Il ransomware Black Basta sta evolvendo le sue tecniche di attacco, integrando nuove strategie di ingegneria sociale e strumenti tecnologici avanzati. Dal mese di ottobre 2024, i criminali informatici associati a Black Basta sono stati osservati mentre implementano tattiche di bombardamento email, inserendo indirizzi email delle vittime in numerose mailing list per inondarle di messaggi. Questo approccio è utilizzato per distrarre le vittime e indurle a interagire con i criminali, che si presentano come personale di supporto o IT utilizzando piattaforme come Microsoft Teams.

**Codici QR Malevoli**

Una delle novità di questo gruppo è l'uso di codici QR malevoli inviati attraverso chat, con il pretesto di aggiungere dispositivi mobili fidati, mirando a sottrarre credenziali delle vittime. Rapid7 ha riscontrato tentativi di utilizzare il client OpenSSH per stabilire una shell inversa, mentre altre fonti, come ReliaQuest, ipotizzano che i codici QR siano utilizzati per reindirizzare gli utenti a infrastrutture malevole.

**Accesso Remoto e Malware**

L'accesso remoto è facilitato dall'installazione di software legittimi come AnyDesk, che consente agli aggressori di distribuire ulteriori payload ai dispositivi compromessi. Tra questi, programmi personalizzati per l'estrazione di credenziali, seguiti da malware come Zbot o DarkGate, usati come porte per attacchi successivi.

**Obiettivi del Gruppo**

L'obiettivo principale di Black Basta, dopo aver ottenuto l'accesso iniziale, è l'enumerazione rapida dell'ambiente e la raccolta delle credenziali degli utenti. Gli operatori cercano anche di rubare file di configurazione VPN, potenzialmente bypassando l'autenticazione a più fattori, consentendo accessi diretti all'ambiente bersaglio.

**Evoluzione e Strategie**

Black Basta è emerso come un gruppo autonomo dopo la chiusura di Conti nel 2022, inizialmente usando QakBot per infiltrarsi nei bersagli, per poi diversificarsi in tecniche di ingegneria sociale. È noto anche come UNC4393 e utilizza diverse famiglie di malware su misura per raggiungere i propri obiettivi. Questi includono KNOTWRAP, un dropper in memoria che esegue payload aggiuntivi, e KNOTROCK, un'utilità basata su .NET per eseguire il ransomware.

L'evoluzione di Black Basta mostra un passaggio da un approccio basato esclusivamente su botnet a un modello ibrido che integra l'ingegneria sociale. Questa strategia avanzata rende il gruppo particolarmente pericoloso per le organizzazioni, sottolineando l'importanza di adottare misure di sicurezza robuste e aggiornate per proteggersi da queste minacce emergenti.