借助 DNS 数据解析 BlackSuit 勒索软件网络

在 2024 年 4 月 10 日，攻击者发起了一场 BlackSuit 勒索软件攻击，导致近 100 万人的信息被窃取并曝光，包括受害者的社会安全号码、生日和保险索赔信息。数据泄露通知于 8 月底发送，8 月 27 日，美国网络安全与基础设施安全局 (CISA) 更新了 BlackSuit 勒索软件警告，并在最新的 STIX 文件中列出了 91 个入侵指示 (IoCs)，包括 14 个域名、五个子域和 72 个 IP 地址。CISA 还指出，BlackSuit 是 Royal 勒索软件的重命名版本，此前该组织曾攻击医疗机构并要求 25 万至 200 万美元的赎金。

WhoisXML API 研究团队基于这些网络资源扩展了 IoC 列表并发现了相关威胁工件。分析结果如下：

• 112 个与邮箱关联的域名
• 10 个额外的 IP 地址，其中五个被发现是恶意的
• 21 个与 IP 关联的域名
• 137 个与字符串关联的域名

https://main.whoisxmlapi.com/threat-reports/stripping-down-the-blacksuit-ransomware-network-aided-by-dns-data?mc=circleid

BlackSuit IoCs 的相关发现

为进一步了解已公布的 IoCs，研究团队对这 15 个域名（包括 14 个 IoC 域名和一个从子域 IoC 中提取的域名）进行了 Bulk WHOIS 查询，结果显示，其中一个 IoC 域名缺乏当前的 WHOIS 数据而被排除。

部分域名 IoC 的注册分布如下：

• Namecheap, Inc. 注册了四个域名；GANDI SAS 注册了两个域名；其他注册商包括 NiceNIC International Group Co. Limited、Free Spirit Domains LLC、Slow Motion Domains LLC、GoDaddy.com LLC 等

• 此外，大部分域名 IoC 注册在 2024 年，共七个；2023 年注册的有四个，其他则分别注册于 2010 年、2021 年和 2022 年。
• 域名 IoC 的国家分布则集中在美国（九个域名）和冰岛（两个域名），马来西亚和圣基茨和尼维斯各一个。

• 对于标识为 IoC 的 72 个 IP 地址，地理位置分布在 29 个国家，主要集中在美国（24 个 IP 地址）、阿尔及利亚（七个）、俄罗斯（五个）和摩洛哥（四个）。

• 部分 IP 地址的服务提供商包括 The Constant Company 和阿尔及利亚电信，各管理了七个 IP 地址。

挖掘潜在的 BlackSuit 勒索软件威胁工件

为了主动寻找与 BlackSuit 相关的潜在威胁，研究团队使用 WHOIS 历史 API 查询了 14 个 IoC 域名和一个子域 IoC 根域，发现历史 WHOIS 记录中共有 31 个电子邮件地址，其中五个为公共邮箱。

API for historical WHOIS data access and easy integration | WhoisXML API

通过这五个公共邮箱，反向 WHOIS 查询结果揭示了 112 个邮箱关联的域名。

https://zh.reverse-whois.whoisxmlapi.com/api

随后，我们对这 14 个域名 IoC 和五个子域 IoC 进行了 DNS 查询，结果发现，其中四个没有活跃的 IP 解析，其余 15 个则解析到原 IoC 列表中未包含的 10 个 IP 地址。