Black Basta
Black Basta作戦手法Black Basta、技術的脆弱性と人的要因の両方を巧みに利用して目的を達成する適応性と意欲を浮き彫りにした。こうした戦術を理解することで、組織は高度な脅威に対する防御体制を強化できる。
その起源Black Basta
Black Basta ブラック・バスタは、2022年初頭から2025年1月まで活動した金銭目的のランサムウェアグループであり、北米、欧州、アジアの組織を標的とした影響力の大きい二重恐喝作戦で知られていた。同グループは企業ネットワークを侵害してランサムウェアを展開し、機密データを窃取した上で、公開漏洩の脅威をもって被害者に数百万ドル規模の身代金支払いを強要した。
Black Basta 活用した：
- 盗まれた認証情報、マルスパム、リモートデスクトップによる初期アクセス
- Cobalt Strikeブルートレイテル、カスタムローダーによるラテラルムーブ
- Mimikatz、RClone、PSExecのような、クレデンシャルダンピングやデータ流出のためのツール
- 恐喝のために流出させたデータをリークサイトで公開
このグループは、SOCKSプロキシ層を含む高度なインフラ管理との関連性を示しており、 フィッシング インフラ、モジュール式ツールなど、高度なインフラ管理との関連性を示している。ロシア語による内部通信を維持し、Matrixチャネルを通じて連携し、関連組織やブローカーと頻繁に協力している。
Black Basta、重要インフラ、医療、法律、製造部門への攻撃に関連している。2024年において最も活発かつ構造化されたランサムウェアの1つと考えられています。
BlackBastaの標的国
Black Basta活動は複数の地域に及び、米国、ドイツ、英国、カナダ、オーストラリアで重大な事件が報告されている。これらの地域は、高付加価値産業や重要インフラを擁するため、頻繁に標的とされる。
BlackBastaの対象業界
Black Basta 特に医療・公衆衛生（HPH）部門は、その重要な性質とテクノロジーへの依存度から、幅広い業種を対象としている。その他にも、金融、製造、情報技術などのセクターが影響を受けている。
BlackBastaの犠牲者
BlackBastaの攻撃方法
Black Basta 通常、スピアフィッシングメールを使用し、CVE-2024-1709などの既知の脆弱性を悪用する。また、有効な認証情報を悪用して初期アクセスを得ることも確認されている。
Mimikatzのようなツールが認証情報のスクレイピングに使用され、ZeroLogon（CVE-2020-1472）、NoPac（CVE-2021-42278、CVE-2021-42287）、PrintNightmare（CVE-2021-34527）などの脆弱性が悪用されて権限昇格が行われた。
このグループは、IntelやDellといった無害なファイル名を使用する偽装戦術を採用した。さらにBackstabのようなツールを展開してエンドポイント検知・対応（EDR）システムを無効化し、PowerShellを用いてアンチウイルス製品を無効化した。
Black Basta 、Mimikatzなどの認証情報スクレイピングツールを使用し、既知の脆弱性を悪用してネットワーク内で管理者権限を取得し、権限を昇格させた。
SoftPerfect Network Scannerなどのネットワークスキャンツールを使用して、ネットワークをマッピングし、主要なシステムとデータストアを特定した。
グループはBITSAdmin、PsExec、リモートデスクトッププロトコル（RDP）、Splashtop、ScreenConnect、Cobalt Strike といったツールを使用してネットワークを横方向Cobalt Strike 。
暗号化前に、データは収集され、外部への流出に備えて準備された。これには、転送準備のためのファイル圧縮やデータのステージングが含まれた。
RCloneなどのツールが使用され、データを攻撃者管理のサーバーへ流出させた。
ランサムウェアはChaCha20アルゴリズムとRSA-4096公開鍵を用いてファイルを暗号化し、ファイル名に.bastaまたはランダムな拡張子を追加した。感染システムに残された身代金要求書は、被害者にTorサイト経由でグループに連絡するよう指示していた。
Black Basta 通常、スピアフィッシングメールを使用し、CVE-2024-1709などの既知の脆弱性を悪用する。また、有効な認証情報を悪用して初期アクセスを得ることも確認されている。
Mimikatzのようなツールが認証情報のスクレイピングに使用され、ZeroLogon（CVE-2020-1472）、NoPac（CVE-2021-42278、CVE-2021-42287）、PrintNightmare（CVE-2021-34527）などの脆弱性が悪用されて権限昇格が行われた。
