0 
0 O grupo de ransomware BlackByte, que tem conexões com a Conti, ressurgiu após um hiato com uma nova presença de mídia social no Twitter e novos métodos de extorsão emprestados da gangue LockBit 3.0 mais conhecida.
Segundo relatos, o grupo de ransomware está usando vários identificadores do Twitter para promover a estratégia de extorsão atualizada, site de vazamento e leilões de dados. O novo esquema permite que as vítimas paguem para estender a publicação de seus dados roubados em 24 horas (US$ 5.000), baixar os dados (US$ 200.000) ou destruir todos os dados (US$ 300.000). É uma estratégia que o grupo LockBit 3.0 já foi pioneiro.
“Não é surpreendente que a BlackByte esteja tirando uma página do livro da LockBit, não apenas anunciando uma versão 2 de sua operação de ransomware, mas também adotando o modelo de pagamento para atrasar, baixar ou destruir”, diz Nicole Hoffman, inteligência sênior de ameaças cibernéticas. analista da Digital Shadows, que chama o mercado de grupos de ransomware de “competitivo” e explica que o LockBit é um dos grupos de ransomware mais prolíficos e ativos do mundo.
Hoffman acrescenta que é possível que a BlackByte esteja tentando obter uma vantagem competitiva ou tentando atrair a atenção da mídia para recrutar e expandir suas operações.
“Embora o modelo de dupla extorsão não seja quebrado de forma alguma, esse novo modelo pode ser uma maneira de os grupos introduzirem vários fluxos de receita”, diz ela. “Será interessante ver se este novo modelo se torna uma tendência entre outros grupos de ransomware ou apenas uma moda que não é amplamente adotada”.
Oliver Tavakoli, CTO da Vectra, chama essa abordagem de “inovação comercial interessante”.
“Ele permite que pagamentos menores sejam coletados de vítimas que têm quase certeza de que não pagarão o resgate, mas querem se proteger por um ou dois dias enquanto investigam a extensão da violação”, diz ele.
John Bambenek, principal caçador de ameaças da Netenrich, aponta que os agentes de ransomware brincaram com uma variedade de modelos para maximizar sua receita.
“Isso quase parece um experimento sobre se eles podem obter níveis mais baixos de dinheiro”, diz ele. “Só não sei por que alguém lhes pagaria qualquer coisa, exceto por destruir todos os dados. Dito isso, os invasores, como qualquer indústria, estão experimentando modelos de negócios o tempo todo.”
Causando interrupções com táticas comuns
O BlackByte permaneceu uma das variantes de ransomware mais comuns, infectando organizações em todo o mundo e empregando anteriormente um recurso de worm semelhante ao Ryuk, precursor de Conti. Mas Harrison Van Riper, analista sênior de inteligência da Red Canary, observa que o BlackByte é apenas uma das várias operações de ransomware como serviço (RaaS) que têm o potencial de causar muita interrupção com táticas e técnicas relativamente comuns.
“Como a maioria dos operadores de ransomware, as técnicas usadas pela BlackByte não são particularmente sofisticadas, mas isso não significa que não sejam impactantes”, diz ele. “A opção de estender o prazo da vítima é provavelmente um esforço para obter pelo menos algum tipo de pagamento das vítimas que podem querer tempo extra por vários motivos: para determinar a legitimidade e o escopo do roubo de dados ou continuar a discussão interna sobre como responder, para citar algumas razões.”
Tavakoli diz que os profissionais de segurança cibernética devem ver a BlackByte menos como um ator estático individual e mais como uma marca que pode ter uma nova campanha de marketing vinculada a ela a qualquer momento; ele observa que o conjunto de técnicas subjacentes para realizar os ataques raramente muda.
“O malware preciso ou vetor de entrada utilizado por uma determinada marca de ransomware pode mudar com o tempo, mas a soma das técnicas usadas em todos eles é bastante constante”, diz ele. “Coloque seus controles no lugar, garanta que você tenha recursos de detecção para ataques que visam seus dados valiosos e execute ataques simulados para testar seu pessoal, processos e procedimentos.”
BlackByte visa infraestrutura crítica
Bambenek diz que, como a BlackByte cometeu alguns erros (como um erro ao aceitar pagamentos no novo site), do ponto de vista dele pode ser um pouco menor no nível de habilidade do que outros.
“No entanto, relatórios de código aberto dizem que eles ainda estão comprometendo grandes alvos, incluindo aqueles em infraestrutura crítica”, diz ele. “Está chegando o dia em que um importante provedor de infraestrutura é derrubado por meio de ransomware que criará mais do que apenas um problema na cadeia de suprimentos do que vimos com o Colonial Pipeline”.
Em fevereiro, o FBI e o Serviço Secreto dos EUA divulgaram um aviso conjunto de segurança cibernética no BlackByte, alertando que os invasores que implantam o ransomware infectaram organizações em pelo menos três setores críticos de infraestrutura dos EUA.
FONTE: DARK READING