BlackByte
Un grupo de ransomware que entra por servidores expuestos, como Exchange, y que el FBI señaló por atacar infraestructura crítica en Estados Unidos.
Quién es
BlackByte opera ransomware al menos desde 2021, con varias versiones del mismo nombre. Las primeras usaban una llave de cifrado común, lo que permitió publicar un descifrador universal. Versiones posteriores, como BlackByte 2.0, cifran con mecanismos más robustos. MITRE lo sigue como G1043, también llamado Hecamede.
Cómo entra
Explotando aplicaciones expuestas a internet. El FBI y el Servicio Secreto de Estados Unidos documentaron que aprovechaba servidores Microsoft Exchange sin parchar.
Qué hace una vez dentro
Usa Cobalt Strike para controlar los equipos, AdFind para mapear el directorio activo, Mimikatz para robar credenciales y PsExec para moverse. Saca la información con su herramienta Exbyte, debilita las defensas y al final cifra los equipos para extorsionar.
A quién ataca
Organizaciones de muchos sectores, sobre todo en Norteamérica, incluida la infraestructura crítica. En nuestra base tiene una víctima publicada en México.
En México
1 víctima publicada en su sitio de filtraciones entre el 26-oct-2022 y el 26-oct-2022.
Cifra en agregado: no publicamos nombres de víctimas. Que una organización aparezca en un sitio de filtraciones es lo que dice el grupo, no una confirmación.
Técnicas de MITRE ATT&CK
Acceso inicial 1
- T1190Exploit Public-Facing Application
Ejecución 5
Persistencia 4
Escalada de privilegios 1
- T1068Exploitation for Privilege Escalation
Sigilo 9
Debilitamiento de defensas 3
Acceso a credenciales 1
- T1003OS Credential Dumping
Descubrimiento 10
- T1012Query Registry
- T1016System Network Configuration Discovery
- T1018Remote System Discovery
- T1046Network Service Discovery
- T1082System Information Discovery
- T1087.002Domain Account
- T1135Network Share Discovery
- T1482Domain Trust Discovery
- T1518.001Security Software Discovery
- T1614.001System Language Discovery
Movimiento lateral 3
Recolección 1
- T1560Archive Collected Data
Fuente: MITRE ATT&CK v20, grupo G1043.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
Fuentes
- MITRE ATT&CK v20, grupo G1043
- FBI y Servicio Secreto de EE. UU., aviso conjunto sobre BlackByte (2022)
- Base de Inteligencia de Amenazas QMA: víctimas publicadas en México
