В начале мая 2023 года на ландшафте киберугроз появилась новая операция вымогательского программного обеспечения под названием BlackSuit. Эта группа с самого начала продемонстрировала агрессивную тактику многостороннего вымогательства - шифрование данных в сочетании с их кражей и последующей публикацией на собственных сайтах утечек, если жертва отказывается платить. Основными целями BlackSuit стали организации здравоохранения, образования и других критически важных отраслей. Группа действует закрыто, не привлекая публичных партнёров, что указывает на высокий уровень организации.
Описание
Технический анализ показывает, что полезные нагрузки BlackSuit имеют много общего с другим известным семейством вымогателей - Royal. Это сходство проявляется в механизмах шифрования и наборе параметров командной строки. Такое наследие позволяет предположить, что разработчики либо являются частью той же экосистемы, либо заимствовали ключевые компоненты. Подобная эволюция характерна для современного рынка программ-вымогателей, где новые группы часто используют готовые наработки предшественников, чтобы сократить время на разработку.
Способы доставки BlackSuit разнообразны и охватывают наиболее распространённые векторы атак. Во-первых, это заражённые вложения электронной почты, содержащие вредоносные ссылки или макросы. Пользователь, открывший такой файл и разрешивший выполнение макроса, может спровоцировать запуск шифровальщика. Во-вторых, злоумышленники активно используют торрент-трекеры, внедряя полезную нагрузку непосредственно в торрент-файлы. Скачивание и запуск такого файла равносильны инфицированию системы. В-третьих, применяется вредоносная реклама (malvertising) - клик по заражённому баннеру перенаправляет пользователя на сайт, автоматически загружающий и устанавливающий вымогателя. Наконец, BlackSuit распространяется через трояны - программы, которые тайно скачивают и запускают другое вредоносное ПО после попадания на устройство (например, через фишинговые письма, поддельные обновления программного обеспечения или скомпрометированные веб-сайты).
Согласно анализу специалистов, BlackSuit поддерживает обе основные операционные системы - Windows и Linux, что расширяет круг потенциальных жертв. В большинстве случаев полезная нагрузка доставляется через фишинговые письма или через сторонние фреймворки для постэксплуатации, такие как Empire, Metasploit и Cobalt Strike. В отдельных случаях зафиксирована доставка через заражённые торрент-файлы.
Особую опасность представляет высокая скорость шифрования. После запуска BlackSuit мгновенно обрабатывает все доступные файлы на всех подключённых логических дисках. На системах под управлением Windows программа активно препятствует восстановлению данных: она удаляет теневые копии томов (Volume Shadow Copies) с помощью скрытой команды оболочки, которая запускает VSSADMIN.EXE с параметрами /ALL и /Quiet. Это лишает жертву одного из основных способов отката изменений без уплаты выкупа.
После завершения шифрования BlackSuit оставляет записки с требованиями. На Windows они размещаются во всех папках, содержащих зашифрованные файлы, и называются README.BlackSuit.txt. На Linux название слегка отличается по регистру - README.blacksuit.txt, что, вероятно, связано с особенностями файловых систем.
Для бизнеса и государственных организаций, особенно из секторов здравоохранения и образования, BlackSuit представляет прямую угрозу. Последствия атаки включают длительный простой критических систем (например, больничных информационных систем или платформ дистанционного обучения), утечку конфиденциальных данных пациентов или студентов, а также репутационный ущерб. Более того, публикация украденной информации на сайтах утечек наносит дополнительный моральный и материальный вред, который не всегда поддаётся количественной оценке.
С точки зрения защитных мер, организациям следует усилить контроль за входящей электронной почтой, внедрить фильтрацию вложений и отключить выполнение макросов в документах Microsoft Office по умолчанию. Также необходимо регулярно создавать резервные копии критических данных и хранить их в изолированной среде, недоступной для записи из основной сети. Обучение сотрудников правилам кибергигиены остаётся одним из самых эффективных способов предотвращения фишинговых атак - особенно тех, что используют социальную инженерию для запуска вредоносного кода.
Появление BlackSuit подтверждает тенденцию к усложнению и профессионализации группировок, занимающихся вымогательством. Отказ от публичных партнёров и использование наработок из закрытых версий Royal указывают на стремление к контролю за всей цепочкой атаки. Организациям необходимо обновлять планы реагирования на инциденты с учётом многостороннего вымогательства и готовиться к тому, что простое шифрование - лишь один из инструментов вымогателя, а угроза раскрытия данных остаётся не менее серьёзной.
Индикаторы компрометации
