Black Basta Ransomware

Black Basta Ransomware: What You Need to Know | Qualys Security Blog

• 개요

  • Black Basta는 2022년 4월에 처음 등장한 랜섬웨어-as-a-service (RaaS) 그룹
  • 이중 갈취 기법을 사용하여 데이터 복구를 위한 복호화 비용과 데이터 유출 방지 비용을 동시에 요구
  • 500개 이상의 조직이 피해를 입었으며, 주로 북미, 유럽, 호주에서 발생
  • FIN7과 관련된 엔드포인트 탐지 회피 모듈을 사용한 것으로 알려짐

• 주요 공격 도구 및 취약점

  • 사용 도구
    • Qakbot, Cobalt Strike, PowerShell, Mimikatz 등 다양한 도구와 멀웨어를 사용
  • 악용된 취약점
    • CVE-2024-1709 (ConnectWise)
    • CVE-2024-26169 (Windows Error Reporting Service)
    • CVE-2020-1472 (ZeroLogon)
    • CVE-2021-42278 및 CVE-2021-42287 (NoPac)
    • CVE-2021-34527 (PrintNightmare)

• 공격 기법 및 절차

  • 스피어 피싱을 통해 초기 감염
  • 감염 후 Qakbot을 사용해 원격 제어와 추가 악성코드 배포
  • Mimikatz로 관리자 자격 증명을 탈취하고, Cobalt Strike로 네트워크 횡적 이동
  • 데이터 탈취 후 Rclone과 WinSCP를 사용해 데이터를 클라우드로 전송
  • ChaCha20 알고리즘으로 파일 암호화 후, 공개 키(RSA-4096) 로 암호화된 키를 보호

• 탐지 및 대응 방법

  • EDR을 통해 vssadmin 사용 및 파일 삭제, 시스템 재부팅 등 행위를 탐지
  • 추적 쿼리를 사용해 비정상적인 프로세스 및 파일 변조, 네트워크 연결 등을 탐지

• MITRE ATT&CK 매핑

  • 초기 접근: 피싱, 공개 애플리케이션 악용 (T1566, T1190)
  • 권한 상승: 권한 상승 취약점 악용 (T1068)
  • 방어 회피: 안전 모드 부팅, 툴 비활성화 (T1562.009, T1562.001)
  • 데이터 암호화: 시스템 복구 방해 및 데이터 암호화 (T1490, T1486)

• 대응 방안

  • 강력한 패스워드 및 다중 인증 사용
  • EDR 도구 설치로 실시간 감시 및 방어 강화
  • 데이터 백업 및 복원 계획 수립을 통해 랜섬웨어 공격에 대비