Mastodawn

Ransomware: математический аппарат на службе зла

Привет, Хабр! Я Илья Борисов, старший специалист отдела экспертизы MaxPatrol EDR антивирусной лаборатории Positive Technologies. В 2025 году команда аналитиков антивирусной лаборатории PT ESC провела исследование актуальных семейств ransomware (aka шифровальщиков), чтобы повысить эффективность их обнаружения нашим продуктом. Этот вид ВПО оказался одной из наиболее значимых и заметных разновидностей вредоносов, используемых в атаках в 2025 году. Мы проанализировали образцы, замеченные в период с конца 2024 года по конец 2025-го. Были разобраны как давно известные семейства шифровальщиков, такие как Black Basta, MedusaLocker и LockBit, и относительно недавно появившиеся Lynx, HellCat и BERT. В этой статье хочу поделиться результатами этого исследования. Для начала расскажу про типы шифровальщиков, на кого они нацелены, как работают, подсвечу технические детали, а также ретроспективно прослежу некоторые тенденции в эволюции ransomware.

https://habr.com/ru/companies/pt/articles/1039170/

#ransomware #шифровальщики #вредоносное_по #lockbit #blackbasta #ransom #вымогательство #выкуп #кибератаки

Ransomware: математический аппарат на службе зла

Хабр

CyberVeille.ch May 17

📢 The Gentlemen RaaS : analyse complète de la fuite du corpus Rocket.Chat (3 366 messages)
📝 ## 🔍 Contexte

Publié le 15 mai 2026 par la Ransom-ISAC Research Team, ce whitepaper technique de 120 minutes analyse le corpus Rocket...
📖 cyberveille : https://cyberveille.ch/posts/2026-05-17-the-gentlemen-raas-analyse-complete-de-la-fuite-du-corpus-rocket-chat-3-366-messages/
🌐 source : https://ransom-isac.org/blog/the-gentlemen-leak-analysis/
#Black_Basta #BlackBasta #Cyberveille

The Gentlemen RaaS : analyse complète de la fuite du corpus Rocket.Chat (3 366 messages)

🔍 Contexte Publié le 15 mai 2026 par la Ransom-ISAC Research Team, ce whitepaper technique de 120 minutes analyse le corpus Rocket.Chat du groupe The Gentlemen, un opérateur RaaS russophone actif depuis juillet/août 2025. La fuite a été initiée par un utilisateur « n345 » qui a proposé les données à la vente le 5 mai 2026 pour 10 000 USD en Bitcoin sur PwnForums, avant de les publier gratuitement le 8 mai sur CryptBB.

CyberVeille

CyberVeille.ch Apr 16

📢 Payouts King : nouveau ransomware lié à d'anciens courtiers d'accès de BlackBasta
📝 ## 🔍 Contexte

Source : Zscaler ThreatLabz, publiée le 16 avril 2026.
📖 cyberveille : https://cyberveille.ch/posts/2026-04-16-payouts-king-nouveau-ransomware-lie-a-d-anciens-courtiers-d-acces-de-blackbasta/
🌐 source : https://www.zscaler.com/blogs/security-research/payouts-king-takes-aim-ransomware-throne
#BlackBasta #IOC #Cyberveille

Payouts King : nouveau ransomware lié à d'anciens courtiers d'accès de BlackBasta

🔍 Contexte Source : Zscaler ThreatLabz, publiée le 16 avril 2026. Cette analyse technique détaille le fonctionnement du ransomware Payouts King, attribué à d’anciens initial access brokers (IAB) de BlackBasta, actif discrètement depuis environ un an. 🎯 Vecteur d’accès initial Les attaquants combinent plusieurs techniques : Spam bombing massif ciblant les victimes Phishing et vishing via Microsoft Teams, en usurpant l’identité d’un membre du support IT Instruction à la victime d’initier Quick Assist pour déployer le malware et établir un point d’ancrage réseau 🛠️ Techniques d’obfuscation et d’évasion Construction et déchiffrement de chaînes sur la pile (stack-based strings) Résolution des fonctions Windows API par hash (FNV1 avec seed unique par valeur + algorithme CRC personnalisé) Arguments de ligne de commande obfusqués via CRC checksum custom Paramètre -i obligatoire pour déclencher le chiffrement (anti-sandbox) Utilisation de syscalls directs (Zw*) pour contourner les hooks AV/EDR Renommage des fichiers via SetFileInformationByHandle (FileRenameInfo) pour éviter la détection sur MoveFile/MoveFileEx 🔐 Chiffrement des fichiers Combinaison RSA 4096 bits + AES-256 en mode CTR (bibliothèque OpenSSL liée statiquement) Support code pour ChaCha20 présent mais non utilisé dans les échantillons analysés Extension ajoutée aux fichiers chiffrés : .ZWIAAW Fichier de sauvegarde temporaire : extension .esVnyj Note de rançon : readme_locker.txt (déposée uniquement si -note est spécifié) Chiffrement partiel (13 blocs, 50%) pour les fichiers > 10 Mo (optimisation performance) ⚙️ Persistance et élévation de privilèges Tâches planifiées créées via schtasks.exe sous \Mozilla\UpdateTask et \Mozilla\ElevateTask Exécution en tant que SYSTEM Suppression de la tâche d’élévation après exécution pour effacer les traces forensiques 🧹 Anti-forensique Suppression des shadow copies : vssadmin.exe delete shadows /all /quiet Vidage de la corbeille via SHEmptyRecycleBinW Effacement des journaux d’événements Windows via EvtClearLog Terminaison de 131 processus AV/EDR identifiés par checksum 📡 Infrastructure Contact via TOX Site de fuite de données accessible via Tor Vol massif de données avant déploiement du ransomware (double extorsion) 📄 Type d’article Analyse technique approfondie publiée par ThreatLabz (Zscaler), visant à documenter les capacités techniques de Payouts King et à fournir des éléments d’attribution et de détection.

