Penelitian baru telah menemukan hubungan lebih lanjut antara geng ransomware Basta dan kaktus hitam, dengan anggota kedua kelompok yang menggunakan serangan rekayasa sosial yang sama dan malware proxy backconnect untuk akses pasca eksploitasi ke jaringan perusahaan.
Di bulan Januari Zscaler ditemukan Sampel malware zloader yang berisi apa yang tampaknya menjadi fitur tunneling DNS baru. Lebih jauh Penelitian oleh Walmart menunjukkan bahwa Zloader menjatuhkan malware proxy baru yang disebut BackConnect yang berisi referensi kode untuk malware QBOT (Qakbot).
BackConnect adalah malware yang bertindak sebagai alat proxy untuk akses jarak jauh ke server yang dikompromikan. BackConnect memungkinkan penjahat cyber untuk lalu lintas terowongan, mengaburkan kegiatan mereka, dan meningkatkan serangan dalam lingkungan korban tanpa terdeteksi.
Baik Zloader, QBOT, dan BackConnect semuanya diyakini dikaitkan dengan operasi ransomware Basta Black, dengan anggota yang menggunakan malware untuk melanggar dan menyebar melalui jaringan perusahaan.
Ikatan ini semakin diperkuat oleh yang baru Blackbasta data bocor Itu mengekspos percakapan internal operasi, termasuk yang antara manajer geng ransomware dan seseorang yang diyakini sebagai pengembang QBOT.
Tautannya
Black Basta adalah geng ransomware yang diluncurkan pada bulan April 2022. Diyakini termasuk anggota geng conti ransomware, yang ditutup pada Mei 2022 setelah menderita a Kebocoran data besar -besaran kode sumber dan percakapan internal.
Geng ransomware secara historis bekas qakbot untuk mendapatkan akses awal ke jaringan perusahaan. Namun, setelah a 2023 Operasi Penegakan Hukum Operasi QBOT yang terganggu, operasi Basta Hitam telah mencari malware alternatif untuk melanggar jaringan.
Pivot grup ke backconnect menunjukkan bahwa mereka masih bekerja dengan pengembang yang terhubung ke operasi QBOT.
Di sebuah Laporan baru oleh tren micrO, para peneliti telah menemukan bahwa kelompok ransomware kaktus juga menggunakan backconnect dalam serangan, menunjukkan potensi tumpang tindih pada anggota antara kedua kelompok.
Dalam serangan Basta dan Cactus hitam yang dilihat oleh tren mikro, para aktor ancaman menggunakan serangan rekayasa sosial yang sama dengan membombardir target dengan sejumlah besar email, a taktik yang umumnya dikaitkan dengan basta hitam.
Aktor ancaman kemudian akan menghubungi target melalui tim Microsoft, menyamar sebagai karyawan IT Help Desk, yang pada akhirnya menipu korban agar memberikan akses jarak jauh melalui Windows Quick Assist.
Sementara serangan serangan untuk serangan Basta dan kaktus hitam tidak identik, mereka sangat mirip, dengan tren mikro menemukan aktor ancaman kaktus yang menggunakan server komando dan kontrol yang biasanya dikaitkan dengan Basta hitam.
Sumber: Tren Mikro
Ransomware kaktus muncul pada awal 2023 dan sejak itu menargetkan berbagai organisasi menggunakan taktik yang mirip dengan Black Basta.
BleepingComputer’s pelaporan sebelumnya On Cactus juga menunjukkan tautan antara dua geng ransomware, dengan kaktus menggunakan skrip PowerShell yang disebut TotalExec yang sering terlihat dalam serangan ransomware Basta hitam.
Selain itu, geng ransomware Black Basta mengadopsi rutinitas enkripsi yang awalnya unik untuk serangan ransomware kaktus, semakin memperkuat ikatan antara kedua kelompok.
Penggunaan taktik bersama, backconnect, dan kesamaan operasional lainnya, menimbulkan pertanyaan tentang apakah ransomware kaktus adalah rebrand Black Basta atau hanya tumpang tindih antara anggota.
Namun, BleepingComputer telah mengetahui bahwa Black Basta perlahan -lahan memudar sejak Desember 2024, dengan situs bocor mereka secara offline hingga sebagian besar 2025.
Dipercayai bahwa banyak anggota BASTA hitam sudah mulai pindah ke geng ransomware lainnya, seperti Cactus, dengan kebocoran data baru -baru ini menjadi paku terakhir di peti mati.
