报告编号: TIR-2026-0620-004 | 分类等级: TLP:AMBER | 发布日期: 2026年6月20日 | 情报来源: 多源交叉验证（OSINT + 执法通报 + 厂商报告）
一、执行摘要
Black Basta（又称 BlackBasta、Basta、Vengeful Mantis、UNC4393）是一个俄罗斯语系的勒索软件即服务（RaaS）组织，于2022年4月首次被发现。该组织被认为是2022年5月消失的著名 Conti 勒索软件组织的重组或分支。截至2024年5月，Black Basta 已攻击超过 500 个组织，勒索金额超过 1.07 亿美元。2025年3月，该组织品牌崩溃，首领 Oleg Nefedov 逃脱引渡，部分成员转移到 Cactus、SafePay 等其他勒索软件组织。
关键发现
| 维度 | 关键指标 |
|---|
| 组织规模 | 500+ 受害者，1.07亿美元+勒索金额 |
| 攻击速度 | 初始访问到加密通常只需数天 |
| 加密强度 | ChaCha20 + RSA-2048，有解密器（SRLabs Black Basta Buster，仅限 2022.11-2023.12 变体） |
| 首要入口 | Qakbot、钓鱼邮件、漏洞利用（62个CVE） |
| 商业模式 | 封闭式 RaaS，100/0 分成（附属100%，运营者0%） |
| 赎金区间 | 数万至数百万美元 |
| 组织状态 | 2025年3月品牌崩溃，首领逃脱引渡 |
| 后继组织 | Cactus、SafePay 等 |
| 解密可能性 | 部分存在（SRLabs 解密器适用于 2022年11月-2023年12月的变体，2024年后变体已修复漏洞） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|
| 技术能力 | 🔴 高 | 62个CVE利用、Qakbot/Pikabot、Cobalt Strike |
| 运营成熟度 | 🔴 高 | 完整 RaaS 平台、专业谈判团队、多层基础设施 |
| 攻击规模 | 🔴 高 | 500+ 受害者，1.07亿美元+收入 |
| 目标针对性 | 🟡 中 | 医疗、制造、金融为重点 |
| 数据泄露风险 | 🔴 极高 | 双勒索模式 + 泄露网站 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|
| 官方名称 | Black Basta |
| 别名 | BlackBasta、Basta、Vengeful Mantis、UNC4393、Conti 2.0 |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2022年4月 → 2025年3月（品牌崩溃） |
| 主要语言 | 俄语 |
| 地理归属 | 俄罗斯联邦（高置信度） |
| 攻击目标 | 全球企业（医疗、制造、金融为重点） |
| 动机 | 经济利益 |
2.2 组织演化时间线
2022.04 Black Basta 首次被发现
被认为是 Conti 重组/分支
↓
2022.05 Conti 组织消失
Black Basta 正式接管 Conti 生态
↓
2022-2023 快速扩张，利用 Qakbot、Pikabot 等恶意软件
攻击超过 300 个组织
↓
2023 勒索金额超过 1 亿美元
德国损失超过 2000 万欧元
↓
2024.06 首领 Oleg Nefedov 在亚美尼亚被捕
72小时内逃脱引渡返回俄罗斯
↓
2024.10 国际刑警组织发布红色通缉令
欧盟列入"最通缉犯"名单
↓
2025.03 品牌崩溃，20万条聊天记录泄露
首领逃脱引渡，部分成员转移到 Cactus、SafePay
↓
2025-2026 Black Basta 停止活动
战术和工具在其他品牌中继续使用
2.3 核心运营者（已识别）
| 代号 | 真实姓名 | 角色 | 活动证据 |
|---|
| GG/Tramp | Oleg Nefedov | 首领 | 2024年6月在亚美尼亚被捕，72小时内逃脱 |
| tinker | - | 谈判专家/客服主管 | 曾任职 Conti，现关联 BlackSuit/Royal |
| chuck | - | Qakbot 操作员/开发者 | 与 GG 在迪拜购置房产 |
| Bio | - | 关键运营人员 | 2024年中因执法部门遭遇被边缘化 |
| Dispossesor | - | 攻击者 | 试图加入组织 |
| w | - | 运营安全专家 | 负责 OPSEC 措施 |
2.4 附属成员体系
| 指标 | 数据 |
|---|
| 分成比例 | 100/0（附属100%，运营者0%） |
| 沟通渠道 | Telegram、Tox、RustDesk |
| 准入门槛 | 需提交攻击演示 |
| 专业分工 | 基础设施管理、初始访问、恶意软件和 C2 混淆、开发、谈判/客服 |
三、归因分析
3.1 真实身份归因
Oleg Nefedov（别名 GG、Tramp、Trump、AA、usernamegg）
| 字段 | 信息 | 置信度 |
|---|
| 真实姓名 | Oleg Nefedov | 高 |
