Wie arbeiten Cyberkriminelle?

Sie wollten schon immer wissen, wie Cyberkriminelle wirklich arbeiten? Durch einen umfangreichen Leak interner Chats der berüchtigten Hackergruppe Black Basta erhalten wir seltene und brisante Einblicke in ihre Strukturen, Strategien und Entscheidungsprozesse.

Von der Auswahl der Opfer über ausgeklügelte Erpressungstaktiken bis hin zur Panik nach einem folgenschweren Angriff – die Gespräche zeigen, wie professionell und skrupellos diese Gruppe agiert. Doch sie offenbaren auch Unsicherheiten, interne Konflikte und die ständige Angst vor Strafverfolgung.

Was können wir aus diesen Einblicken lernen? Wie können Unternehmen sich besser schützen? Und welche Konsequenzen hat dieser Leak für die Cybercrime-Szene? Wir fassen die wichtigsten Erkenntnisse zusammen und geben Empfehlungen, um sich gegen solche Angriffe zu wappnen.

Die internen Chat-Protokolle der Black-Basta-Ransomware-Gruppe, die am 11. Februar 2025 geleakt wurden, bestehen aus fast 200.000 russischsprachigen Nachrichten, die den Zeitraum vom 18. September 2023 bis zum 28. September 2024 umfassen. Diese Protokolle, die von einer Person namens „ExploitWhispers“ veröffentlicht wurden, bieten einen detaillierten Einblick in die Operationen, internen Dynamiken und den letztendlichen Niedergang der Gruppe.

Das Leak ist umfangreich und enthält wertvolle Einblicke in die internen Abläufe der Gruppe, ihre Kollaborateure und Zahlungen. Es gibt zudem zahlreiche Hinweise auf Geschäftsabläufe und mögliche Verbindungen zu Mitgliedern der Gruppe. Dieser Artikel konzentriert sich auf einige erste Erkenntnisse aus der Analyse des Leaks.

Organisationsstruktur der Black-Basta-Gruppe

Black Basta ist eine Ransomware-Gruppe, die Anfang 2022 entstand und sich schnell als bedeutende kriminelle Cyber-Operation etablierte. Sie ist bekannt für ihre aggressiven Double-Extortion-Taktiken, bei denen sie die Daten der Opfer verschlüsselt und mit deren Veröffentlichung droht, falls kein Lösegeld gezahlt wird. Die Gruppe zielt hauptsächlich auf große Organisationen in kritischen Sektoren wie Gesundheitswesen, Produktion, Regierung und Finanzdienstleistungen ab und nutzt dabei Sicherheitslücken oder Social Engineering für den Zugriff.

Bedeutende Mitglieder

• „GG“ (alias „Tramp“) – Schlüsselfigur und Anführer der Gruppe. Wird oft als „Boss“ bezeichnet und bei wichtigen Entscheidungen konsultiert. Wahrscheinlich früher mit der Conti-Ransomware-Gruppe verbunden.
• „YY“ (alias „Bio“) – Möglicher Administrator der Gruppe. Delegiert Aufgaben und führt administrative Tätigkeiten aus. Könnte an der Entwicklung der ursprünglichen Ransomware-Tools beteiligt gewesen sein.
• „Lapa“ – Wahrscheinlich technischer Administrator und Koordinator für andere Mitglieder oder externe Dienstleister.
• „Tinker“ – Beteiligt an Spam/Vishing, Datenaufbereitung und Verhandlungen, enger Vertrauter von „GG“. Möglicherweise ebenfalls früher mit Conti verbunden.
• „Nickolas“ – Enger Mitarbeiter von „GG“. Nimmt offenbar an Angriffen teil und könnte ein eigenes Team leiten. Liefert oft Einblicke in Cybersicherheits-Trends und Tools.
• „n3auxaxl“ – Remote-Entwickler. Im Frühjahr 2024 umging „GG“ die Befehlskette und beauftragte ihn direkt mit der Entwicklung einer völlig neuen Ransomware – für 100.000 US-Dollar im Voraus.
• „Ugway“ – Technischer Operator, beteiligt an Angriffsverteilung, Beschaffung von Zugangsdaten und Malware.

