BlackMatter Ransomware stellt angeblich den Betrieb aufgrund von Durchsetzungsdruck ein

Die BlackMatter Ransomware-Bande stellt Berichten zufolge alle ihre Operationen aufgrund des zunehmenden Drucks der örtlichen Vollzugsbehörden ein.

Viele Ransomware-Gruppen tauchten auf und gingen im Laufe des Jahres 2021 in den Untergrund, darunter die berüchtigte DarkSide-Ransomware-Gruppe. Die Gruppe wurde von den Behörden streng untersucht, nachdem sie die US-Pipelines angegriffen hatte .

Die REvil-Ransomware-Gang ging ebenfalls in den Untergrund, nachdem sie mehrere US-IT-Organisationen angegriffen hatte. Danach entstanden zwei Ransomware-Gruppen, BlackMatter (ein angebliches Rebranding von DarkSide) und Haron, um sich den Ransomware-as-a-Service (RaaS)-Wahn zunutze zu machen.

BlackMatter gibt seine Schließung bekannt

Die Ransomware-Bande erklärte ihren Plan, alle ihre Operationen auf dem Portal von Ransomware as a Service (RaaS) einzustellen, das normalerweise von mehreren cyberkriminellen Gruppen verwendet wird, um sich für den Zugriff auf den Ransomware-Stamm BlackMatter zu registrieren.

Die Nachricht wurde von einem der Mitglieder der vx-Underground-Infosec-Gruppe erhalten, der übersetzte:

„Aufgrund gewisser unlösbarer Umstände, verbunden mit behördlichem Druck (ein Teil des Teams steht nach den neuesten Nachrichten nicht mehr zur Verfügung) — Projekt geschlossen.”

„Nach 48 Stunden wird die gesamte Infrastruktur abgeschaltet, was es ermöglicht – E-Mails an Unternehmen zur weiteren Kommunikation zu senden; Decryptor zu erhalten. Schreiben Sie dazu, wo nötig, ‘Geben Sie einen Entschlüsseler' in den Firmenchat. Wir wünschen Ihnen viel Erfolg, wir haben gerne gearbeitet.”

Erklärung von BlackMatter auf Russisch und Englisch

Die Cybersicherheitsvereinigung steht der Schließung von BlackMatter recht skeptisch gegenüber. Carl Wearn, der E-Crime-Chef von Mimecast, glaubt, dass es für den Bedrohungsakteur ziemlich unmöglich ist, alle böswilligen Aktivitäten einzustellen.

Wearen sagte:

„Es ist höchst unwahrscheinlich, dass dies das Ende der Bedrohungsakteure hinter der BlackMatter-Gruppe ist, und dies sieht nach einem klassischen Rebranding oder einer Zersplitterung aus … Viele kriminelle Organisationen behaupten, geschlossen zu werden, um die Hitze zu verringern, nur um zu zersplittern oder danach zurückzukehren eine kurze Pause unter anderem Namen”,

Steve Forbes, der Cybersicherheitsexperte der Nominet-Regierung, erklärte, dass erfolgreiche cyberkriminelle Banden wie BlackMatter sich nicht lange von cyberkriminellen Aktivitäten fernhalten können und nach kurzer Zeit zurückkehren könnten.

Er definierte:

„Jede erfolgreiche kriminelle Gruppe wie BlackMatter verfügt über beträchtliche Mittel und Ressourcen, die es ihr ermöglichen, sich neu zu erfinden. Wenn die Kriminellen das Gefühl haben, dass ein Teil ihres Betriebs gefährdet ist oder dass die Strafverfolgungsbehörden sich nähern, werden sie sich natürlich so schnell wie möglich von ihren bestehenden Aktivitäten und ihrer Infrastruktur distanzieren wollen, aber angesichts der lukrativen Aktivität von RaaS werden wir sie wahrscheinlich sehen in naher Zukunft wieder auftauchen.”

