Black Basta

Black Basta entstand im April 2022 nach der Auflösung der berüchtigten Conti-Gruppe und übernahm deren Expertise und Netzwerke. Innerhalb von zwei Jahren kompromittierte Black Basta über 500 Organisationen weltweit und erpresste mehr als 100 Millionen USD. Die Gruppe ist für ihre professionelle Organisation und schnelle Angriffsausführung bekannt.

Conti-Erbe und Organisation

Black Basta wird mit ehemaligen Mitgliedern der Conti-Ransomware-Gruppe in Verbindung gebracht, die sich nach dem Ukraine-Krieg und internen Leaks auflöste. Die Gruppe übernahm Contis professionelle Organisationsstruktur: spezialisierte Teams für Initial Access, Lateral Movement, Datenexfiltration und Verhandlung. Chat-Logs, die Anfang 2024 geleakt wurden, bestätigten die hierarchische Struktur und russische Verbindungen.

QakBot und Social Engineering

Black Basta nutzte zunächst den QakBot-Trojaner als primären Einstiegsvektor, bevor dieser im August 2023 durch das FBI zerschlagen wurde. Danach wechselte die Gruppe zu Phishing-Kampagnen, die Microsoft Teams-Nachrichten und gefälschte IT-Support-Anrufe nutzen. Mitarbeiter werden dabei dazu gebracht, Remote-Access-Tools wie AnyDesk oder Quick Assist zu installieren.

Verschlüsselung und Exfiltration

Black Basta nutzt ChaCha20 für die Dateiverschlüsselung und RSA-4096 für den Schlüsselaustausch. Vor der Verschlüsselung werden große Datenmengen exfiltriert — typischerweise über Rclone an Cloud-Speicher. Die Gruppe betreibt eine Leak-Site im Dark Web und veröffentlicht gestohlene Daten gestaffelt, um den Druck aufrechtzuerhalten.