Dies ist keine vollständige Liste der beteiligten Personen. Es gibt zudem Chat-Nachrichten im Leak, die darauf hindeuten, dass einige Kernmitglieder möglicherweise physisch im selben Büro arbeiten.

Zielauswahl

Black Basta priorisierte hochkarätige Ziele, insbesondere in Sektoren wie Finanzen, Produktion und Energie. Die Gruppe nutzte Open-Source-Intelligence-Tools (OSINT) wie ZoomInfo, LinkedIn und RocketReach, um Unternehmen zu analysieren, ihre Einnahmen einzuschätzen und Schlüsselmitarbeiter für Social-Engineering-Angriffe zu identifizieren. Die Leaks enthüllten 380 einzigartige ZoomInfo-Links – mindestens so viele Unternehmen wurden im Leak-Zeitraum ins Visier genommen.

Die Chat-Protokolle zeigen auch, dass die Gruppe bei bestimmten Zielen sehr vorsichtig agierte, unter anderem bei:

• Ländern, in denen Lösegeldzahlungen gesetzlich verboten sind
• Branchen wie dem Gesundheitswesen, die politischen und strafrechtlichen Druck auslösen könnten
• Russland und „Russland-freundlichen“ Ländern

Im März 2024 teilte der Nutzer Ugway einen ZoomInfo-Link zu einer in Frankreich ansässigen Apotheke. GG, ein Anführer der Gruppe, antwortete darauf mit: „Wir nehmen die nicht in die Arbeit… Frankreich zahlt nicht.“

Vermutlich bezieht sich das auf spezifische Gesetze oder Hürden bei der Zahlung von Lösegeldern, sodass diese Ziele gemieden wurden – zuvor hatte Black Basta allerdings mehrere Opfer in Frankreich gelistet.

Im Mai 2024 gerieten Mitglieder der Gruppe in Panik, nachdem der Angriff auf den US-Gesundheitskonzern Ascension breite mediale Aufmerksamkeit erregt hatte. Die Mitglieder versuchten schnell, den Angriff als Fehler darzustellen und ihre anschließenden Handlungen als moralisch gerechtfertigt zu präsentieren.

Meidet Black Basta das Gesundheitswesen also generell? Wahrscheinlich nicht.

In einer Verhandlung mit einem Gesundheitsdienstleister stellte die Gruppe explizit klar, dass es nicht um die Störung der Dienste, sondern um die Erpressung von Daten ging:

„Wir sind uns der aktuellen Störungen bewusst, von umgeleiteten Krankenwagen bis hin zu abgesagten Operationen. Das war nicht unser Ziel. Unser Ziel waren Daten, die Sie nicht geschützt haben und für die Sie nun bezahlen müssen.“

Zudem wurde GG im Vorfeld des Ascension-Angriffs im November 2023 Zugang zu einer katholischen Gesundheitseinrichtung angeboten und gefragt: „Stört es dich nicht, dass es eine Kirche ist?“ GG antwortete schlicht: „Nein.“

Offene Unterhaltungen zeigen außerdem, dass führende Mitglieder wie GG und Tinker sich der politischen Konsequenzen bewusst sind, die hochkarätige Angriffe nach sich ziehen können. Eine lange Nachricht von Tinker am 9. Mai nach dem Ascension-Angriff unterstreicht das: Er warnte, der Angriff könne Vergeltungsmaßnahmen amerikanischer Behörden auslösen und zu Sanktionen führen, wodurch die Gruppe keine Lösegeldzahlungen mehr erhalten könnte.

Sorge vor lokalen Behörden

Ein Gespräch zwischen Tinker und GG im März 2024 verdeutlicht die Angst der Gruppe vor den russischen Behörden, insbesondere dem Föderalen Sicherheitsdienst (FSB):

Tinker: „Ein Freund aus dem zweiten Team, der weiß, dass ich für dich arbeite, sagte mir, dass eine Behörde nach dir sucht. Sie haben Fragen zu deinen Angriffen auf ‚freundliche Länder‘. […] Die Zeiten sind gerade wirklich unruhig.“

Tinker: „Und du weißt ja selbst – sobald politische Scheiße in Bewegung kommt, kommen sie zu Conti. Das war schon vor dem Krieg so.“