Frühere Angriffe von BlackMatter

Laut der Cybersecurity and Infrastructure Security Agency wurde BlackMatter erstmals im Juli als RaaS-Gruppe wahrgenommen, die Cybercrime-Partnern, die dann Cybercrime-Angriffe gegen Unternehmen durchführen, Bestimmungen anbietet.

Mit einem möglichen Rebranding der DarkSide-Gruppe ist bekannt, dass BlackMatter verschiedene Organisationen in den USA ins Visier nimmt und Lösegeld zwischen 80.000 und 15 Millionen US-Dollar fordert. BlackMatter hat in diesem Jahr mehrere US-Unternehmen angegriffen, darunter das in Iowa ansässige Getreideunternehmen, und forderte Ransomware in Höhe von 5,9 Millionen US-Dollar.

Es ist jedoch üblich, dass Ransomware-Gruppen aufgrund anderer Probleme als des Drucks der Behörden geschlossen werden, wie z. B. Beziehungsprobleme mit verbundenen Unternehmen oder technische Probleme.

Laut dem CTO und Mitbegründer von BreachQuest sagte Jake Williams:

„Zum jetzigen Zeitpunkt ist nicht klar, ob Mitglieder der Kerngruppe ‚nicht verfügbar' sind, weil sie sich in Haft befinden oder einfach entschieden haben, dass der Einsatz zu hoch ist, um den Betrieb fortzusetzen.”

„Aber die Notiz erwähnt ausdrücklich den Druck der örtlichen Strafverfolgungsbehörden, und das ist ein Zeichen dafür, dass Säbelrasseln zu helfen scheint.”

Bildnachweis: Hackread.com (Ein Bild von der Website von BlackMatter)

Williams enthüllte auch ein Problem in der Ransomware von BlackMatter, das seine Partner und Betreiber letzten Monat einige Millionen kostete. Daher wäre es kein großer Druck gewesen, BlackMatter zu schließen, da die Gruppe ihre Beziehung zu den Tochtergesellschaften bereits beschädigt hatte.

Laut einer in Neuseeland ansässigen Cybersicherheitsfirma, Emsisoft, hat sie verhindert, dass „zig Millionen Dollar” an Ransomware die BlackMatter-Bande erreichen. Nachdem ein erheblicher Fehler in der Gruppe aufgedeckt wurde, half Emsisoft den Opfern der Bande , ihre verschlüsselten Dateien wiederherzustellen, ohne Lösegeld zu zahlen.

Ein Bedrohungsanalyst von Emsisoft, Brett Callow, erwähnte, dass er ihre Entschlüsselungskampagne als das Ende von BlackMatter betrachtet, aber er ist sich nicht mehr sicher.

Laut Callow:

„Es ist unmöglich zu sagen, ob dies ein dauerhafter Ausstieg oder nur ein weiteres Rebranding sein wird”,

„Hoffen wir, dass es ersteres ist.”

Laut Xue Yin Peh, einem leitenden Cyber-Threat-Intelligence-Analysten von Digital Shadows:

„Obwohl die Ankündigung von BlackMatter auf eine Einstellung des Betriebs hindeuten würde, gibt es angesichts früherer Ereignisse einige Möglichkeiten für die Zukunft von BlackMatter.”

„1) Mitglieder oder verbundene Unternehmen halten sich für eine gewisse Zeit bedeckt und bleiben inaktiv, während sie eine Pause von Ransomware-Aktivitäten machen; 2) Mitglieder oder verbundene Unternehmen werden in die Ransomware-as-a-Service-Programme anderer Gruppen aufgenommen; 3) BlackMatter wird in ein neues Programm unter einem anderen Namen umbenannt. Da die Strafverfolgungsbehörden ihnen dicht auf den Fersen sind, ist es wahrscheinlicher, dass BlackMatter sich Zeit nimmt, den Staub der Strafverfolgungsbehörden sich legen zu lassen, ihre Tools neu zu entwickeln und dann mit einer neuen und verbesserten Nutzlast wieder auftaucht.”