BlackSuit：Royal/Conti改头换面重出江湖，新型勒索软件以速度、隐蔽性和数据窃取为特征
内容提要
Cybereason的调查显示，BlackSuit勒索软件组织实施了高度协同的三阶段攻击：入侵、数据窃取和加密。攻击者利用Cobalt Strike等技术进行横向移动，窃取敏感数据并删除恢复点，以增加赎金压力。同时，其加密逻辑经过优化，避免加密关键文件。
关键要点
-
Cybereason的调查揭示BlackSuit勒索软件组织实施高度协同的三阶段攻击：入侵、数据窃取和加密。
-
BlackSuit被认为是Royal勒索团伙的重组或分支，具有隐蔽性、速度和精准打击能力。
-
攻击模式包括初始入侵、数据窃取和选择性加密，辅以数据删除手段破坏恢复工作。
-
攻击者使用Cobalt Strike进行命令控制和横向移动，初始入侵途径尚不明确。
-
BlackSuit采用多种技术实现横向移动，包括PsExec.exe和远程桌面连接。
-
攻击者使用PowerShell命令下载Cobalt Strike信标，并通过重命名文件投递最终载荷。
-
攻击者实施双重勒索策略，先窃取敏感数据再加密文件以增加赎金压力。
-
为破坏系统恢复，攻击者使用vssadmin.exe删除卷影副本，随后执行勒索软件。
-
BlackSuit的加密逻辑经过优化，避免加密关键文件以减少业务中断。
延伸解读
攻击模式的复杂性
BlackSuit的三阶段攻击模式显著不同于传统勒索软件，强调了数据窃取的重要性。攻击者不仅加密文件，还在加密前窃取敏感数据，增加了受害者的赎金压力。这种双重勒索策略使得企业在面对攻击时，恢复工作变得更加困难。
技术手段的隐蔽性
BlackSuit利用多种技术实现横向移动，保持攻击的隐蔽性。通过PsExec.exe和远程桌面连接等手段，攻击者能够在网络中广泛侦察并部署恶意载荷。这种技术组合使得检测和防御变得更加复杂，企业需加强网络监控以防范此类攻击。
恢复工作的挑战
攻击者通过删除卷影副本来破坏系统恢复能力，进一步增加了企业恢复数据的难度。企业在制定安全策略时，需考虑到勒索软件的这种攻击手段，确保有有效的备份和恢复方案，以应对潜在的数据丢失风险。
延伸问答
BlackSuit勒索软件的攻击模式是什么？
BlackSuit采用三阶段攻击模式：初始入侵、数据窃取和选择性加密，并辅以数据删除手段破坏恢复工作。
BlackSuit与Royal和Conti的关系是什么？
BlackSuit被认为是Royal勒索团伙的重组或分支，具有相似的攻击特征。
攻击者如何实现横向移动？
攻击者使用PsExec.exe、远程桌面连接和其他技术进行横向移动，以保持隐蔽性并进行广泛侦察。
BlackSuit的双重勒索策略是怎样的？
攻击者在加密文件之前先窃取敏感数据，以增加赎金压力，这就是双重勒索策略。
BlackSuit如何破坏系统恢复？
攻击者使用vssadmin.exe删除卷影副本，以破坏系统恢复能力。
BlackSuit的加密逻辑有什么特点？
BlackSuit的加密逻辑经过优化，避免加密关键文件类型，以减少业务中断。
