0 
0 A FIN7, uma organização de crimes cibernéticos com motivação financeira e que se estima ter roubado mais de US$ 1,2 bilhão desde que surgiu em 2012, está por trás do Black Basta, uma das famílias de ransomware mais prolíficas deste ano.
Essa é a conclusão dos pesquisadores do SentinelOne com base no que eles dizem ser várias semelhanças nas táticas, técnicas e procedimentos entre a campanha Black Basta e as campanhas anteriores do FIN7. Entre eles estão semelhanças em uma ferramenta para evitar produtos de detecção e resposta de endpoint (EDR); semelhanças em packers para embalar o sinalizador Cobalt Strike e um backdoor chamado Birddog; código-fonte se sobrepõe; e sobreposição de endereços IP e infraestrutura de hospedagem.
Uma coleção de ferramentas personalizadas
A investigação do SentinelOne sobre as atividades do Black Basta também desenterrou novas informações sobre os métodos e ferramentas de ataque do agente da ameaça. Por exemplo, os pesquisadores descobriram que em muitos ataques Black Basta, os agentes de ameaças usam uma versão exclusivamente ofuscada da ferramenta de linha de comando gratuita ADFind para coletar informações sobre o ambiente Active Directory de uma vítima.
Eles descobriram que os operadores Black Basta estão explorando a vulnerabilidade PrintNightmare do ano passado no serviço Windows Print Spooler ( CVE-2021-34527 ) e a falha ZeroLogon de 2020 no Windows Netlogon Remote Protocol ( CVE-2020-1472 ) em muitas campanhas. Ambas as vulnerabilidades oferecem aos invasores uma maneira de obter acesso administrativo em controladores de domínio. O SentinelOne disse que também observou ataques Black Basta aproveitando o “NoPac”, uma exploração que combina duas falhas críticas de design do Active Directory do ano passado ( CVE-2021-42278 e CVE-2021-42287 ). Os invasores podem usar a exploração para escalar privilégios de um usuário de domínio regular até o administrador de domínio.
O SentinelOne, que começou a rastrear o Black Basta em junho, observou a cadeia de infecção começando com o dropper Qakbot Trojan que virou malware. Os pesquisadores encontraram o agente da ameaça usando o backdoor para realizar reconhecimento na rede da vítima usando uma variedade de ferramentas, incluindo AdFind, dois assemblies .Net personalizados, scanner de rede da SoftPerfect e WMI. É depois desse estágio que o agente da ameaça tenta explorar as várias vulnerabilidades do Windows para se mover lateralmente, aumentar privilégios e, eventualmente, descartar o ransomware. A Trend Micro no início deste ano identificou o grupo Qakbot como vendendo acesso a redes comprometidas para Black Basta e outros operadores de ransomware.
“Avaliamos que é altamente provável que a operação do ransomware Black Basta tenha vínculos com o FIN7”, disse o SentinelLabs da SentinelOne em uma postagem no blog em 3 de novembro. “Além disso, avaliamos que é provável que os desenvolvedores por trás de suas ferramentas para prejudicar a vítima defesas é, ou foi, um desenvolvedor para FIN7.”
Ameaça de Ransomware Sofisticada
A operação de ransomware Black Basta surgiu em abril de 2022 e fez pelo menos 90 vítimas até o final de setembro. A Trend Micro descreveu o ransomware como tendo uma rotina de criptografia sofisticada que provavelmente usa binários exclusivos para cada uma de suas vítimas. Muitos de seus ataques envolveram uma técnica de dupla extorsão, na qual os agentes de ameaças primeiro exfiltram dados confidenciais de um ambiente de vítima antes de criptografá-los.
No terceiro trimestre de 2022, as infecções por ransomware Black Basta representaram 9% de todas as vítimas de ransomware, colocando-o em segundo lugar atrás do LockBit, que continuou de longe a ser a ameaça de ransomware mais prevalente – com uma participação de 35% de todas as vítimas, de acordo com para dados de Sombras Digitais.
“A Digital Shadows observou a operação do ransomware Black Basta visando o setor de bens e serviços industriais, incluindo manufatura, mais do que qualquer outro setor”, diz Nicole Hoffman, analista sênior de inteligência de ameaças cibernéticas da Digital Shadows, uma empresa da ReliaQuest. “O setor de construção e materiais segue logo atrás como o segundo setor mais visado até o momento pela operação de ransomware”.
O FIN7 tem sido uma pedra no sapato do setor de segurança há uma década. Os ataques iniciais do grupo se concentraram no roubo de dados de cartões de crédito e débito. Mas ao longo dos anos, o FIN7, que também foi rastreado como Carbanak Group e Cobalt Group, também se diversificou em outras operações de crimes cibernéticos, incluindo mais recentemente o domínio do ransomware. Vários fornecedores – incluindo Digital Shadows – suspeitaram que o FIN7 possui links para vários grupos de ransomware, incluindo REvil, Ryuk, DarkSide, BlackMatter e ALPHV.
“Então, não seria surpreendente ver mais uma associação potencial”, desta vez com o FIN7, diz Hoffman. “No entanto, é importante observar que vincular dois grupos de ameaças nem sempre significa que um grupo está comandando o show. É possível que os grupos estejam trabalhando juntos.”
De acordo com o SentinelLabs, algumas das ferramentas que a operação Black Basta usa em seus ataques sugerem que o FIN7 está tentando desassociar sua nova atividade de ransomware da antiga. Uma dessas ferramentas é uma ferramenta personalizada de evasão de defesa e deficiência que parece ter sido escrita por um desenvolvedor do FIN7 e não foi observada em nenhuma outra operação de ransomware, disse o SentinelOne.
FONTE: DARK READING