Enorme Black Basta-lek onthult de innerlijke werking van een ransomwaregigant

In een zeldzame en verrassende ontwikkeling is een schat aan interne chatlogs van de Black Basta-ransomwarebende online gelekt, wat een ongekende blik achter de schermen biedt van een van de gevaarlijkste cybercriminele organisaties die momenteel actief is. Het lek wordt al vergeleken met de beruchte Conti-lekken van begin 2022, die de interne operaties van een ander berucht ransomwaresyndicaat blootlegden.

Deze laatste onthulling, openbaar gemaakt op 20 februari 2025, komt van een klokkenluider die bekendstaat als ExploitWhispers, die naar verluidt een 47 MB JSON-bestand heeft vrijgegeven met meer dan 200.000 chatberichten die door Black Basta-leden zijn uitgewisseld. De chats bestrijken een heel jaar aan activiteit, van september 2023 tot september 2024, en worden nu nauwkeurig geanalyseerd door cybersecurity-onderzoekers wereldwijd.

Waarom werd Black Basta ontmaskerd?

Volgens berichten die met het lek zijn gedeeld, kan de motivatie voor de onthulling voortkomen uit Black Basta's beslissing om Russische banken als doelwit te nemen, een zet die in de wereld van Russischtalige cybercriminaliteit vaak als een onvergeeflijke fout wordt beschouwd. Als dit klopt, zou dit verklaren waarom een insider besloot om dergelijk gevoelig materiaal te lekken.

Bovendien merkt het threat intelligence-bedrijf Prodaft op dat Black Basta sinds begin 2025 grotendeels inactief is geweest, naar verluidt vanwege interne conflicten. Nu er achter de schermen chaos ontstaat, voegt het lek nog een laag onzekerheid toe over de toekomst van de groep.

Wat de gelekte chats onthullen

Het lek biedt niet alleen een fascinerend inkijkje in de persoonlijkheden en dagelijkse gesprekken van de beheerders van Black Basta, het is ook een blauwdruk voor de manier waarop de bende aanvallen uitvoert, doelen selecteert en kwetsbaarheden uitbuit.

Beveiligingsbedrijven VulnCheck en Qualys hebben al vroege bevindingen gepubliceerd, waarbij ze zich richten op de technische details die in de logs begraven liggen. Volgens de analyse van VulnCheck vermelden de chats 62 unieke CVE's (Common Vulnerabilities and Exposures), waarvan sommige binnen enkele dagen na hun openbare bekendmaking worden besproken en een paar zelfs voordat ze officieel werden gepubliceerd.

Nog alarmerender is dat de logs suggereren dat Black Basta niet alleen vertrouwt op openbaar bekende exploits. Er is duidelijk bewijs dat de groep de middelen heeft om nieuwe exploits te ontwikkelen en heeft overwogen om exclusieve kwetsbaarheden van andere dreigingsactoren te kopen.

Qualys is nog een stap verder gegaan en heeft een prioriteitenlijst voor verdedigers samengesteld, met onder andere:

• Top 20 CVE's die onmiddellijk gepatcht moeten worden.
• Top 10 van misconfiguraties waar Black Basta vaak misbruik van maakt.
• Een volledige bijlage van alle kwetsbaarheden die in het lek worden genoemd.

Voor beveiligingsteams biedt dit lek een unieke kans om precies te begrijpen welke zwakke punten het aantrekkelijkst zijn voor ransomware-aanvallen. Op basis hiervan kunnen ze hun verdedigingsmechanismen op basis daarvan prioriteren.

Een case study in ransomware-operaties

Naast kwetsbaarheden hebben onderzoekers als Kela en BushidoToken het operationele draaiboek van de groep geanalyseerd. Een gedetailleerd voorbeeld betreft een aanval in 2023 op een Braziliaans bedrijf, die begon met inloggegevens die waren gestolen via infostealer-malware. Binnen slechts twee dagen had Black Basta het netwerk gecompromitteerd, gevoelige gegevens gestolen en ransomware ingezet. De methoden van de groep - initiële toegang via gecompromitteerde inloggegevens, snelle laterale verplaatsing, data-exfiltratie en publieke afpersing - illustreren een zeer verfijnde, industriële aanpak van cyberafpersing.

Deze inzichten bevestigen dat Black Basta opereert als een goed geoliede onderneming, waarbij slachtoffers worden geprofileerd met behulp van hulpmiddelen als ZoomInfo om losgeldbedragen en druktactieken te bepalen.

Intern conflict en een gewetenscrisis

Een van de meest onverwachte onthullingen van het lek is de menselijke kant van de aanvallers. Tijdens hun aanval op Ascension Health in 2024 onthullen chatberichten een groeiend ongemak binnen de groep, aangezien de gevolgen van hun acties duidelijk werden.

Gezien de mogelijkheid om patiënten te schaden, inclusief gevallen van kritieke zorg, debatteerden leden over het aanbieden van een gratis decryptor en het verwijderen van gestolen gegevens. Opmerkingen van sleutelfiguren als 'tinker' en 'gg' tonen een acuut besef dat het doden van de operaties van een ziekenhuis kan escaleren van cybercriminaliteit naar terrorismebeschuldigingen als er levens verloren gaan.

In een zeldzame actie verstrekte Black Basta niet alleen een gratis decoderingssleutel, maar verwijderde hij naar verluidt ook de gestolen gegevens. Dit zou duiden op een ongebruikelijk moment van zelfbehoud, of misschien zelfs moraliteit.

Staat Black Basta op het punt van instorten?

Met al deze onrust speculeren sommige experts dat de groep hetzelfde pad volgt als Conti, dat na eigen interne lekken uit elkaar ging en onder nieuwe namen weer opdook. Verschillende gelekte opmerkingen suggereren dat Black Basta al een volledige rebranding overwoog vanwege de toenemende druk van wetshandhaving en het publiek.

Hoewel het nu nog speculatie is, wordt het idee dat Black Basta verdwijnt en ergens in 2025 onder een andere alias weer opduikt, met de dag aannemelijker.

Wat dit betekent voor verdedigers

Dit lek is meer dan alleen een drama over cybercriminaliteit: het is bruikbare informatie.
Voor beveiligingsteams biedt het Black Basta-lek:

• Prioriteitsgerichte patching van kwetsbaarheden op basis van daadwerkelijke exploitatie.
• Inzicht in aanvalstijdlijnen en -methoden.
• Inzicht in de interne groepsdynamiek die kan duiden op verschuivingen in het ransomwarelandschap.

Organisaties moeten nu actie ondernemen om de CVE's en misconfiguraties die in het lek zijn blootgelegd, te beoordelen, de verdediging te versterken en waakzaam te blijven. Hoewel Black Basta mogelijk met interne problemen kampt, blijft ransomware als geheel een aanhoudende en evoluerende bedreiging.

Laatste gedachten

Het Black Basta-lek is zowel een waarschuwend verhaal als een strategisch voordeel voor cybersecurityverdedigers. Het bevestigt dat zelfs de meest geavanceerde ransomware-bendes niet immuun zijn voor interne conflicten, menselijke fouten en blootstelling.

Maar vergis u niet: of Black Basta nu wordt opgeheven, een nieuwe naam krijgt of doorgaat, de methoden en kwetsbaarheden die in deze chats worden onthuld, zullen ransomware-operaties tot ver na 2025 blijven aanwakkeren.

De beste verdediging is nu: bewustzijn, voorbereiding en snel handelen.