このグループは、IntelやDellといった無害なファイル名を使用する偽装戦術を採用した。さらにBackstabのようなツールを展開してエンドポイント検知・対応（EDR）システムを無効化し、PowerShellを用いてアンチウイルス製品を無効化した。
Black Basta 、Mimikatzなどの認証情報スクレイピングツールを使用し、既知の脆弱性を悪用してネットワーク内で管理者権限を取得し、権限を昇格させた。
SoftPerfect Network Scannerなどのネットワークスキャンツールを使用して、ネットワークをマッピングし、主要なシステムとデータストアを特定した。
グループはBITSAdmin、PsExec、リモートデスクトッププロトコル（RDP）、Splashtop、ScreenConnect、Cobalt Strike といったツールを使用してネットワークを横方向Cobalt Strike 。
暗号化前に、データは収集され、外部への流出に備えて準備された。これには、転送準備のためのファイル圧縮やデータのステージングが含まれた。
RCloneなどのツールが使用され、データを攻撃者管理のサーバーへ流出させた。
ランサムウェアはChaCha20アルゴリズムとRSA-4096公開鍵を用いてファイルを暗号化し、ファイル名に.bastaまたはランダムな拡張子を追加した。感染システムに残された身代金要求書は、被害者にTorサイト経由でグループに連絡するよう指示していた。
が使用するTTPBlack Basta
Vectra AIで検知 アクターを検知 する方法
ランサムウェア攻撃を示すVectra AI Platform で利用可能な検出のリスト。
よくあるご質問(FAQ)
Blackbasta ランサムウェアとは？
Blackbastaは2022年4月に出現した巧妙なランサムウェアグループである。被害者のデータを暗号化し、身代金を支払わなければ機密情報を公開すると脅すという、二重の恐喝手口を使う。
Blackbastaは通常、どのようにしてネットワークに最初にアクセスするのですか？
BlackBastaは多くの場合、悪意のある添付ファイルやリンクを含むフィッシングメールを通じて最初のアクセスを獲得し、一般向けアプリケーションの脆弱性を悪用し、悪意のある広告やドライブバイダウンロードを利用します。
BlackBastaが最もよく標的にする業界は？
BlackBastaは、医療、製造、金融、法律、教育、政府、ITなど幅広い業界を対象としている。
BlackBasta攻撃の影響を最も受けている国は？
BlackBastaの主なターゲットは米国、カナダ、英国、ドイツ、フランス、オーストラリアの組織だが、グローバルに展開している。
BlackBastaが使用する戦術、技術、手順（TTP）にはどのようなものがあるか？
Blackbastaは、フィッシング （T1566）、コマンド・スクリプト・インタプリタ（T1059）、クレデンシャル・ダンピング（T1003）、セキュリティ・ツールの無効化（T1562）、インパクトのためのデータ暗号化（T1486）など、さまざまなTTPを採用しています。
BlackBastaは侵害されたネットワーク内でどのように特権をエスカレートさせるのか？
Blackbastaは、パッチが適用されていないソフトウェアの脆弱性を悪用し、Mimikatzのようなツールを使用してメモリから認証情報を抽出することで、特権をエスカレートさせる。
BlackBastaはどのような方法で検知を逃れるのか？
Blackbastaは、難読化技術を使用し、セキュリティツールを無効にし、LotL（Living Off Land）戦術を採用し、検出を回避するために正規のソフトウェアとツールを利用する。
BlackBastaはネットワーク内でどのようにラテラルムーブするのか？
BlackBastaは、リモート・デスクトップ・プロトコル（RDP）、Windows Management Instrumentation（WMI）、およびリモート・サービスを使用して、ネットワーク内を横方向に移動します。
Blackbastaランサムウェア攻撃の典型的な段階とは？
段階には、初期アクセス、特権の昇格、防御回避、クレデンシャルアクセス、発見、横移動、収集、実行、流出、影響が含まれる。
Blackbastaランサムウェアから身を守るために、組織はどのような予防策を講じることができるのか？
組織は、強固な電子メールフィルタリングの実装、脆弱性への迅速なパッチ適用、多要素認証の使用、従業員に対する定期的なセキュリティトレーニングの実施、異常な活動の監視、最新のバックアップの維持、脅威を迅速に特定し対応するための拡張検出およびレスポンス (XDR) システムの導入などにより、BlackBastaから保護することができます。