BlackByte

Überblick

BlackByte ist eine Ransomware-Operation, deren Schadprogramm über einen in JavaScript geschriebenen Dropper ausgeliefert wird, der anschließend eine in .NET entwickelte Nutzlast auf dem betroffenen System ausführt. Die Gruppe verschlüsselt Daten in den Netzwerken ihrer Opfer und hinterlegt Erpressernachrichten in allen Verzeichnissen, in denen eine Verschlüsselung stattgefunden hat. Kennzeichnend ist die Weiterentwicklung des Verschlüsselungsverfahrens: Während frühe Varianten einen gemeinsamen Schlüssel nutzten, arbeiten spätere Fassungen mit opferindividuellen Schlüsseln, teils erst nach Übergabe eines Schlüssels über die Kommandozeile. Die Angriffe richten sich gegen Windows-Umgebungen ebenso wie gegen Virtualisierungsplattformen wie VMware ESXi und zielen auf Einrichtungen unterschiedlicher Branchen. Vor der Verschlüsselung werden Daten gesammelt, komprimiert und abgeflossen, sodass Betroffene zusätzlich unter Veröffentlichungsdruck geraten. Auffällig ist zudem, dass die Schadsoftware ihre Ausführung abbricht, wenn auf dem System bestimmte Spracheinstellungen des russischsprachigen Raums erkannt werden.

Taktiken & Vorgehen

Der Zugang erfolgt über gültige VPN-Zugangsdaten, übernommene oder nachgebildete Domänenadministratorkonten sowie über die Ausnutzung exponierter Anwendungen, etwa von Microsoft Exchange, wobei ASPX-Webshells als Hintertür dienen. Zur Rechteausweitung und Tarnung werden Registry-Änderungen, Token-Manipulation, Prozessinjektion in Systemprozesse wie svchost.exe und wuauclt.exe sowie Process Hollowing genutzt. Schutzsoftware wird über anfällige signierte Treiber (BYOVD) von Dell, GIGABYTE, MSI Afterburner und Zemana Anti-Rootkit sowie über PowerShell-Befehle abgeschaltet und Firewallregeln verändert. Zur Erkundung dienen PowerView, SoftPerfect NetScan, AdFind und Arp, zum Ausbau der Kontrolle Cobalt Strike, PowerShell Empire, Mimikatz und AnyDesk. Die Verbreitung läuft über RDP und SMB-Freigaben, die Steuerung über HTTP; Schattenkopien werden per WMI gelöscht, geplante Aufgaben, Dienste und Run-Keys sichern die Persistenz.

Schutzmaßnahmen

VPN- und RDP-Zugänge sollten konsequent mit Mehr-Faktor-Authentisierung abgesichert und Domänenadministratorkonten streng getrennt sowie überwacht werden. Nach außen erreichbare Anwendungen wie Microsoft Exchange und ESXi-Verwaltungsschnittstellen sollten gehärtet und auf ASPX-Webshells geprüft werden. Das Laden anfälliger signierter Treiber ist über Treiber-Sperrlisten und Application Control zu verhindern. Manipulationsschutz für Windows Defender sollte aktiviert und Abschaltversuche, Registry- und Firewalländerungen alarmiert werden. PowerShell-Ausführung ist zu protokollieren und auf base64-kodierte Befehle zu prüfen. SMB-Freigaben sollten segmentiert, neu angelegte Dienste, geplante Aufgaben, Run-Keys sowie der Einsatz von AnyDesk und Cobalt-Strike-Verkehr überwacht werden.