Масштабная утечка Black Basta раскрывает внутреннюю работу гиганта-вымогателя

В редком и поразительном событии в сеть попала куча внутренних чат-логов банды вымогателей Black Basta , что дает беспрецедентный взгляд за кулисы одной из самых опасных киберпреступных организаций, действующих сегодня. Утечку уже сравнивают с печально известными утечками Conti начала 2022 года, которые раскрыли внутренние операции другого печально известного синдиката вымогателей.

Это последнее разоблачение, обнародованное 20 февраля 2025 года, исходит от осведомителя, известного как ExploitWhispers, который, как сообщается, опубликовал файл JSON объемом 47 МБ, содержащий более 200 000 сообщений чата, которыми обменивались участники Black Basta. Чаты охватывают целый год активности, с сентября 2023 года по сентябрь 2024 года, и в настоящее время тщательно анализируются исследователями кибербезопасности по всему миру.

Почему Черный Баста был разоблачен?

Согласно сообщениям, переданным с утечкой, мотивом для разоблачения может быть решение Black Basta атаковать российские банки — шаг, который в мире русскоязычной киберпреступности часто считается непростительной ошибкой. Если это правда, это объясняет, почему инсайдер решил слить такой деликатный материал.

Кроме того, фирма Prodaft, занимающаяся разведкой угроз, отмечает, что Black Basta в основном неактивна с начала 2025 года, предположительно из-за внутренних разногласий. Поскольку за кулисами царит хаос, утечка добавляет еще один слой неопределенности относительно будущего группы.

Что раскрывают просочившиеся чаты

Утечка — это не просто захватывающий взгляд на личности и повседневную болтовню операторов Black Basta, это план того, как банда проводит свои атаки, выбирает цели и использует уязвимости.

Фирмы по безопасности VulnCheck и Qualys уже опубликовали ранние результаты, сосредоточившись на технических деталях, скрытых в журналах. Согласно анализу VulnCheck, в чатах упоминаются 62 уникальных CVE (Common Vulnerabilities and Exposures), некоторые из которых обсуждались в течение нескольких дней после их публичного раскрытия, а некоторые даже до того, как они были официально опубликованы.

Еще более тревожно то, что журналы показывают, что Black Basta не просто полагается на публично известные эксплойты. Есть явные доказательства того, что группа имеет ресурсы для разработки новых эксплойтов и обсуждает покупку эксклюзивных уязвимостей у других субъектов угроз.

Qualys пошла еще дальше, составив список приоритетов для защитников, включающий:

• 20 основных уязвимостей CVE, требующих немедленного исправления.
• 10 самых распространенных ошибок в конфигурации, используемых Black Basta.
• Полное приложение всех уязвимостей, упомянутых в утечке.

Для специалистов по безопасности эта утечка предоставляет редкую возможность точно понять, какие слабые места наиболее привлекательны для операторов программ-вымогателей, и соответствующим образом расставить приоритеты в защите.

Пример из практики операций по борьбе с программами-вымогателями

Помимо уязвимостей, такие исследователи, как Kela и BushidoToken, проанализировали операционную схему группы. Одним из подробных примеров является атака 2023 года на бразильскую компанию, которая началась с кражи учетных данных с помощью вредоносного ПО для кражи информации. Всего за два дня Black Basta взломал сеть, украл конфиденциальные данные и внедрил программу-вымогатель. Методы группы — первоначальный доступ через скомпрометированные учетные данные, быстрое горизонтальное перемещение, эксфильтрация данных и публичное вымогательство — иллюстрируют высокоизящный подход к кибервымогательству промышленного масштаба.

Эти данные подтверждают, что Black Basta действует как хорошо отлаженный бизнес, составляя профили жертв с помощью таких инструментов, как ZoomInfo, для оценки сумм выкупа и тактики давления.

Внутренний конфликт и кризис совести

Одно из самых неожиданных откровений из утечки — человеческая сторона атакующих. Во время их атаки на Ascension Health в 2024 году сообщения в чате показывают растущий дискомфорт внутри группы, поскольку последствия их действий стали очевидны.

Столкнувшись с возможностью причинения вреда пациентам, включая пациентов, находящихся в критическом состоянии, члены организации обсуждали, предоставлять ли бесплатный дешифратор и удалять украденные данные. Комментарии таких ключевых фигур, как «tinker» и «gg», демонстрируют острое понимание того, что прекращение работы больницы может перерасти из киберпреступности в обвинения в терроризме, если будут потеряны жизни.

Совершив редкий поступок, Черный Баста не только предоставил бесплатный ключ дешифрования, но и, как утверждается, удалил украденные данные, что стало необычным проявлением самосохранения — или, возможно, даже морали.

Black Basta на грани краха?

Со всеми этими потрясениями некоторые эксперты предполагают, что группа может пойти по тому же пути, что и Conti, которая распалась после собственных внутренних утечек и возродилась под новыми названиями. Несколько просочившихся комментариев предполагают, что Black Basta уже рассматривал возможность полного ребрендинга из-за растущего давления со стороны правоохранительных органов и общественности.

Хотя пока это остается лишь домыслами, идея исчезновения Черного Басты и его возрождения под другим псевдонимом где-то в 2025 году становится с каждым днем все более правдоподобной.

Что это значит для защитников

Эта утечка — не просто драма о киберпреступности, это разведывательная информация, дающая основания для принятия мер.
Для служб безопасности утечка Black Basta предлагает:

• Приоритетное исправление уязвимостей на основе реальных случаев эксплуатации.
• Понимание сроков и методов атак.
• Понимание внутренней групповой динамики, которая может сигнализировать об изменениях в ландшафте программ-вымогателей.

Организации должны действовать сейчас, чтобы пересмотреть CVE и неправильные конфигурации, выявленные в утечке, усилить защиту и сохранять бдительность. В то время как Black Basta может столкнуться с внутренними проблемами, программы-вымогатели в целом остаются постоянной и развивающейся угрозой.

Заключительные мысли

Утечка Black Basta является одновременно предостережением и стратегическим преимуществом для защитников кибербезопасности. Она подтверждает, что даже самые изощренные банды вымогателей не застрахованы от внутренних конфликтов, человеческих ошибок и разоблачений.

Но не заблуждайтесь — независимо от того, распадется ли Black Basta, проведет ли ребрендинг или продолжит свою деятельность, методы и уязвимости, выявленные в этих чатах, будут подпитывать операции по вымогательству еще долгое время после 2025 года.

Лучшая защита сейчас — это осведомленность, подготовка и быстрые действия.