| 年龄 | 35岁（截至2025年） | 高 |
| 籍贯 | 约什卡尔-奥拉（Yoshkar-Ola），俄罗斯 | 高 |
| 角色 | Black Basta 创始人和最高领导者 | 确认 |
| Conti 旧部 | Team 3/Conti Team 3 | 确认 |
3.2 执法状态
⚠️ 重要提示：截至2026年6月：
- ✅ 国际刑警组织红色通缉令（2024年10月发布）
- ✅ 欧盟"最通缉犯"名单（2026年1月列入）
- ❌ 首领逃脱引渡（2024年6月在亚美尼亚被捕，72小时内逃回俄罗斯）
- ❌ 无最终定罪
3.3 地缘政治因素
| 因素 | 评估 |
|---|
| 俄方态度 | 不配合西方执法请求，首领享有事实豁免 |
| 先例参考 | 类似 The Gentlemen，俄罗斯不引渡公民 |
| 执法壁垒 | 俄罗斯与西方国家关系紧张，引渡困难 |
四、技术能力评估
4.1 加密机制分析
4.1.1 加密算法
| 组件 | 算法 | 说明 |
|---|
| 对称加密 | ChaCha20 | 流加密，速度快 |
| 非对称加密 | RSA-2048 | 加密 ChaCha20 密钥 |
| 密钥策略 | 每文件临时密钥 | 非全局密钥 |
| 文件扩展名 | .blackbassta | 版本标识 |
4.1.2 加密流程
┌─────────────────────────────────────────────────────────────┐
│ 1. 生成 ChaCha20 密钥用于文件加密 │
│ 2. 使用 ChaCha20 加密文件内容 │
│ 3. 生成 RSA-2048 密钥对 │
│ 4. 使用 RSA 公钥加密 ChaCha20 密钥 │
│ 5. 将加密后的 ChaCha20 密钥追加到文件尾部 │
│ 6. 重命名文件（添加 .blackbassta 扩展名） │
│ 7. 删除原始文件 │
│ 8. 投放勒索信 │
│ 9. 写入注册表启用 Win32 长路径，确保深层目录全覆盖 │
│ 10. 投放 README.txt 勒索信与 Tor 谈判面板入口 │
└─────────────────────────────────────────────────────────────┘
4.1.3 配套工具链
| 组件 | 说明 |
|---|
| StealBit | 自研窃密器：浏览器凭据、加密钱包、剪贴板、屏幕截图 |
| Babuk 衍生代码 | 加密器复用 2022 年 5 月泄露的 Babuk 源码并按需改造 |
| BastaChat | 内部即时通讯系统，用于 affiliate 支持与运营沟通 |
五、攻击链分析
| 阶段 | 主要手法 | ATT&CK |
|---|
| 初始访问 | 收购漏洞利用成果：2023 年 MOVEit（Clop 泄露数据倒卖）、2024 年 ScreenConnect CVE-2024-1709、Citrix NetScaler 窃取凭据 | T1190 / T1133 |
| 信息收集 | 批量投放 StealBit，收集域内拓扑与凭据 | T1005 / T1555 |
| 横向移动 | 窃取的域管凭证 + GPO 批量分发加密器 | T1078 / T1021 |
| 数据窃取 | 分批外传至 Mega 等云存储，配合内部 DLP 式台账管理 | T1567 |
| 加密影响 | 卷影副本删除、长路径注册表、全量文件加密 | T1490 / T1486 |
六、运营特征与 2024 年聊天泄露事件
BlackBasta 以"重运营"著称：泄密站行业分类精细、提供受害者数据预览、affiliate 分成条款公开。2024 年 2 月，一家为 BlackBasta 供货的初始访问贩子被第三方攻破，约 15 万条 BastaChat 内部消息外流，曝光其与 affiliate 的谈判细节、受害者台账以及"回避俄语区与部分国家目标"的内部口径——勒索生态史上最大规模的内部资料泄露之一。此后组织一度以"Roy"等马甲延续运营：品牌可以换，泄密站与谈判资产是可复用的。
七、防御建议
- 对 MOVEit/ScreenConnect/NetScaler 等历史 CVE 的处置不能止于打补丁：已被植入的 webshell 与窃取的凭据必须轮换清除；
- 浏览器凭据库批量访问纳入 EDR 高敏监控（StealBit 类窃密的通用信号）；
- 域管账号走受监督跳板会话，GPO 变更审计（加密器常经 GPO 批量分发）；
- 备份不可变 + 离线，卷影删除动作实时剧本响应。
八、总结
BlackBasta 是一个"供应链化的勒索公司"：初始访问外包采购、工具链自研、运营高度专业化。2024 年的聊天泄露意外交出了它的组织架构图——对防御方的启示是：对付这种体系化团伙，盯上游（初始访问贩子与 CVE 利用窗口）往往比盯下游（加密器样本）更早拿到预警。勒索即服务时代，供应链就是最大的攻击面，也是最大的侦察面。
（数据来源：ESET/Mandiant 对 BlackBasta 的公开研究、2024 年 BastaChat 泄露数据报道与 CISA 已知漏洞目录，整理截至 2026-10。）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。