Black Basta
Black Bastaの攻撃手法は、その適応力と、目的達成のために技術的脆弱性と人的要因の両方を悪用する意欲を浮き彫りにしました。これらの戦術を理解することは、組織がこのような高度な脅威に対する防御を強化するのに役立ちます。
Black Bastaの起源
Black Bastaは、2022年初頭から2025年1月まで活動していた金銭目的のランサムウェアグループで、北米、ヨーロッパ、アジアの組織を標的とした大規模な二重の恐喝作戦で知られています。このグループは企業ネットワークを侵害してランサムウェアのペイロードを展開し、機密データを盗み出し、情報漏洩の脅迫によって被害者に数百万ドルの身代金を支払わせました。
Black Bastaはよく以下を活用します。
- 盗まれた認証情報、マルスパム、リモートデスクトップによる初期アクセス
- Cobalt Strikeブルートレイテル、カスタムローダーによるラテラルムーブ
- Mimikatz、RClone、PSExecのような、クレデンシャルダンピングやデータ流出のためのツール
- 恐喝のために流出させたデータをリークサイトで公開
このグループは、SOCKSプロキシレイヤー、フィッシングインフラ、モジュラーツールなど、高度なインフラ管理とのつながりを示してきました。また、ロシア語による社内コミュニケーションを維持し、マトリックスチャネルを通じて連携し、関連会社やブローカーと連携することが多かったようです。
Black Bastaは、重要インフラ、医療、法務、製造業への攻撃と関連付けられています。2024年において最も活発かつ組織化されたランサムウェア攻撃の一つと考えられています。
Black Bastaの標的国
Black Bastaの活動は複数の地域に広がっており、米国、ドイツ、英国、カナダ、オーストラリアで重大なインシデントが報告されています。これらの地域は、高付加価値産業や重要インフラを抱えているため、しばしば標的となっています。
BlackBastaの対象業界
Black Bastaは幅広い業界を標的としており、特に医療・公衆衛生（HPH）セクターは、その重要性とテクノロジーへの依存度の高さから、特に標的となっています。その他、金融、製造、情報技術などのセクターも影響を受けています。
BlackBastaの被害対象
BlackBastaの攻撃方法
Black Bastaの関連組織は、通常、スピアフィッシングメールを使用し、CVE-2024-1709などの既知の脆弱性を悪用します。また、有効な認証情報を悪用して初期アクセスを取得することも知られています。
Mimikatzのようなツールが認証情報のスクレイピングに使用され、ZeroLogon (CVE-2020-1472)、NoPac (CVE-2021-42278、CVE-2021-42287)、PrintNightmare (CVE-2021-34527)などの脆弱性が悪用されて権限昇格が行われました。
このグループは、IntelやDellといった無害なファイル名を使用する偽装戦術を採用しました。さらにBackstabのようなツールを展開してEDRシステムを無効化し、PowerShellを用いてアンチウイルス製品を無効化しました。
Black Basta の関連組織は、Mimikatz などの認証情報スクレイピング ツールを使用して既知の脆弱性を悪用し、管理者アクセスを取得してネットワーク内で権限を昇格していました。
SoftPerfect Network Scanner などのネットワーク スキャン ツールを使用して、ネットワークをマッピングし、主要なシステムとデータ ストアを識別しました。
このグループは、BITSAdmin、PsExec、リモート デスクトップ プロトコル (RDP)、Splashtop、ScreenConnect、Cobalt Strike などのツールを使用して、ネットワーク間をラテラルムーブしました。
暗号化以前は、データは収集され、持ち出しのために準備されていました。これには、転送に備えてファイルを圧縮したり、データをステージングしたりすることが含まれていました。
RCloneなどのツールが使用され、データを攻撃者管理のサーバーへ流出させました。
このランサムウェアは、RSA-4096公開鍵を用いたChaCha20アルゴリズムを用いてファイルを暗号化し、ファイル名に.bastaまたはランダムな拡張子を付加しました。侵害されたシステムに残された身代金要求メッセージには、被害者に対しTorサイト経由でグループに連絡するよう指示されていました。
Black Bastaの関連組織は、通常、スピアフィッシングメールを使用し、CVE-2024-1709などの既知の脆弱性を悪用します。また、有効な認証情報を悪用して初期アクセスを取得することも知られています。
Mimikatzのようなツールが認証情報のスクレイピングに使用され、ZeroLogon (CVE-2020-1472)、NoPac (CVE-2021-42278、CVE-2021-42287)、PrintNightmare (CVE-2021-34527)などの脆弱性が悪用されて権限昇格が行われました。
