Ransomware BlackCat/ALPHV: RaaS i potrójne wymuszenie

Czym jest to zagrożenie?

BlackCat (znany też jako ALPHV) pojawił się pod koniec 2021 roku jako jedna z najbardziej zaawansowanych technicznie operacji ransomware w historii. Był to pierwszy duży ransomware napisany w języku Rust, co czyniło go łatwym do dostosowania, trudniejszym do wykrycia i zdolnym do jednoczesnych ataków na serwery Windows, Linux i VMware ESXi.

BlackCat działał w modelu RaaS (ransomware jako usługa), a afilianci zatrzymywali 80–90% okupów — znacznie więcej niż u konkurencji, co przyciągało najbardziej uzdolnionych przestępczych hakerów. Grupa wprowadziła potrójne wymuszenie: szyfrowanie plików, kradzież danych z groźbą ich publikacji oraz ataki DDoS na ofiary lub bezpośredni kontakt z ich klientami.

Najważniejsze ataki

MGM Resorts International — wrzesień 2023:

Afiliant BlackCat o nazwie Scattered Spider (grupa anglojęzycznych młodych dorosłych z USA i Wielkiej Brytanii) uzyskał dostęp do systemów MGM dzięki jednej 10-minutowej rozmowie telefonicznej z helpdeskiem IT, wyłudzając socjotechniką reset hasła. Następnie uruchomił ransomware BlackCat.

Sale kasyn MGM w Las Vegas zgasły: automaty przestały działać, karty do pokoi hotelowych nie otwierały drzwi, cyfrowe zameldowanie przestało działać.

Zakłócenia trwały ponad 10 dni.

MGM odmówiło zapłaty; łączne szacowane straty: ponad 100 mln USD.

Prezes MGM zeznał później, że włamanie trwało miesiącami i dotyczyło danych osobowych milionów klientów.

Caesars Entertainment — wrzesień 2023:

Zaatakowane przez tego samego afilianta Scattered Spider kilka dni przed MGM. Caesars po cichu zapłaciło około 15 mln USD (połowę żądanych 30 mln USD), aby uniknąć zakłóceń. Atak ujawniono tylko dlatego, że wymagały tego przepisy amerykańskiej SEC.

Change Healthcare — luty 2024:

Najbardziej szkodliwy cyberatak na służbę zdrowia w historii USA. Change Healthcare (spółka zależna UnitedHealth Group) przetwarza co trzecie roszczenie medyczne w USA. Afiliant BlackCat włamał się do systemów za pomocą skradzionych danych logowania do portalu Citrix bez MFA.

Rozliczenia płatności w amerykańskiej służbie zdrowia były zakłócone przez tygodnie — apteki nie mogły realizować recept, a szpitale nie otrzymywały zapłaty.

Skradziono dane medyczne 100 milionów Amerykanów — to największy wyciek danych medycznych w historii USA.

UnitedHealth zapłaciło 22 mln USD okupu w bitcoinach.

Następnie BlackCat oszukał własnego afilianta (tzw. exit scam) — główni twórcy zabrali 22 mln USD i zniknęli, nie wypłacając afiliantowi jego 80% udziału, co de facto zakończyło operację.

Łączne szacowane straty UnitedHealth z powodu ataku: 870 mln USD.

Akcja FBI — grudzień 2023:

FBI zakłóciło infrastrukturę BlackCat, przejmując serwery i udostępniając narzędzia deszyfrujące ponad 500 ofiarom na całym świecie. BlackCat na krótko wznowił jednak działalność przed atakiem na Change Healthcare, a po exit scamie w marcu 2024 roku upadł.

Co wyróżniało BlackCat

Kod w Ruście: łatwo go przekompilować, aby ominąć sygnatury antywirusów i atakować różne systemy operacyjne.

Portal dla afiliantów: dopracowany panel internetowy, w którym przestępcy zarządzali ofiarami, śledzili płatności i konfigurowali wersje ransomware.

Afiliant Scattered Spider: pokazał, że socjotechnika (a nie tylko hakowanie) jest najskuteczniejszą drogą wejścia — jeden telefon pokonał całe zabezpieczenia techniczne MGM.

Exit scam: nawet organizacje przestępcze zdradzają się nawzajem; oszustwo na 22 mln USD zachwiało ekosystemem RaaS.

Sygnały ostrzegawcze dla organizacji

Nietypowe prośby do helpdesku o reset hasła, zwłaszcza dla administratorów IT lub kont uprzywilejowanych.

Podejrzane logowania do Citrix, VPN lub pulpitu zdalnego z nietypowych lokalizacji.

Masowa zmiana nazw plików lub pojawianie się zaszyfrowanych rozszerzeń w udziałach sieciowych.

Żądania okupu pojawiające się na serwerach z poleceniem kontaktu przez przeglądarkę Tor.