Аналитики разобрали инструменты группировки BLACKNET-00: реклама опережает реальные возможности

Группировка ведёт два Telegram-канала: один ориентирован на заявления о взломах и продажу доступов, второй - на продвижение бренда BLACKNET-00 и его инструментов. В числе заявленных жертв - авиакомпании, финансовые платформы, муниципальные системы водоснабжения и промышленные предприятия. При этом операторы используют несколько аккаунтов, включая резервные, и заранее публикуют контакты для связи после возможной блокировки.

Большинство подобных заявлений, как отмечается в отчёте Ransom-ISAC, не подтверждено независимыми источниками и сопровождается раздутыми логами сканирования для создания видимости масштабной активности. Операторы также активно ищут покупателей среди известных хактивистских групп, включая иракскую "313 Team" и иранскую HEXVIOR, однако факт продажи не подтверждён. Примечательно, что группировка так и не превратила вымогатель в модель Ransomware-as-a-Service: она не создала партнёрскую программу и не делится выкупом, а предпочитает продавать инструменты и доступы напрямую. Это делает её гибридом автора вредоносного ПО, продавца инструментов и брокера начальных доступов.

Ключевой вывод аналитиков состоит в том, что даже технически незрелые группировки могут создавать функционально опасные компоненты. Конструктор вымогателя, который BLACKNET-00 распространила публично как "подарок сообществу", рекламирует сложное шифрование AES-256, но на деле использует примитивный алгоритм с повторяющимся ключом. Этот ключ записывается в текст записки с требованием выкупа, поэтому файлы жертвы можно восстановить без участия злоумышленников. Тем не менее сгенерированная программа действительно шифрует файлы на всех дисках, изменяет политики системы, закрепляется в автозагрузке, выводит полноэкранное окно с требованием выкупа и отправляет телеметрию о жертве в Telegram. Для защиты от таких атак важно ориентироваться на долгоживущие артефакты, а не на конкретный метод шифрования, который злоумышленники могут легко заменить.

Сканер Shadow Ghost, несмотря на низкокачественный графический интерфейс, содержит полноценный модуль разведки Firebase. Он позволяет по идентификатору проекта проверять открытые хранилища, базы данных Firestore и Realtime Database, а также извлекать конфигурационные данные с веб-сайтов. Это не атака на саму платформу Firebase, а выявление ошибок конфигурации: если владельцы приложений оставили правила доступа слишком свободными, злоумышленник может получить несанкционированный доступ к пользовательским данным, телеметрии и внутренней информации. Особую актуальность это представляет для небольших операторов критической инфраструктуры, которые используют Firebase для панелей мониторинга. Аналитики рекомендуют регулярно аудитировать правила Firebase Storage, Firestore, Authentication и Realtime Database, чтобы исключить анонимный доступ.

Третий инструмент - TRK-25 - позиционируется как "продвинутая система диспетчерского управления (SCADA)" для атак на промышленные сети. Проверка показала, что основная часть интерфейса неработоспособна: многие кнопки ссылаются на несуществующие функции, а сама программа не может запуститься из-за обрезанного кода. Однако внутри скрывается работоспособный модуль сканирования, который проверяет устройства на стандартных промышленных портах, распознаёт более полусотни вендоров и продуктов - от Siemens и Rockwell до специализированных систем диспетчерского управления. Сканер также содержит жёстко прописанные списки публичных IP-диапазонов, что указывает на целенаправленную разведку потенциальных целей. Отдельные модули для работы с протоколом Modbus близки к рабочим, хотя и не были проверены на реальном оборудовании. Это означает, что TRK-25 представляет собой не оружие, а инструмент разведки, позволяющий найти открытые промышленные контроллеры и подготовить почву для последующей атаки.

Группировка также расширяет коммерческую деятельность: помимо продажи доступов и инструментов, она рекламирует DDoS-атаки как платную услугу. Третья сторона связывает с BLACKNET-00 атаку на индийского оператора связи, однако никаких доказательств или инструментов для проверки предоставлено не было. Поэтому аналитики советуют рассматривать это как рекламное объявление, а не подтверждённую возможность.

Особое внимание в отчёте уделено заявлениям о взломах систем водоснабжения. На фоне реального роста атак на программируемые логические контроллеры в США и инцидентов в Миннесоте такие утверждения нельзя игнорировать. Однако у BLACKNET-00 нет подтверждённых успешных операций, а её предыдущие заявления часто оказывались преувеличенными. Аналитики рекомендуют проверять каждое подобное утверждение через официальные каналы и уведомлять отраслевые центры, а не принимать его за установленный факт.

Для защиты от угроз этого уровня эксперты советуют убрать прямое подключение промышленных контроллеров к интернету, настроить мониторинг удалённого доступа, провести аудит конфигураций облачных сервисов и использовать правила обнаружения, основанные на поведении, а не на общей легитимной инфраструктуре. Важно не поддаваться панике от громких заявлений, но и не игнорировать реальные, пусть и примитивные, инструменты, которые могут быть использованы против недостаточно защищённых организаций.

MD5

• 28c62e5e820de249ddfb9204fec31bbc
• 6c3446e26d566657ea019ca1b37156d6
• 9feebfea9b7a983b8d21757ac0d96015
• f6cf915e5c2864b7ccff0a57a504dffc

SHA1

• 18e14a1e9ba76fa8c7f89e14ea971c11307af23b
• 25029760457873fe8339736534f184cea0b20535
• 7cf1272de9e478464807e890c68c94600930e724
• 974d8934bd369e98d3e282b2cd3cfe56f6f12ec6

SHA256

• 10e41edc96bafe6511a06832519823d0a1bf329fecde1d7d2ab9b2eda3a27a09
• 5f1ebc84cdee3a4e97c530ff2ffc907e903544b8b5b119f9de2e9bd035058629
• 85adbf2a80b13a55e19114203af3151b0fa9aaef195b316a7b18b571994be21a
• 90c447f864f4d66a6b99a76af0db4debf12735ebc3e35525936a4232b2df5732

TOX ID

• 05a63a33e6233cdfe2a86a49aa73148af13ab6068db82c93690827da75e64d422b

TRON (TRC-20)

• TS7cmQrHcRtLuijLdL3CP7s5EgeN6tn7KT

Bitcoin

• 13TSahvLK6EGene38RQWzfUfQKkpqtRoL6
• 1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa