencia. Cuando Black Basta llevó a cabo estos ataques a los bancos rusos, Cortes se distanció de estas acciones.
- YY también es un administrador principal de Black Basta, aparentemente muy ocupado con tareas de soporte y recibe un buen salario. La detención del líder de Black Basta crea riesgos significativos para los miembros restantes del grupo.
- Trump y Bio trabajaron juntos en Conti, donde las disputas sobre cuestiones de tarifas eran comunes. Bio recibe un salario más alto en su puesto actual.
- usernamegg participa activamente en la organización de ataques, compartiendo credenciales y coordinando acciones.
- usernameyy es mencionado en discusiones sobre infraestructura y servidores.
- usernameugway está relacionado con llamadas de ingeniería social y persistencia en redes comprometidas.
Resumen de filtraciones
VX-Underground revisó las filtraciones de Black Basta. Son muchos mensajes en formato JSON y con algo de jerga rusa que dificulta su traducción precisa.
- Los miembros de Black Basta hablan sobre el grupo de ransomware Lockbit, creyendo que no se puede confiar en él.
- Se encontraron 367 enlaces únicos de Zoom, dominios y direcciones IP utilizados por la pandilla, entre otros detalles (ver IoC).
- En la conversación, se habla del grupo de ransomware Dispossessor. Dispossessor quiere unirse a Black Basta. Uno de los miembros, «Hshsi Jdidi», dice que cree que Dispossessor tiene un «buen currículum», pero piensa que solo quiere trabajar con ellos por su «fama». También expresan su preocupación de que Dispossessor pueda ser un agente de la ley.
- Uno de los afiliados de Black Basta es menor de edad. Tiene 17 años.
- Están extremadamente interesados en los exploits de VPN. Hacen todo lo posible para adquirir, comprar o encontrar personas capaces de distribuir exploits de VPN.
- Black Basta aprovecha credenciales débiles, expone servidores RDP, vulnerabilidades ESXi sin parchear, VPN mal configuradas y realiza ingeniería social (vishing y phishing) para obtener acceso inicial. A menudo rotaban la infraña estructura para evadir la detección y probaban nuevas cargas útiles contra las defensas.
- Alguien quiere concederles acceso (o vendérselo) a su cargador privado por el coste de 84.000 dólares al mes.
- Los operadores suelen dar a las víctimas entre 10 y 12 días para pagar el rescate antes de publicar los datos robados en la dark web.
- Tras el éxito de Scattered Spider, Black Basta ha comenzado a incorporar ingeniería social en sus operaciones. Tienen una persona llamada «Nur» que es responsable de identificar al personal clave en las organizaciones a las que quieren atacar.
- Black Basta mantiene una hoja de cálculo de las víctimas a las que intentan atacar. Se comparte entre los miembros y colaboran en ella. Tiene la persona de interés, si han intentado aplicarle ingeniería social, y notas generales sobre la estrategia.
- El que llama y se comunica con las víctimas tiene la tarea de que el empleado instale herramientas de «Remote Monitoring and Management». Una vez que se instala la aplicación, comienzan a trabajar (eventualmente).
- Los objetivos no se seleccionan al azar. Black Basta tiene un inmenso interés en empresas eléctricas, empresas de la cadena de suministro industrial (acero, madera, reciclaje, suministros generales) y empresas de gestión fiscal o financiera.
- Utilizan tácticas «fascinantes» de ingeniería social:
- Inspirado por el éxito de Scattered Spider, Black Basta utiliza OSINT, ingeniería social y, específicamente, ataques basados en llamadas telefónicas a las