CyberVeille

ransomNews Feb 9

⚠️ Black Basta resurfaces with refined ransomware tactics Black Basta ransomware has re-emerged with updated tooling, tighter victim targeting, and improved lateral movement techniques, signaling an operational revival after months of reduced activity. #ransomNews #BlackBasta #ransomware

Marcel SIneM(S)US Jan 25

Internationale Fahndung nach Kopf von #BlackBasta - inside-it.ch https://www.inside-it.ch/internationale-fahndung-nach-kopf-von-black-basta-20260116 #Ransomware #Malware #CyberCrime

Internationale Fahndung nach Kopf von Black Basta

Mehrere europäische Strafverfolgungsbehörden kooperieren, um den Kopf der Ransomware-Bande "Black Basta" festzunehmen.

TechNadu Jan 19

German police have identified the alleged ringleader of Black Basta ransomware, placing him on the EU most-wanted list with an INTERPOL Red Notice.

Black Basta is linked to ~700 global attacks since 2022.

https://www.technadu.com/german-authorities-identify-black-basta-ringleader-now-added-to-eu-most-wanted-and-interpol-red-notice-lists/618533/

Does naming leadership actually disrupt RaaS operations long-term?

#InfoSec #Ransomware #BlackBasta #CyberCrime

Tommy Kavanagh Jan 16

#cyber #cyberSecurity #conti #blackBasta

https://infosec.exchange/@BleepingComputer/115906316667250247
[email protected] - The identity of the Black Basta ransomware gang leader has been confirmed by law enforcement in Ukraine and Germany, and the individual has been added to the wanted list of Europol and Interpol.

https://www.bleepingcomputer.com/news/security/black-basta-boss-makes-it-onto-interpols-red-notice-list/

BleepingComputer (@[email protected])

The identity of the Black Basta ransomware gang leader has been confirmed by law enforcement in Ukraine and Germany, and the individual has been added to the wanted list of Europol and Interpol. https://www.bleepingcomputer.com/news/security/black-basta-boss-makes-it-onto-interpols-red-notice-list/

Infosec Exchange

chirp Oct 22, 2025

Group 78 #europe #europol #eurojust #usa #fbi #intel #blackbasta [ https://www.lemagit.fr/tribune/Enquete-Tramp-Black-Basta-la-source-qui-en-savait-trop ] [ https://www.lemonde.fr/en/pixels/article/2025/10/16/revelations-on-group-78-the-secret-us-task-force-that-fights-cybercriminals_6746474_13.html ] [ https://www.zeit.de/digital/2025-10/ransomware-blackbasta-fbi-bka ]

Enquête Tramp/Black Basta : la source qui en savait trop | LeMagIT

Selon Le Monde et Die Zeit, un mystérieux « Group 78 » aurait organisé des fuites d’information sur le groupe de rançongiciel Black Basta, visant notamment à les déstabiliser. Ai-je compté parmi leurs destinataires ?

LeMagIT

CyberVeille.ch Oct 19, 2025

📢 ICO inflige 14 M£ à Capita après l’attaque BlackBasta: 6+ M de dossiers compromis
📝 Selon le blog BushidoToken (référence fournie), l’ICO a sanctionné Capita d’une amende de 14 M£ à la suite d’une attaque BlackBasta...
📖 cyberveille : https://cyberveille.ch/posts/2025-10-19-ico-inflige-14-mps-a-capita-apres-lattaque-blackbasta-6-m-de-dossiers-compromis/
🌐 source : https://blog.bushidotoken.net/2025/10/lessons-from-blackbasta-ransomware.html
#BlackBasta #Capita #Cyberveille

ICO inflige 14 M£ à Capita après l’attaque BlackBasta: 6+ M de dossiers compromis

Selon le blog BushidoToken (référence fournie), l’ICO a sanctionné Capita d’une amende de 14 M£ à la suite d’une attaque BlackBasta en mars 2023 ayant compromis plus de 6 millions d’enregistrements, pour un coût de remédiation pouvant atteindre 20 M£. L’analyse met en lumière des failles systémiques (alertes manquées pendant 58 heures, SOC sous-doté, segmentation AD insuffisante, recommandations de tests d’intrusion non mises en œuvre) et en tire des enseignements concrets pour les équipes sécurité.

CyberVeille

gaby_wald Oct 16, 2025

Des nouvelles de la lutte contre le #CyberCrime par le #FBI : "Révélations sur le « Group 78 », une unité secrète américaine chargée de la lutte contre les cybercriminels" #Group78 #CyberSécurité #BlackBasta ...

https://www.lemonde.fr/pixels/article/2025/10/16/revelations-sur-le-group-78-une-unite-secrete-americaine-chargee-de-la-lutte-contre-les-cybercriminels_6647096_4408996.html

Révélations sur le « Group 78 », une unité secrète américaine chargée de la lutte contre les cybercriminels

En novembre 2024, la présentation de cette task force par le FBI à des policiers et des magistrats européens a choqué certains enquêteurs. Ils craignent notamment pour l’intégrité de leurs investigations.

Le Monde