A hatalmas fekete Basta-szivárgás feltárja egy zsarolóvírus-óriás belső működését

Ritka és megdöbbentő fejleményként a Black Basta ransomware banda belső csevegési naplói szivárogtak ki az internetre, és példátlan betekintést nyújtanak a ma működő egyik legveszélyesebb kiberbűnözői szervezet kulisszái mögé. A kiszivárogtatást már a 2022 eleji Conti hírhedt kiszivárogtatásaihoz hasonlítják, amelyek egy másik hírhedt zsarolóvírus-szindikátus belső működését fedték fel.

Ez a legutóbbi, 2025. február 20-án nyilvánosságra hozott kinyilatkoztatás egy ExploitWhispers néven ismert bejelentőtől származik, aki állítólag kiadott egy 47 MB-os JSON-fájlt, amely több mint 200 000, a Black Basta tagjai által váltott csevegőüzenetet tartalmaz. A csevegések egy teljes évnyi tevékenységet fednek le, 2023 szeptemberétől 2024 szeptemberéig, és jelenleg a kiberbiztonsági kutatók világszerte alaposan elemzik őket.

Miért került nyilvánosságra a Black Basta?

A kiszivárogtatással megosztott üzenetek szerint a leleplezés oka Black Basta azon döntése lehet, hogy orosz bankokat céloz meg – ez a lépés az orosz nyelvű kiberbűnözés világában gyakran megbocsáthatatlan hibának számít. Ha pontos, ez megmagyarázná, hogy egy bennfentes miért döntött úgy, hogy ilyen érzékeny anyagot szivárogtat ki.

Ezenkívül a Prodaft fenyegetésekkel foglalkozó hírszerző cég megjegyzi, hogy a Black Basta 2025 eleje óta többnyire inaktív, állítólag belső viták miatt. A színfalak mögött kialakult káosz miatt a kiszivárogtatás újabb bizonytalansági réteget ad a csoport jövőjét illetően.

Amit a kiszivárgott csevegésekből kiderül

A kiszivárogtatás nem csupán egy lenyűgöző bepillantás a Black Basta kezelőinek személyiségébe és napi beszélgetéseibe – ez egy vázlat arra vonatkozóan, hogy a banda hogyan hajtja végre a támadásokat, választja ki a célpontokat és használja ki a sebezhetőségeket.

A VulnCheck és a Qualys biztonsági cégek már közzétették korai megállapításaikat, nullázva a naplókban eltemetett műszaki részleteket. A VulnCheck elemzése szerint a chatekben 62 egyedi CVE-t (Common Vulnerabilities and Exposures) említenek, amelyek közül néhányat a nyilvánosságra hozataluk után néhány napon belül megvitatnak, néhányat pedig még a hivatalos közzététel előtt.

Ami még riasztóbb, a naplók azt sugallják, hogy a Black Basta nem csak a nyilvánosan ismert támadásokra támaszkodik. Egyértelmű bizonyítékok támasztják alá, hogy a csoportnak megvannak az erőforrásai az új kihasználások kifejlesztéséhez, és vitáztak arról, hogy exkluzív sebezhetőségeket vásároljanak más fenyegetés szereplőitől.

A Qualys egy lépéssel tovább lépett, összeállította a védők prioritási listáját, beleértve:

• A 20 legjobb CVE, amely azonnali javítást igényel.
• A Black Basta által gyakran használt 10 hibás konfiguráció.
• A kiszivárogtatásban említett összes sérülékenység teljes melléklete.

A biztonsági csapatok számára ez a kiszivárgás ritka lehetőséget kínál arra, hogy pontosan megértsék, mely gyenge pontok a legvonzóbbak a zsarolóvírus-kezelők számára, és ennek megfelelően rangsorolják a védelmet.