Diese Warnung bezieht sich auf das politische Klima in Russland nach dem Tod von Alexei Nawalny in Gefangenschaft im Monat zuvor. Das erwähnte „zweite Team“ ist BlackSuit/Royal. Das Gespräch geht weiter, wobei Tinker enthüllt, dass der FSB Ransomware-Akteure untersucht, die an einem inländischen Angriff beteiligt waren:

GG: „…wir greifen freundliche Länder überhaupt nicht an. Manchmal testen wir China, aber setzen nichts um.“

Tinker: „Die Behörde ist der FSB. Ich weiß, dass wir das nicht tun – wenn wir es wirklich getan hätten, würde ich jetzt nicht mit dir darüber reden.“

Diese Gespräche zeigen die Verbindung zwischen der russischen Ransomware-Szene und den russischen Geheimdiensten, die die Gruppen überwachen. Reife Akteure erkennen, dass der Schlüssel zum Überleben ein Balanceakt ist: einerseits ein furchteinflößender Ruf bei den Opfern, andererseits das Vermeiden von Aufmerksamkeit durch Behörden. Dieses politische Bewusstsein führte vermutlich dazu, dass GG nach dem Ascension-Angriff ein Rebranding anstrebte.

Ascension-Vorfall, Hinterzimmer-Deals und geplantes Rebranding

Anfang Mai 2024 erlitt Ascension einen schweren Angriff, der zu Störungen der Gesundheitsversorgung führte. Die geleakten Chats zeigen Panik unter den Mitgliedern, die sich nach Berichten von CNN und Bleeping Computer über mögliche Konsequenzen Sorgen machten.

Der Vorfall lässt sich möglicherweise bis November 2023 zurückverfolgen, als ein Nutzer einen ungesicherten Fernzugriffspunkt in einem angeschlossenen Krankenhaus entdeckte – dem Anschein nach eine Entwicklungsumgebung mit Standard-Anmeldedaten. Obwohl bekannt war, dass das Ziel ein Krankenhaus war, drängte GG auf die Fortsetzung. Den geteilten Nachrichten zufolge wurde ein Kerberoasting-Angriff genutzt, um Anmeldeinformationen zu extrahieren.

Nach den Medienberichten offenbarte GG, wie das Team auf den Angriff reagierte:

„Wir haben es vor dem Wochenende eingerichtet, versehentlich das Gesundheitswesen getroffen. Jetzt wird es eine höllische Analyse geben. Ich habe ihnen gestern den Entschlüsseler kostenlos gegeben und möchte, dass sie sich schneller erholen. Ich will nicht, dass Menschen leiden. Wir sind Pentester, keine Mörder. […] Deshalb habe ich gerade ein Treffen im Büro abgehalten.“

GG erklärte weiter die Konsequenzen für die operationelle Sicherheit:

„Habe gesagt, dass wir alles ändern… SIM-Karten, VPS, VPNs, alle Server für die Arbeit.“

Anschließend schlug GG einem einzelnen Entwickler – hinter dem Rücken der anderen Mitglieder – den Aufbau einer völlig neuen Operation vor:

GG: „Aber nur zwei Personen sollten davon wissen… Du. Und ich. […] Nimm den Quellcode von Conti als Grundlage. Black Basta wird parallel weiterlaufen, aber wir werden zusammen neue Software entwickeln.“

GG stellte klar, dass diese Entwicklung eine Leak-Seite, ein Admin-Panel, einen Chat und einen Builder für die Verschlüsselungssoftware umfassen sollte – und nannte die Konditionen: 5 % von jeder Auszahlung plus 100.000 US-Dollar Bonus. Trotz der Geheimhaltungsanweisung informierte GG kurz darauf andere Mitglieder über seinen Rebranding-Plan.

Der Vorfall zeigt, wie ein politisch versierter Ransomware-Operator die eigenen Mitglieder untergrub, um seine Interessen zu schützen. Es ist zugleich ein positives Zeichen: Strafverfolgungsmaßnahmen schüren Misstrauen und Paranoia unter den Mitgliedern – sie müssen mehr Ressourcen aufwenden und hintergehen sich gegenseitig.

Erpressungs- und Verhandlungstaktiken

Black Basta ist eine sogenannte Double-Extortion-Gruppe: Sie verschlüsselt Systeme und stiehlt zugleich Daten, um mit deren Veröffentlichung zu drohen. Die geleakten Chats enthüllen das Anrufskript der Gruppe, mit dem betroffene Unternehmen kontaktiert und unter Druck gesetzt werden. Es beginnt harmlos („Hallo, mein Name ist Eric, ich rufe wegen des jüngsten Cyber-Sicherheitsvorfalls in Ihrem Unternehmen an“), eskaliert aber schnell:

• Die Anrufer verlangen gezielt die Geschäftsleitung und drohen andernfalls, Führungskräfte direkt auf privaten Nummern anzurufen.
• Sie behaupten, die Finanzdaten des Opfers eingesehen zu haben: „Sagen Sie uns NICHT, dass Sie nicht zahlen können. Wir haben Ihre Finanzdaten eingesehen.“
• Sie drängen darauf, externe Verhandlungsführer und Incident-Response-Dienstleister zu umgehen und „selbst an den Tisch“ zu kommen.
• Sie drohen mit der Veröffentlichung aller Daten – Finanzdokumente, Kundendaten, laufende Fälle – bis hin zur „Auflösung“ des Unternehmens.

Die Behauptung, dass das Lösegeld anhand der Finanzunterlagen des Opfers festgelegt wird, wird durch interne Chats gestützt: Im Januar 2024 wies GG „Tinker“ an, die Finanzdaten eines Opfers zu analysieren und in den Verhandlungschat zu stellen — „alles mit soliden Argumenten und Klarheit untermauert“ —, bevor eine mehrstellige Millionensumme gefordert wurde.

Die Chats zeigen auch Flexibilität: Die Gruppe ist bereit, Fristen zu verlängern oder über Zahlungskonditionen zu verhandeln. Für betroffene Unternehmen ist es entscheidend, sich ein genaues Bild vom Umfang des Einbruchs und des Datendiebstahls zu machen, um sich einen Vorteil in den Verhandlungen zu verschaffen.

Abschließende Gedanken und Empfehlungen

Die geleakten Black-Basta-Chats bieten seltene Einblicke in die internen Abläufe einer bedeutenden Ransomware-Operation. Dieser Artikel kratzt nur an der Oberfläche – es gibt viele weitere Erkenntnisse, die von Forschern und Strafverfolgungsbehörden weiter untersucht werden.

Eine der wichtigsten Erkenntnisse ist die Agilität, mit der die Gruppe neue Techniken operationalisiert: Mitglieder durchforsten aktiv Foren und Open-Source-Sicherheitsforschung nach neuen Angriffsmethoden. Insgesamt nutzte die Gruppe vor allem leicht ausnutzbare Sicherheitslücken; gegen Ende des Leak-Zeitraums verlagerte sich der Fokus zunehmend auf Social-Engineering-Techniken.

Empfehlungen für Unternehmen

• Patch-Management priorisieren: Da Black Basta häufig bekannte Schwachstellen ausnutzt, sind regelmäßige und zeitnahe Sicherheitsupdates essenziell.
• Mitarbeiterschulungen intensivieren: Social Engineering spielt eine immer größere Rolle. Gezielte Trainings zu Phishing- und Betrugsversuchen wirken dem entgegen.
• Bedrohungsaufklärung nutzen: Angreifer beobachten Sicherheitsforschung – Verteidiger sollten das ebenfalls tun, um proaktiv Gegenmaßnahmen zu entwickeln.
• Multi-Faktor-Authentifizierung durchsetzen: Das erschwert den Zugriff über kompromittierte Konten erheblich.
• Protokollierung und Überwachung etablieren: Frühzeitige Erkennung verdächtiger Aktivitäten kann Angriffe stoppen, bevor sie eskalieren.

Der Leak zeigt, dass Ransomware-Gruppen nicht nur technisch versiert, sondern auch äußerst anpassungsfähig sind. Ein proaktiver, mehrschichtiger Sicherheitsansatz bleibt der beste Schutz gegen diese Bedrohungen.