Massiv sort Basta-lækage afslører de indre funktioner i en ransomware-gigant

I en sjælden og opsigtsvækkende udvikling er et væld af interne chatlogs fra Black Basta ransomware-banden blevet lækket online, der tilbyder et hidtil uset kig bag kulisserne på en af de farligste cyberkriminelle organisationer, der opererer i dag. Lækagen bliver allerede sammenlignet med de berygtede Conti-lækager i begyndelsen af 2022, som afslørede de interne operationer af et andet berygtet ransomware-syndikat.

Denne seneste afsløring, der blev afsløret offentligt den 20. februar 2025, kommer fra en whistleblower kendt som ExploitWhispers, som angiveligt udgav en 47 MB JSON-fil indeholdende over 200.000 chatbeskeder udvekslet af Black Basta-medlemmer. Chatterne dækker et helt års aktivitet, fra september 2023 til september 2024, og bliver nu grundigt analyseret af cybersikkerhedsforskere verden over.

Hvorfor blev Black Basta afsløret?

Ifølge meddelelser, der er delt med lækagen, kan motivationen for eksponeringen stamme fra Black Bastas beslutning om at målrette russiske banker - et skridt, der i en verden af russisktalende cyberkriminalitet ofte betragtes som en utilgivelig fejltagelse. Hvis det er nøjagtigt, ville dette forklare, hvorfor en insider besluttede at lække så følsomt materiale.

Derudover bemærker trusselsefterretningsfirmaet Prodaft, at Black Basta for det meste har været inaktiv siden begyndelsen af 2025, angiveligt på grund af interne tvister. Med kaos under opsejling bag kulisserne tilføjer lækagen endnu et lag af usikkerhed om gruppens fremtid.

Hvad de lækkede chats afslører

Lækagen er ikke bare et fascinerende indblik i Black Bastas operatørers personligheder og daglige snakken – det er en plan for, hvordan banden udfører sine angreb, udvælger mål og udnytter sårbarheder.

Sikkerhedsfirmaerne VulnCheck og Qualys har allerede offentliggjort tidlige resultater, hvor de har sat fokus på de tekniske detaljer, der er begravet i loggene. Ifølge VulnChecks analyse nævner chattene 62 unikke CVE'er (Common Vulnerabilities and Exposures), hvor nogle bliver diskuteret inden for få dage efter deres offentliggørelse og nogle få endda før de blev officielt offentliggjort.

Mere alarmerende tyder logfilerne på, at Black Basta ikke kun er afhængig af offentligt kendte udnyttelser. Der er klare beviser for, at gruppen har ressourcerne til at udvikle nye udnyttelser og har diskuteret køb af eksklusive sårbarheder fra andre trusselsaktører.

Qualys er gået et skridt videre og har udarbejdet en prioritetsliste for forsvarere, herunder:

• Top 20 CVE'er, der kræver øjeblikkelig patching.
• Top 10 fejlkonfigurationer, der ofte udnyttes af Black Basta.
• Et komplet bilag med alle sårbarheder nævnt i lækket.

For sikkerhedsteams giver dette læk en sjælden mulighed for at forstå præcis, hvilke svage punkter der er mest attraktive for ransomware-operatører og prioritere forsvar i overensstemmelse hermed.

Et casestudie i Ransomware-operationer

Ud over sårbarheder har forskere som Kela og BushidoToken analyseret gruppens operationelle spillebog. Et detaljeret eksempel involverer et angreb i 2023 på et brasiliansk firma, som begyndte med legitimationsoplysninger, der blev stjålet via infostealer-malware. Inden for blot to dage havde Black Basta kompromitteret netværket, stjålet følsomme data og implementeret ransomware. Gruppens metoder – indledende adgang gennem kompromitterede legitimationsoplysninger, hurtig lateral bevægelse, dataeksfiltrering og offentlig afpresning – illustrerer en meget raffineret tilgang til cyberafpresning i industriel skala.

Disse indsigter bekræfter, at Black Basta fungerer som en velsmurt forretning, der profilerer ofre ved hjælp af værktøjer som ZoomInfo til at vurdere løsesum og prestaktik.

Intern konflikt og en samvittighedskrise

En af de mest uventede afsløringer fra lækagen er den menneskelige side af angriberne. Under deres angreb i 2024 på Ascension Health afslører chatbeskeder voksende ubehag i gruppen, efterhånden som konsekvenserne af deres handlinger blev tydelige.

Over for muligheden for at skade patienter, herunder sager om kritisk behandling, diskuterede medlemmerne, om de skulle tilbyde en gratis dekryptering og slette stjålne data. Kommentarer fra nøglepersoner som 'tinker' og 'gg' viser en akut bevidsthed om, at dræbning af et hospitals operationer kan eskalere fra cyberkriminalitet til terroranklager, hvis liv gik tabt.

I et sjældent træk leverede Black Basta ikke kun en gratis dekrypteringsnøgle, men slettede angiveligt også de stjålne data, hvilket signalerede et usædvanligt øjeblik af selvopretholdelse – eller måske endda moral.

Er Black Basta på randen af kollaps?

Med al denne uro spekulerer nogle eksperter på, at gruppen muligvis følger samme vej som Conti, der opløste efter sine egne interne lækager og genopstod under nye navne. Adskillige lækkede kommentarer tyder på, at Black Basta allerede overvejede et fuldstændigt rebrand på grund af stigende varme fra retshåndhævelse og offentligheden.

Selvom det forbliver spekulationer indtil videre, bliver ideen om, at Black Basta forsvinder og genopstår under et andet alias engang i 2025, mere plausibel for hver dag, der går.

Hvad dette betyder for forsvarere

Denne lækage er mere end blot cyberkriminalitetsdrama – det er handlingsorienteret intelligens.
Til sikkerhedsteams tilbyder Black Basta-lækagen:

• Prioriteret sårbarhedspatching baseret på udnyttelse i den virkelige verden.
• Indsigt i angrebstidslinjer og metoder.
• Forståelse af intern gruppedynamik, der kunne signalere ændringer i ransomware-landskabet.

Organisationer bør handle nu for at gennemgå de CVE'er og fejlkonfigurationer, der er afsløret i lækagen, styrke forsvaret og forblive på vagt. Selvom Black Basta måske står over for interne kampe, forbliver ransomware som helhed en vedvarende og udviklende trussel.

Afsluttende tanker

Black Basta-lækagen er både en advarselsfortælling og en strategisk fordel for cybersikkerhedsforsvarere. Det bekræfter, at selv de mest sofistikerede ransomware-bander ikke er immune over for interne konflikter, menneskelige fejl og eksponering.

Men tag ikke fejl – uanset om Black Basta opløses, rebrands eller fortsætter, vil de metoder og sårbarheder, der afsløres i disse chats, give næring til ransomware-operationer langt ud over 2025.

Det bedste forsvar nu er opmærksomhed, forberedelse og hurtig handling.