Black Basta

2022.04    Black Basta 首次被发现
           被认为是 Conti 重组/分支
    ↓
2022.05    Conti 组织消失
           Black Basta 正式接管 Conti 生态
    ↓
2022-2023  快速扩张，利用 Qakbot、Pikabot 等恶意软件
           攻击超过 300 个组织
    ↓
2023       勒索金额超过 1 亿美元
           德国损失超过 2000 万欧元
    ↓
2024.06    首领 Oleg Nefedov 在亚美尼亚被捕
           72小时内逃脱引渡返回俄罗斯
    ↓
2024.10    国际刑警组织发布红色通缉令
           欧盟列入"最通缉犯"名单
    ↓
2025.03    品牌崩溃，20万条聊天记录泄露
           首领逃脱引渡，部分成员转移到 Cactus、SafePay
    ↓
2025-2026  Black Basta 停止活动
           战术和工具在其他品牌中继续使用

┌─────────────────────────────────────────────────────────────┐
│  1. 生成 ChaCha20 密钥用于文件加密                          │
│  2. 使用 ChaCha20 加密文件内容                              │
│  3. 生成 RSA-2048 密钥对                                    │
│  4. 使用 RSA 公钥加密 ChaCha20 密钥                         │
│  5. 将加密后的 ChaCha20 密钥追加到文件尾部                  │
│  6. 重命名文件（添加 .blackbassta 扩展名）                  │
│  7. 删除原始文件                                            │
│  8. 投放勒索信                                              │
│  9. 上传密钥至 C2 服务器                                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最常见）: Qakbot 恶意软件                      │
│  ──────────────────────────                                 │
│  1. 发送带恶意链接的压缩包邮件                              │
│  2. 邮件包含文件解压密码以增加可信度                        │
│  3. 用户解压并执行 .lnk 快捷方式                            │
│  4. 使用 curl.exe 和 wscript.exe 下载 JavaScript 载荷       │
│  5. 部署 Qakbot 僵尸网络                                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 钓鱼邮件                                        │
│  ──────────────────                                         │
│  1. 发送伪装 legitimate 的钓鱼邮件                          │
│  2. 诱导用户执行恶意附件                                    │
│  3. 部署 Pikabot 或其他初始访问代理                         │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 漏洞利用                                        │
│  ──────────────────                                         │
│  1. 利用 62 个已知 CVE 漏洞                                 │
│  2. 重点利用 Apache Log4j、FortiGate、MOVEit 等             │
│  3. 获取初始访问权限                                        │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── AD 枚举（域控、用户、组）
├── 网络拓扑发现
├── 备份系统定位
├── NAS/存储阵列发现
└── 关键服务器定位

权限提升
├── Mimikatz 凭证窃取
├── NTLM Relay 攻击
├── DCSync（如已获取域管权限）
└── Kerberoasting

防御规避
├── BYOVD 禁用安全软件
├── 清除事件日志（Security、System、Application）
├── 删除 Prefetch、RDP 日志
└── 终止 EDR、备份、虚拟化进程

数据窃取
├── 外传至 C2 服务器
├── 数百 GB 至 TB 级数据
└── 优先: 人事数据、财务数据、客户数据、IP

加密部署
├── 横向移动：RDP、SMB、WinRM
├── 批量扫描共享文件夹
└── 部署加密载荷

加密执行
├── 终止目标进程（数据库、备份、虚拟化、EDR）
├── 删除影子副本
├── 加密文件（ChaCha20 + RSA-2048）
├── 重命名文件（添加 .blackbassta 扩展名）
├── 投放勒索信
└── 上传密钥至 C2 服务器

医疗健康        ████████████████████████████████████████ 高优先级
制造业          ████████████████████████████████           高优先级
金融服务        ████████████████████████████               高优先级
教育            ██████████████████████████                 高优先级
政府            █████████████████████████                  高优先级
零售            ████████████████████                       中优先级
科技            ████████████████████                       中优先级
能源            ██████████████████                         中优先级
其他            ████████████████████████████████████████   广泛

高概率受害特征:
├── 使用 Apache Log4j、FortiGate、MOVEit 等未修补漏洞的设备
├── 公网暴露 RDP/VPN 端口
├── 弱口令或凭证泄露（Qakbot/Pikabot）
├── 无 MFA 或 MFA 配置不当
├── 依赖 Active Directory 且未加固
├── 无 EDR 或 EDR 配置不当
├── 医疗、制造、金融等行业
├── 北美、欧洲地区企业
└── 中小企业至大型企业全覆盖

2025.03    品牌崩溃
           20万条聊天记录泄露
           内部运作完全暴露
    ↓
2025.04    首领 Oleg Nefedov 在亚美尼亚被捕
           等待法院裁决期间逃跑返回俄罗斯（约72小时）
           称有"高层官员"帮助逃脱
    ↓
2025.05    部分成员转移到 Cactus、SafePay 等其他勒索软件组织
           战术和工具在其他品牌中继续使用
    ↓
2025-2026  Black Basta 停止活动
           但影响力仍在，工具和战术被其他组织继承

基础设施策略:
├── Tor 隐藏服务（DLS）
├── Telegram Bot API（谈判）
├── RustDesk（远程管理）
├── Qakbot/Pikabot（初始访问）
├── Cobalt Strike（高级攻击）
└── 定期迁移基础设施

title: Black Basta Ransomware - Shadow Copy Deletion
id: black-basta-shadow-copy-deletion
status: experimental
description: 检测 Black Basta 勒索软件删除影子副本的行为
author: Threat Intelligence Team
date: 2026/06/20
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'vssadmin'
            - 'delete'
            - 'shadows'
    condition: selection
level: critical

title: Black Basta Ransomware - Qakbot Deployment
id: black-basta-qakbot-deployment
status: experimental
description: 检测 Qakbot 恶意软件部署行为
author: Threat Intelligence Team
date: 2026/06/20
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        ParentImage|endswith: '\cmd.exe'
        CommandLine|contains: 'curl.exe'
    condition: selection
level: high

rule Black_Basta_Ransomware {
    meta:
        description = "Detects Black Basta ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-20"
    
    strings:
        $blackbassta = ".blackbassta" ascii
        $decrypt = "HOW_TO_DECRYPT.txt" ascii
        $qakbot = "Qakbot" ascii
        $vssadmin = "vssadmin delete shadows" ascii
        
    condition:
        any of them
}

# 1. 检查 Qakbot 感染迹象
# 查找异常的 .lnk 快捷方式
# 检查 curl.exe、wscript.exe 异常调用

# 2. 检查 Pikabot 感染迹象
# 查找异常的 PowerShell 调用
# 检查注册表启动项

# 3. 全量密码轮换
# 特别是域管理员和密码

# 4. 部署 EDR 规则
# 检测 Qakbot/Pikabot 行为特征

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查异常进程
Get-Process | Where-Object {$_.CompanyName -eq ""} | Select-Object Name, Id, Path

# 3. 检查卷影副本是否被删除
vssadmin list shadows

# 4. 检查新增服务
Get-Service | Where-Object {$_.StartType -eq "Automatic"} | Select-Object DisplayName, Status

# 5. 检查异常网络连接
netstat -ano | findstr "ESTABLISHED"

# 6. 检查勒索信文件
Get-ChildItem -Recurse -Filter "HOW_TO_DECRYPT.txt" -ErrorAction SilentlyContinue

# 7. 收集取证数据