Geng Ransomware Black Basta Gunakan Malware Qakbot Untuk Menyusup Ke Jaringan Perusahaan AS
illustrasi
Cyberthreat.id – Peneliti keamanan dari Cybereason Joakim Kandefelt dan Danielle Frankel, mengungkapkan bahwa geng ransomware Black Basta menggunakan malware QakBot untuk menginfeksi sejumlah perusahaan di Amerika Serikat.
Black Basta, yang muncul pada April 2022, mengikuti pendekatan pemerasan ganda yang telah dicoba dan diuji untuk mencuri data sensitif dari perusahaan yang ditargetkan dan menggunakannya sebagai pengaruh untuk memeras pembayaran cryptocurrency dengan mengancam akan melepaskan informasi yang dicuri.
“Dalam kampanye terbaru ini, geng ransomware Black Basta menggunakan malware QakBot untuk membuat titik masuk awal dan bergerak secara lateral dalam jaringan organisasi,” kata para peneliti dalam laporan resminya, sesuai yang dikutip dari The Hacker news.
Seperti diketahui, ini bukan pertama kalinya kru ransomware diamati menggunakan Qakbot. Bulan lalu, Trend Micro mengungkapkan serangan serupa yang mensyaratkan penggunaan Qakbot untuk menghadirkan kerangka kerja Brute Ratel C4, yang, pada gilirannya, dimanfaatkan untuk menjatuhkan Cobalt Strike.
Aktivitas intrusi yang diamati oleh peneliti Cybereason memotong Brute Ratel C4 dari persamaan, alih-alih menggunakan Qakbot untuk mendistribusikan Cobalt Strike secara langsung ke beberapa mesin di lingkungan yang terinfeksi.
Rantai serangan dimulai dengan email spear-phishing yang memuat file gambar disk berbahaya yang, ketika dibuka, memulai eksekusi Qbot, yang, pada bagiannya, terhubung ke server jarak jauh untuk mengambil muatan Cobalt Strike. Pada tahap ini, kegiatan pemanenan kredensial dan pergerakan lateral dilakukan untuk menempatkan kerangka kerja tim merah di beberapa server, sebelum menembus sebanyak mungkin titik akhir menggunakan kata sandi yang dikumpulkan dan meluncurkan ransomware Black Basta.
"Aktor ancaman memperoleh hak istimewa administrator domain dalam waktu kurang dari dua jam dan pindah ke penyebaran ransomware dalam waktu kurang dari 12 jam," kata para peneliti.
Bahkan, lebih dari 10 pelanggan yang berbeda terkena dampak serangan baru dalam dua minggu terakhir. Dalam dua kasus yang ditemukan oleh perusahaan keamanan siber Israel, penyusupan tidak hanya menyebarkan ransomware tetapi juga mengunci korban dari jaringan mereka dengan menonaktifkan layanan DNS dalam upaya untuk membuat pemulihan menjadi lebih menantang.
Black Basta tetap menjadi pelaku ransomware yang sangat aktif. Menurut data yang dikumpulkan Malwarebytes, Black Basta berhasil menargetkan 25 perusahaan pada Oktober 2022 saja, menempatkannya di belakang LockBit, Karakurt, dan BlackCat.
