Tout le monde fait des erreurs, y compris les cybercriminels derrière le rançongiciel Black Basta. Un déchiffreur vient en effet d’être mis à disposition du public par le laboratoire berlinois de hackers éthiques Security Research Labs. Hébergée sur GitHub, la publication du déchiffreur a été repérée par Bleeping Computer à la fin de l’année.
Le rançongiciel Black Basta a notamment été utilisé en France contre le cristallier de luxe Baccarat, visé par des cybercriminels à l’automne dernier. Le gang s’en était également pris, pas très loin de l’Hexagone, au groupe technologique suisse ABB, l’un des spécialistes mondiaux de l’automatisation.
Faiblesse identifiée
Le dévoilement d’un déchiffreur est parfois synonyme d’avancées dans les investigations policières. Un lien qu’on a vu par exemple avec LockerGoga ou PyLocky. Mais ce n’est visiblement pas le même cas de figure pour Black Basta, dont le déchiffreur n’est d’ailleurs pas encore, en ce début janvier, recensé sur la plateforme de lutte contre les rançongiciels No More Ransom.
Sur GitHub, les experts de Security Research Labs expliquent en effet avoir tout simplement identifié une faiblesse dans l’algorithme de chiffrement utilisé par les cybercriminels de Black Basta, actifs depuis le printemps 2022. La clé de déchiffrement se retrouvait en clair dans le cas du chiffrement d’un fichier dont les octets ne contenaient que des zéros.
Malware mis à jour
Selon Bleeping Computer, cette faille avait déjà été identifiée par des entreprises de réponse à incident. Ce qui leur permettait de déchiffrer discrètement les terminaux de leurs clients victimes d’une extorsion menée par le gang.
Cette période est toutefois révolue. Les cybercriminels de Black Basta ont en effet également identifié le problème et mis à jour leur programme malveillant. On ignore s’ils l’ont compris à la publication du déchiffreur de Security Research Labs ou s’ils avaient déjà repéré le problème.
Black Basta est l’un des groupes cybercriminels, comme Silent Ransom Group, Royal, Zeon, ou encore Diavol, placés par les experts dans la filiation de Conti. Cette franchise active depuis le début de l’année 2020 avait explosé en plein vol après s’être affichée en faveur de l’invasion russe de l’Ukraine. La prise de position avait entraîné une importante fuite de données, obligeant l’organisation criminelle à baisser le rideau de son site vitrine en juin 2022.