Qakbot感染与黑巴斯塔勒索软件运动有关

据报道，Black Basta勒索软件团伙已被发现使用QakBot恶意软件创建第一个入口，并在组织的网络内横向移动。

Cybereason Global SOC (GSOC)团队昨天发布的一份新报告描述了这些发现，强调了从2022年11月14日开始使用QakBot的几例黑Basta感染。

安全专家写道:“QakBot，也被称为QBot或Pinkslipbot，是一种银行木马，主要用于窃取受害者的财务数据，包括浏览器信息、键盘输入和证书。一旦QakBot成功感染了一个环境，恶意软件就会安装一个后门，允许威胁者投放其他恶意软件，即勒索软件。”

根据该通知，在新的攻击中，威胁行为者在不到两小时内获得了域管理员访问权限，然后在不到12小时内转移到勒索软件部署。

该报告写道：“威胁分子利用QBot加载器撒下了一张大网，主要针对美国公司，并对他们所危及的鱼叉式网络钓鱼受害者迅速采取行动。在过去的两周里，我们发现有十多个不同的客户受到了最近这场活动的影响。”

在Cybereason发现的几起QakBot感染中，据称有两起允许威胁行为者部署勒索软件，并通过禁用DNS服务将受害者锁定在其网络之外，使恢复变得更加复杂。

安全团队写道：“我们观察到的一个特别快速的妥协导致了Black Basta勒索软件的部署。这使我们能够在利用QakBot和Black Basta运营商的威胁行为者之间建立联系。”

Cybereason观察到的QakBot感染始于一封含有恶意URL链接的垃圾邮件或钓鱼邮件，而QakBot是Black Basta用来在受害者网络中保持存在的主要方法。

该公司写道：“也就是说，我们还观察到威胁行为者在妥协过程中使用Cobalt Strike获得对域控制器的远程访问。最后，部署了勒索软件，然后攻击者禁用了安全机制，如[端点检测和响应]EDR和防病毒程序。”

Black Basta勒索软件组织最近还与FIN7的威胁行为者和对关键基础设施的持续攻击联系在一起。