Black Basta 勒索病毒解密与数据恢复

Black Basta 于 2022 年 4 月出现，被普遍认为源自解散后的 Conti 体系，微软将相关攻击者追踪为 Storm-0506，Mandiant 称其为 UNC4393。它以 RaaS 模式运作，早期与 QakBot（Qbot） 僵尸网络深度绑定获取初始访问，2023 年 QakBot 被执法打击后转向社工与漏洞利用。

CISA、FBI、HHS 与 MS-ISAC 于 2024 年 5 月发布 #StopRansomware 联合公告（AA24-131A），指出截至 2024 年 5 月其附属成员已影响全球 500 余家组织，覆盖 16 个关键基础设施领域中的至少 12 个，其中医疗卫生因技术依赖度高、停摆代价大而风险突出。

它最具「示范效应」的是社工手法。2024 年下半年，Black Basta 附属成员大规模使用「邮件轰炸 + Microsoft Teams 冒充 IT 支持」的组合：先用海量订阅邮件把受害者邮箱灌满，再在 Teams 中以「IT 服务台」身份主动联系，引导用户安装 AnyDesk 或启用 Quick Assist 远程协助，从而绕过所有边界与终端防护。这套手法此后被多个团伙复制，至今仍是有效威胁。

结局来自内讧。2025 年 2 月 11 日，一名化名 ExploitWhispers 的人公开了约 47 MB 的 Black Basta 内部聊天记录 JSON 文件，泄露者称因该团伙攻击俄罗斯金融机构而不满。聊天记录暴露了其内部矛盾、分工与运营细节；此后该团伙迅速沉寂，泄露站点在 2 月底消失，可认定已解散。聊天记录还显示其与 Cactus 团伙存在资金往来，部分成员随后被认为流向 Cactus 等后继组织。

对企业的现实意义：Black Basta 品牌虽已消失，但两件事仍然成立——历史上被其加密的数据仍可能需要处理（且存在一个适用范围很窄的公开解密工具，值得先行判定）；更重要的是，其「Teams 冒充 IT + 远程协助工具」的入口至今仍被广泛使用，国内企业在推广 Teams、飞书、企业微信等协作平台外部联系人功能时尤需注意。

后缀特征：早期版本使用固定后缀 .basta；2022 年 11 月之后的版本改为每次投放生成的随机字符串。这个变化对处置至关重要——固定 .basta 后缀的旧版本恰好不在 Black Basta Buster 解密器覆盖范围内，而随机后缀版本中 2022 年 11 月至 2023 年 12 月之间的样本才可能适用。

勒索信：文件名 readme.txt，内容给出受害者专属 code 与 .onion 协商站点链接，并声明数据已被窃取、10–12 天内不联系即在「Basta News」泄露站点公布。

桌面痕迹：桌面壁纸被替换为勒索提示；部分版本修改启动项，在安全模式下执行加密。

主机侧痕迹：

• 通过 vssadmin.exe 删除卷影副本；
• QakBot 时期常见其加载器与 C2 流量痕迹；后期则表现为 AnyDesk / Quick Assist / ScreenConnect 等远程协助工具的异常安装；
• 出现 Cobalt Strike、PsExec、Mimikatz、Rclone 等常规后渗透工具；
• 用户邮箱在事发前出现大量订阅确认邮件（邮件轰炸痕迹），并在 Teams 中收到外部租户发起的「IT 支持」会话——这两条是 Black Basta 后期最具辨识度的前兆。

虚拟化痕迹：存在针对 VMware ESXi 的 Linux 加密器，表现为虚拟机批量离线、数据存储中的虚拟机文件被加密。

时间线提示：Black Basta 于 2025 年 2 月解散。此后出现的「Black Basta 样」事件需要重新判定家族，可能是 Cactus 等后继团伙或模仿者。

Black Basta 的入侵方式随时间明显演变，这也是判定加密时间的一条旁证。

第一阶段（2022—2023）：QakBot 僵尸网络。通过携带恶意附件或链接的钓鱼邮件投递 QakBot，再由 QakBot 引入 Cobalt Strike 并交付给 Black Basta 附属成员。2023 年 8 月 QakBot 基础设施被国际执法行动摧毁后，这条链路中断。

第二阶段（2023—2024）：漏洞利用与其他加载器。转向 ConnectWise ScreenConnect 的 CVE-2024-1709 等已知漏洞，以及 DarkGate、Pikabot 等替代加载器；同时继续使用鱼叉式钓鱼。

第三阶段（2024—2025）：邮件轰炸 + Microsoft Teams 社工（其最具代表性的手法）：

1. 用自动化脚本给目标员工订阅海量邮件列表，短时间内灌满邮箱；
2. 在员工焦头烂额时，以外部租户身份在 Microsoft Teams 中发起会话，自称公司 IT 服务台，表示「正在帮你处理邮件问题」；
3. 引导员工安装 AnyDesk、启用 Quick Assist 或运行远程协助脚本；
4. 拿到交互式访问后投放 Cobalt Strike，进入常规后渗透流程。

这条路径不触碰任何边界漏洞、不需要爆破凭据，完全依靠人的信任，因此传统防护几乎无从拦截。

进入内网后：抓取凭据、提权至域管、枚举并破坏备份、用 vssadmin 删除卷影副本、用 Rclone 外传数据，最后通过 PsExec/GPO 批量投放加密器，并对 ESXi 投放 Linux 变种。

对国内企业的直接提醒：允许外部联系人主动发起会话的协作平台（Teams、以及具备类似功能的国内平台）应默认收紧外部通信策略，并明确「IT 不会通过聊天工具主动要求安装远程协助软件」。

算法：ChaCha20（XChaCha20） 加密文件内容，会话密钥用 RSA-4096 公钥封装。这是标准混合方案——但 Black Basta 的实现曾出过一个致命错误。

那个著名的实现缺陷：在约 2022 年 11 月至 2023 年 12 月的版本中，加密器没有正确推进 XChaCha20 的密钥流——同一段 64 字节被重复用于异或后续所有待加密数据块。这使得只要能拿到 64 字节的已知明文（对常见文件格式通常可行），就能还原密钥流并解密。SRLabs 据此发布了 Black Basta Buster。该缺陷在 2023 年 12 月底被修补，之后版本不再适用。

加密范围与破坏动作：

• 加密本地磁盘、映射网络驱动器与可达共享；
• 使用 vssadmin.exe 删除卷影副本；
• 停止数据库、邮件与备份代理服务；
• 部分版本在安全模式下执行加密以规避防护；
• 存在针对 VMware ESXi 的 Linux 加密器，处理数据存储中的虚拟机文件。

后缀与版本的对应关系（对判定解密可行性至关重要）：

• 早期固定 .basta 后缀版本 → 不适用 Black Basta Buster；
• 2022 年 11 月—2023 年 12 月的随机后缀版本 → 可能适用，受文件大小限制（<5000 字节不可恢复；5000 字节—1 GB 可完整恢复；>1 GB 丢失开头 5000 字节）；
• 2024 年起的版本 → 不适用。

双重勒索：加密前外传数据，勒索信给出 10–12 天期限，逾期在「Basta News」公布。该泄露站点已于 2025 年 2 月底消失。