このグループは、IntelやDellといった無害なファイル名を使用する偽装戦術を採用しました。さらにBackstabのようなツールを展開してEDRシステムを無効化し、PowerShellを用いてアンチウイルス製品を無効化しました。
Black Basta の関連組織は、Mimikatz などの認証情報スクレイピング ツールを使用して既知の脆弱性を悪用し、管理者アクセスを取得してネットワーク内で権限を昇格していました。
SoftPerfect Network Scanner などのネットワーク スキャン ツールを使用して、ネットワークをマッピングし、主要なシステムとデータ ストアを識別しました。
このグループは、BITSAdmin、PsExec、リモート デスクトップ プロトコル (RDP)、Splashtop、ScreenConnect、Cobalt Strike などのツールを使用して、ネットワーク間をラテラルムーブしました。
暗号化以前は、データは収集され、持ち出しのために準備されていました。これには、転送に備えてファイルを圧縮したり、データをステージングしたりすることが含まれていました。
RCloneなどのツールが使用され、データを攻撃者管理のサーバーへ流出させました。
このランサムウェアは、RSA-4096公開鍵を用いたChaCha20アルゴリズムを用いてファイルを暗号化し、ファイル名に.bastaまたはランダムな拡張子を付加しました。侵害されたシステムに残された身代金要求メッセージには、被害者に対しTorサイト経由でグループに連絡するよう指示されていました。
Black Bastaが使用するTTP
Vectra AIで脅威アクターを検知する方法
Vectra AI プラットフォームで利用可能なランサムウェア攻撃を示す検知
よくある質問 (FAQ)
Blackbasta ランサムウェアとは？
Blackbastaは2022年4月に出現した巧妙なランサムウェアグループである。被害者のデータを暗号化し、身代金を支払わなければ機密情報を公開すると脅すという、二重の恐喝手口を使う。
Black Bastaは通常、どのようにしてネットワークに最初にアクセスするのですか？
BlackBastaは多くの場合、悪意のある添付ファイルやリンクを含むフィッシングメールを通じて最初のアクセスを獲得し、一般向けアプリケーションの脆弱性を悪用し、悪意のある広告やドライブバイダウンロードを利用します。
Black Bastaが最もよく標的にする業界は？
Black Bastaは、医療、製造、金融、法律、教育、政府、ITなど幅広い業界を対象としている。
Black Basta攻撃の影響を最も受けている国は？
BlackBastaの主なターゲットは米国、カナダ、英国、ドイツ、フランス、オーストラリアの組織だが、グローバルに展開している。
BlackBastaが使用する戦術、技術、手順(TTP)にはどのようなものがあるか？
Blackbastaは、フィッシング (T1566)、コマンド・スクリプト・インタプリタ(T1059)、クレデンシャル・ダンピング(T1003)、セキュリティ・ツールの無効化(T1562)、インパクトのためのデータ暗号化(T1486)など、さまざまなTTPを採用しています。
Black Bastaは侵害されたネットワーク内でどのように特権をエスカレートさせるのか？
Black Bastaは、パッチが適用されていないソフトウェアの脆弱性を悪用し、Mimikatzのようなツールを使用してメモリから認証情報を抽出することで、特権をエスカレートさせる。
Black Bastaはどのような方法で検知を逃れるのか？
Black Bastaは、難読化技術を使用し、セキュリティツールを無効にし、LotL (Living Off Land) 戦術を採用し、検出を回避するために正規のソフトウェアとツールを利用する。
Black Bastaはネットワーク内でどのようにラテラルムーブするのか？
Black Bastaは、リモート・デスクトップ・プロトコル(RDP)、Windows Management Instrumentation(WMI)、およびリモート・サービスを使用して、ネットワーク内を横方向に移動します。
Black Bastaランサムウェア攻撃の典型的な段階とは？
段階には、初期アクセス、特権の昇格、防御回避、クレデンシャルアクセス、発見、横移動、収集、実行、流出、影響が含まれる。
Blackbastaランサムウェアから身を守るために、組織はどのような予防策を講じることができるのか？
組織は、強固な電子メールフィルタリングの実装、脆弱性への迅速なパッチ適用、多要素認証の使用、従業員に対する定期的なセキュリティトレーニングの実施、異常な活動の監視、最新のバックアップの維持、脅威を迅速に特定し対応するための拡張検出およびレスポンス (XDR) システムの導入などにより、BlackBastaから保護することができます。