Esettanulmány a Ransomware műveletekről

A sebezhetőségeken túl olyan kutatók, mint a Kela és a BushidoToken, elemezték a csoport működési útmutatóját. Az egyik részletes példa egy brazil cég elleni 2023-as támadásra vonatkozik, amely egy infostealer rosszindulatú programon keresztül ellopott hitelesítő adatokkal kezdődött. A Black Basta mindössze két napon belül feltörte a hálózatot, érzékeny adatokat lopott el, és zsarolóprogramot telepített. A csoport módszerei – a kezdeti hozzáférés veszélyeztetett hitelesítő adatok révén, a gyors oldalirányú mozgás, az adatok kiszűrése és a nyilvános zsarolás – a számítógépes zsarolás rendkívül kifinomult, ipari léptékű megközelítését illusztrálják.

Ezek a felismerések megerősítik, hogy a Black Basta úgy működik, mint egy jól beolajozott vállalkozás, és olyan eszközöket használ, mint a ZoomInfo, a váltságdíj összegének és a nyomásgyakorlási taktikáknak a felméréséhez.

Belső konfliktus és lelkiismereti válság

A kiszivárogtatás egyik legváratlanabb leleplezése a támadók emberi oldala. Az Ascension Health elleni 2024-es támadásuk során a chat-üzenetek egyre növekvő kényelmetlenséget mutatnak a csoporton belül, ahogy tetteik következményei világossá váltak.

A betegek károsodásának lehetőségével szembesülve, beleértve a kritikus ellátás eseteit is, a tagok azon vitatkoztak, hogy biztosítsanak-e ingyenes visszafejtőt, és töröljék-e az ellopott adatokat. Az olyan kulcsfigurák megjegyzései, mint a „tinker” és a „gg”, azt mutatják, hogy élesen tudatában vannak annak, hogy a kórházi műveletek megölése a kiberbűnözéstől a terrorizmus vádjáig fajulhat, ha emberéletek vesztenek.

Egy ritka mozdulattal Fekete Basta nemcsak ingyenes visszafejtési kulcsot adott, hanem állítólag törölte is az ellopott adatokat, jelezve az önfenntartás – vagy talán az erkölcs – szokatlan pillanatát.

Fekete Basta az összeomlás szélén áll?

Mindezen kavarodás mellett egyes szakértők azt feltételezik, hogy a csoport ugyanazt az utat követheti, mint a Conti, amely saját belső kiszivárogtatásai után feloszlott, és új neveken jelent meg. Számos kiszivárgott komment arra utal, hogy a Black Basta már a teljes márkaváltáson gondolkodott a rendfenntartó szervek és a nyilvánosság növekvő hősége miatt.

Noha egyelőre csak találgatások vannak, az az elképzelés, hogy Black Basta valamikor 2025-ben eltűnik, és más álnéven újra felbukkan, napról napra valószínűbb.

Mit jelent ez a védők számára

Ez a kiszivárogtatás több, mint pusztán kiberbűnözés – ez egy cselekvésre alkalmas intelligencia.
A biztonsági csapatok számára a Black Basta szivárgás a következőket kínálja:

• Elsőbbségi sérülékenységfoltozás valós kizsákmányolás alapján.
• Betekintés a támadások idővonalaiba és módszereibe.
• A belső csoportdinamika megértése, amely elmozdulásokat jelezhet a ransomware-környezetben.

A szervezeteknek most kell cselekedniük, hogy felülvizsgálják a szivárgás során feltárt CVE-ket és hibás konfigurációkat, megerősítsék a védelmet, és ébernek kell maradniuk. Míg a Black Basta belső küzdelmekkel néz szembe, a zsarolóvírus összességében továbbra is állandó és folyamatosan fejlődő fenyegetést jelent.

Végső gondolatok

A Black Basta kiszivárogtatása egyszerre figyelmeztető mese és stratégiai előny a kiberbiztonság védelmezői számára. Megerősíti, hogy még a legkifinomultabb ransomware bandák sem mentesek a belső konfliktusoktól, az emberi hibáktól és a kitettségtől.

De ne tévedjünk – akár feloszlik, akár újramárkázik, akár folytatja a Black Basta-t, az ezekben a csevegésekben feltárt módszerek és sebezhetőségek 2025 után is előmozdítják a zsarolóvírus-műveleteket.

A legjobb védekezés most a tudatosság, a felkészülés és a gyors cselekvés.