ReliaQuest研究人员观察到Black Basta的分支机构依赖微软团队获得目标网络的初始访问权限。

ReliaQuest研究人员警告，Black Basta勒索软件的分支机构已转向使用微软团队，假装IT支持人员，诱使员工授权访问。

BlackBasta勒索软件的操作者被发现在员工面前伪装成企业帮助台，联系员工帮助他们缓解正在进行的垃圾邮件攻击。

威胁行为者用电子邮件充斥员工的收件箱，然后在微软团队上伪装成IT支持人员，提供关于垃圾邮件问题的“帮助”。

ReliaQuest发布的报告指出：“他们之前的做法包括用电子邮件垃圾邮件淹没用户，促使他们创建一个合法的帮助台工单来解决问题。然后攻击者会联系终端用户，假装是帮助台，回应工单。在最近的事件中，攻击者通过使用微软团队聊天消息与目标用户沟通，并引入恶意二维码来促进初始访问。”

威胁行为者试图诱使用户下载远程监控和管理（RMM）工具，如AnyDesk，一旦获得目标环境的初始访问权限，就部署勒索软件。

研究人员指出，发送给潜在受害者的信息量非常大；在一个实例中，他们观察到在短短50分钟内向一个用户发送了大约1000封电子邮件。

攻击者将目标用户添加到与外部用户的微软团队聊天中。这些外部用户使用他们创建的Entra ID租户进行操作，采用命名规则伪装成支持、管理员或帮助台人员。

以下是攻击者使用的一些租户：

• cybersecurityadmin.onmicrosoft[.]com
• securityadminhelper.onmicrosoft[.]com
• supportserviceadmin.onmicrosoft[.]com
• supportadministrator.onmicrosoft[.]com

“这些外部用户将他们的个人资料设置为‘DisplayName’，旨在让目标用户认为他们是在与帮助台账户沟通。”报告继续说道。“在我们观察到的几乎所有实例中，显示名称都包含了字符串‘Help Desk’，通常周围有空格字符，这可能是为了让名称在聊天中居中。我们还观察到，通常情况下，目标用户被添加到了‘一对一’聊天中。”

威胁行为者还在聊天中发送二维码，作为Quishing尝试的一部分。

专家根据域名创建和Cobalt Strike配置的共同点，高度自信地将攻击归因于Black Basta。

专家观察到，外部用户的操作通常起源于俄罗斯，位于莫斯科时区。

获得访问权限后，攻击者部署恶意文件，包括代理恶意软件和Cobalt Strike，以加深网络渗透。专家建议限制外部微软团队通信，并记录可疑聊天活动以提高安全性。

报告总结说：“这场活动仍在发展，Black Basta展现了他们快速适应TTP（战术、技术和程序）的能力，这可能是为了挫败防御者，为自己在网络上争取更多时间以进一步发动攻击。虽然他们的初始访问方法已经改变，但他们的后利用活动可能与之前观察到的模式保持一致，这些模式已被现有的安全工具和检测规则所覆盖。”