Un hacker anonimo ha divulgato presunti log interni delle chat Matrix del gruppo ransomware Black Basta. L'archivio è stato caricato su un canale Telegram dedicato da ExploitWhispers, lo stesso individuo che in precedenza aveva caricato i messaggi rubati sulla piattaforma MEGA.
La fuga di notizie potrebbe essere collegata ai presunti attacchi del gruppo contro banche russe, secondo l'azienda di intelligence sulle minacce informatiche PRODAFT. "Abbiamo osservato che BLACKBASTA è stato per lo più inattivo dall'inizio dell'anno a causa di conflitti interni. Alcuni dei suoi operatori hanno truffato le vittime riscuotendo riscatti senza fornire decrittatori funzionanti", ha dichiarato PRODAFT.
L'archivio trapelato contiene messaggi scambiati nelle chat interne di Black Basta tra il 18 settembre 2023 e il 28 settembre 2024. L'analisi di BleepingComputer rivela una vasta gamma di informazioni, tra cui:
- Modelli di phishing ed email per inviarli
- Indirizzi di criptovalute
- Credenziali delle vittime
- Conferma di tattiche precedentemente segnalate
Le chat trapelate contengono anche 367 link unici a ZoomInfo. ExploitWhispers ha condiviso informazioni su alcuni membri del gruppo Black Basta, tra cui Lapa (uno degli amministratori), Cortes (un attore di minacce legato al gruppo Qakbot), YY (l'amministratore principale) e Trump (alias GG e AA), che si ritiene sia Oleg Nefedovaka, il capo del gruppo.
Chi è Black Basta?
Black Basta è un'operazione di Ransomware-as-a-Service (RaaS) emersa nell'aprile 2022. Ha colpito numerose vittime di alto profilo in tutto il mondo, tra cui:
- Rheinmetall (appaltatore della difesa tedesco)
- Divisione europea di Hyundai
- BT Group (ex British Telecom)
- Ascension (gigante sanitario statunitense)
- ABB (appaltatore governativo)
- American Dental Association
- Capita (azienda di outsourcing tecnologico del Regno Unito)
- Biblioteca pubblica di Toronto
- Yellow Pages Canada
Secondo un rapporto congiunto di CISA e FBI, gli affiliati di Black Basta hanno violato oltre 500 organizzazioni tra aprile 2022 e maggio 2024. Una ricerca congiunta di Corvus Insurance ed Elliptic stima che il gruppo abbia raccolto circa 100 milioni di dollari in pagamenti di riscatto da oltre 90 vittime fino a novembre 2023.
Questo leak ricorda quello avvenuto nel febbraio 2022, quando un ricercatore di sicurezza ucraino divulgò oltre 170.000 conversazioni chat interne e il codice sorgente del crittografo ransomware Conti, dopo che il famoso sindacato criminale informatico russo Conti si era schierato con la Russia in seguito all'invasione dell'Ucraina.