Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Black Basta

Aus dem Conti-Umfeld hervorgegangen, gehörte Black Basta zu den schlagkräftigsten RaaS-Gruppen – 2025 durch geleakte interne Chats erschüttert.

Vorfall melden
Kurz erklärt

Black Basta ist eine 2022 gestartete Ransomware-as-a-Service-Gruppe mit personellen Wurzeln im aufgelösten Conti-Kartell. Sie kombiniert Datendiebstahl mit Verschlüsselung und traf zahlreiche Unternehmen und KRITIS-Betreiber. Anfang 2025 legten geleakte interne Chatprotokolle die Gruppe teils offen und schwächten ihre Operationen.

Historisch

Modell

Privates, RaaS-ähnliches Modell

Auch bekannt als

BlackBasta

Gegründet

April 2022

Entstanden aus

Direkter Nachfolger des Conti-Kollektivs

Herkunft

Russland (stark vermutet), enge Verbindung zum Conti-Rumpf (Wizard Spider)

Zielsektoren

Gesundheitswesen, Fertigung, Bau, Finanzwesen, kritische Infrastruktur

Zielregionen

USA, DACH, UK, Australien

Typisches Lösegeld

500.000 – 5 Mio. USD (Einzelfälle bis 20 Mio.)

Opferzahl

Sehr aktiv 2022–2024; Februar 2025 nach Leak von ~200.000 internen Chats kollabiert

File Extensions

.basta

Ransom Note

readme.txt / instructions_read_me.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Rheinmetall (Apr. 2023, DACH)
  • Toronto Public Library (Okt. 2023)
  • Ascension Health (Mai 2024, US-Krankenhausnetz)
  • ABB Automation (Mai 2023)

Angriffstechniken (TTPs)

  • Initial Access: Spearphishing als Hauptvektor – früher via QakBot, spät 2024 direkte Microsoft-Teams-Social-Engineering (E-Mail-Bombing + gefälschte IT-Anrufe).
    • Exploits: CVE-2024-1709 (ScreenConnect), Citrix Bleed (CVE-2023-4966), CVE-2023-20198 (Cisco IOS XE), Ivanti/Fortinet/Palo Alto
    • MITRE: T1566, T1190
  • Ausführung: Missbrauch des Windows-Safe-Mode zur EDR-Umgehung; schnelle laterale Bewegung.

Technologie & Malware

Sprache/Plattform: C++ (Windows, Linux, VMware ESXi). ESXi-Variante verschlüsselt /vmfs/volumes und alle VMDKs auf einmal.

Verschlüsselung: ChaCha20 (Dateiinhalt) + RSA-4096 (Schlüssel, im Binary hardcodiert); missbraucht den Safe-Mode zur Tarnung.

Indicators of Compromise (IOCs)

  • File Extension: .basta
  • Ransom Note: readme.txt / instructions_read_me.txt
  • Ausgenutzte CVEs: CVE-2024-1709, CVE-2023-4966 (Citrix Bleed), CVE-2023-20198
  • Loader/Tools: QakBot, Cobalt Strike, Microsoft-Teams-Phishing
  • Nachfolge: Kernmitglieder mutmaßlich in neuen Marken (u. a. Cactus, BlackLock)

Was Unternehmen jetzt prüfen sollten

  • Phishing- und Loader-Erkennung (Qakbot-Nachfolger) am E-Mail-Gateway
  • Cobalt-Strike-/Lateral-Movement-Erkennung im Netzwerk
  • MFA und minimale Rechte für Admin-Konten
  • Offline-Backups und geübter Wiederanlauf

Wie Argos unterstützt

24/7-Erkennung im Cyber Defense Center inkl. Lateral-Movement-Analyse, Managed XDR zur frühen Eindämmung und Incident Response im Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →