مجموعة BlackByte: الثغرات والتقنيات والأدوات

نظرة عامة

تستخدم مجموعة برمجيات الفدية BlackByte أداة تحميل أولي مكتوبة بلغة JavaScript لنشر حمولة برمجية مكتوبة بلغة .NET.

تاريخ أول رصد: 2021-10-04
ورد ذكرها في تقاريرنا: البحرين

النطاق الجغرافي: المنشأ والأهداف

المنشأ المُقدَّر: روسيا. تتوقف الحمولة البرمجية للمجموعة عند اكتشاف إعدادات اللغة الروسية أو لغات دول الاتحاد السوفييتي السابق، وهو ما يتوافق مع احتمال أن يكون المشغّلون ناطقين بالروسية. لا يزال إسناد هذه المجموعة إلى جهة أو بلد معين غير مؤكد. لذا ينبغي التعامل مع هذا التقييم بوصفه تقديرًا يستند إلى المعلومات المتاحة، لا دليلًا قاطعًا.

الولايات المتحدة14
البرازيل4
المملكة المتحدة3
السويد2
بولندا2
المكسيك1
إسبانيا1
الهند1
اليابان1
فيتنام1

الثغرات التي ثبت استغلالها

الشركة المصنّعة	المنتج	المعرّف	الفئة	المصدر
VMware	ESXi	CVE-2024-37085	المحاكاة الافتراضية	microsoft.com, blog.talosintelligence.com

تقنيات ATT&CK

تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.

الوصول الأولي	التنفيذ	الاستمرارية	تصعيد الامتيازات	التخفي	الوصول إلى بيانات الاعتماد	الاستكشاف	الحركة الجانبية	جمع البيانات	استخراج البيانات	القيادة والتحكم	التأثير	تطوير الموارد	إضعاف وسائل الدفاع
Valid Accounts	Windows Management Instrumentation	Scheduled Task/Job: Scheduled Task	Scheduled Task/Job: Scheduled Task	Masquerading: Masquerade File Type	OS Credential Dumping	Query Registry	Remote Services: Remote Desktop Protocol	Archive Collected Data	Exfiltration Over C2 Channel	Application Layer Protocol: Web Protocols	Data Encrypted for Impact	Acquire Infrastructure: Virtual Private Server	Modify Registry
Valid Accounts: Domain Accounts	Scheduled Task/Job: Scheduled Task	Valid Accounts	Process Injection	Process Injection		System Network Configuration Discovery	Remote Services: SMB/Windows Admin Shares		Exfiltration Over Web Service	Ingress Tool Transfer	Inhibit System Recovery	Stage Capabilities: Upload Malware	Disable or Modify Tools
Exploit Public-Facing Application	Command and Scripting Interpreter: PowerShell	Valid Accounts: Domain Accounts	Process Injection: Process Hollowing	Process Injection: Process Hollowing		Remote System Discovery	Lateral Tool Transfer			Remote Access Tools	Defacement: Internal Defacement		Disable or Modify System Firewall
	Command and Scripting Interpreter: Windows Command Shell	Modify Registry	Exploitation for Privilege Escalation	Indicator Removal: File Deletion		Network Service Discovery
	System Services: Service Execution	Create Account: Domain Account	Valid Accounts	Valid Accounts		System Information Discovery
		Server Software Component: Web Shell	Valid Accounts: Domain Accounts	Valid Accounts: Domain Accounts		Account Discovery: Domain Account
		Create or Modify System Process: Windows Service	Access Token Manipulation: Make and Impersonate Token	Access Token Manipulation: Make and Impersonate Token		Network Share Discovery
		Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Create or Modify System Process: Windows Service	Deobfuscate/Decode Files or Information		Domain Trust Discovery
			Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Execution Guardrails		Software Discovery: Security Software Discovery
						System Location Discovery: System Language Discovery

تفاصيل التقنيات

الوصول الأولي (TA0001)

T1078 · Valid Accounts: حصلت BlackByte على وصول إلى بيئات الضحايا عبر بيانات اعتماد VPN مشروعة.
T1078.002 · Valid Accounts: Domain Accounts: استولت BlackByte على بيانات اعتماد مستخدمين إداريين في النطاق أو انتحلت صفاتهم.
T1190 · Exploit Public-Facing Application: استغلت BlackByte ثغرات مثل ProxyLogon وProxyShell للوصول الأولي إلى بيئات الضحايا.

التنفيذ (TA0002)

T1047 · Windows Management Instrumentation: استخدمت BlackByte أداة WMI لحذف نسخ Volume Shadow Copy على أجهزة الضحايا.
T1053.005 · Scheduled Task/Job: Scheduled Task: أنشأت BlackByte مهامّ مجدولة لتنفيذ الحمولة.
T1059.001 · Command and Scripting Interpreter: PowerShell: استخدمت BlackByte أوامر PowerShell مشفّرة أثناء عملياتها، كما استخدمت أوامر PowerShell عن بُعد في شبكات الضحايا.
T1059.003 · Command and Scripting Interpreter: Windows Command Shell: نفّذت BlackByte برمجية الفدية باستخدام صدفة أوامر ويندوز.
T1569.002 · System Services: Service Execution: أنشأت BlackByte خدمات خبيثة لتنفيذ برمجية الفدية.

الاستمرارية (TA0003)

T1053.005 · Scheduled Task/Job: Scheduled Task: أنشأت BlackByte مهامّ مجدولة لتنفيذ الحمولة.
T1078 · Valid Accounts: حصلت BlackByte على وصول إلى بيئات الضحايا عبر بيانات اعتماد VPN مشروعة.
T1078.002 · Valid Accounts: Domain Accounts: استولت BlackByte على بيانات اعتماد مستخدمين إداريين في النطاق أو انتحلت صفاتهم.
T1112 · Modify Registry: أجرت BlackByte تعديلات على السجل لرفع الصلاحيات وتعطيل أدوات الأمان.
T1136.002 · Create Account: Domain Account: أنشأت BlackByte حسابات نطاق ذات صلاحيات مرتفعة أثناء عمليات الاختراق.
T1505.003 · Server Software Component: Web Shell: استخدمت BlackByte واجهات ويب ASPX بعد استغلال ثغرات في خدمات مثل Microsoft Exchange.
T1543.003 · Create or Modify System Process: Windows Service: عدّلت BlackByte عدة خدمات على أجهزة الضحايا لتمكين عمليات التشفير، وثبّتت أدوات مثل AnyDesk كخدمة على أجهزة الضحايا.
T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: استخدمت BlackByte مفاتيح التشغيل في السجل لتحقيق الاستمرارية.

تصعيد الامتيازات (TA0004)

T1053.005 · Scheduled Task/Job: Scheduled Task: أنشأت BlackByte مهامّ مجدولة لتنفيذ الحمولة.
T1055 · Process Injection: حقنت BlackByte أداة Cobalt Strike في العملية `wuauclt.exe` أثناء الاختراقات، وحقنت برمجية الفدية في `svchost.exe` قبل التشفير.
T1055.012 · Process Injection: Process Hollowing: استخدمت BlackByte تقنية تفريغ العمليات (process hollowing) للتهرب من الدفاعات.
T1068 · Exploitation for Privilege Escalation: استغلت BlackByte الثغرة CVE-2024-37085 في برمجيات VMware ESXi لتجاوز المصادقة ثم رفع الصلاحيات.
T1078 · Valid Accounts: حصلت BlackByte على وصول إلى بيئات الضحايا عبر بيانات اعتماد VPN مشروعة.
T1078.002 · Valid Accounts: Domain Accounts: استولت BlackByte على بيانات اعتماد مستخدمين إداريين في النطاق أو انتحلت صفاتهم.
T1134.003 · Access Token Manipulation: Make and Impersonate Token: أنشأت BlackByte رمز مصادقة صالحًا بعد استغلال Microsoft Exchange لتنفيذ أوامر لاحقة بصلاحيات مرتفعة.
T1543.003 · Create or Modify System Process: Windows Service: عدّلت BlackByte عدة خدمات على أجهزة الضحايا لتمكين عمليات التشفير، وثبّتت أدوات مثل AnyDesk كخدمة على أجهزة الضحايا.
T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: استخدمت BlackByte مفاتيح التشغيل في السجل لتحقيق الاستمرارية.

التخفي (TA0005)

T1036.008 · Masquerading: Masquerade File Type: أخفت BlackByte ملفات الإعدادات التي تحوي مفاتيح التشفير على هيئة ملفات PNG.
T1055 · Process Injection: حقنت BlackByte أداة Cobalt Strike في العملية `wuauclt.exe` أثناء الاختراقات، وحقنت برمجية الفدية في `svchost.exe` قبل التشفير.
T1055.012 · Process Injection: Process Hollowing: استخدمت BlackByte تقنية تفريغ العمليات (process hollowing) للتهرب من الدفاعات.
T1070.004 · Indicator Removal: File Deletion: حذفت BlackByte الملفات التنفيذية لبرمجية الفدية بعد التشفير.
T1078 · Valid Accounts: حصلت BlackByte على وصول إلى بيئات الضحايا عبر بيانات اعتماد VPN مشروعة.
T1078.002 · Valid Accounts: Domain Accounts: استولت BlackByte على بيانات اعتماد مستخدمين إداريين في النطاق أو انتحلت صفاتهم.
T1134.003 · Access Token Manipulation: Make and Impersonate Token: أنشأت BlackByte رمز مصادقة صالحًا بعد استغلال Microsoft Exchange لتنفيذ أوامر لاحقة بصلاحيات مرتفعة.
T1140 · Deobfuscate/Decode Files or Information: رمّزت BlackByte الأوامر في أجزاء مشفّرة بـ base64 مدموجة معًا في PowerShell، واستخدمت أوامر PowerShell لتعطيل Windows Defender.
T1480 · Execution Guardrails: أوقفت BlackByte التنفيذ إذا كانت لغة النظام على جهاز الضحية الروسية أو إحدى لغات الجمهوريات السوفييتية السابقة، واستخدمت متغيرات من برمجية الفدية تتطلب مفتاحًا يُمرَّر في سطر الأوامر كي تعمل.

الوصول إلى بيانات الاعتماد (TA0006)

T1003 · OS Credential Dumping: استخدمت BlackByte أدوات مثل Cobalt Strike وMimikatz لاستخراج بيانات الاعتماد من أنظمة الضحايا.

الاستكشاف (TA0007)

T1012 · Query Registry: استعلمت BlackByte عن قيم السجل لتحديد إعدادات لغة النظام.
T1016 · System Network Configuration Discovery: استخدمت BlackByte أدوات مثل Arp لسحب معلومات شبكة النظام وتحديد الأجهزة المتصلة.
T1018 · Remote System Discovery: استخدمت BlackByte أدوات مثل Arp لتحديد الأجهزة المتصلة عن بُعد.
T1046 · Network Service Discovery: استخدمت BlackByte أدوات مثل NetScan لحصر خدمات الشبكة في بيئات الضحايا.
T1082 · System Information Discovery: استخدمت BlackByte أوامر وأدوات نظام متنوعة لسحب معلومات النظام أثناء عملياتها.
T1087.002 · Account Discovery: Domain Account: استخدمت BlackByte أدوات مثل AdFind لتحديد حسابات النطاق وحصرها.
T1135 · Network Share Discovery: حصرت BlackByte المجلدات المشتركة على الشبكة في أجهزة الضحايا.
T1482 · Domain Trust Discovery: حصرت BlackByte معلومات Active Directory وعلاقات الثقة أثناء عملياتها.
T1518.001 · Software Discovery: Security Software Discovery: حصرت BlackByte منتجات الأمان المثبّتة أثناء عملياتها.
T1614.001 · System Location Discovery: System Language Discovery: حدّدت BlackByte إعدادات لغة النظام لتقرير ما يلي من التنفيذ.

الحركة الجانبية (TA0008)

T1021.001 · Remote Services: Remote Desktop Protocol: استخدمت BlackByte بروتوكول RDP للوصول إلى أجهزة أخرى داخل شبكات الضحايا.
T1021.002 · Remote Services: SMB/Windows Admin Shares: استخدمت BlackByte مجلدات SMB المشتركة لتوزيع الحمولات في شبكات الضحايا، بما فيها متغيرات برمجية الفدية BlackByte في العمليات ذاتية الانتشار.
T1570 · Lateral Tool Transfer: نقلت BlackByte أدوات مثل Cobalt Strike وأداة الوصول البعيد AnyDesk أثناء العمليات عبر مجلدات SMB المشتركة.

جمع البيانات (TA0009)

T1560 · Archive Collected Data: ضغطت BlackByte البيانات المجمّعة من بيئات الضحايا قبل تسريبها.

استخراج البيانات (TA0010)

T1041 · Exfiltration Over C2 Channel: أرسلت BlackByte معلومات الأجهزة المجمّعة من الضحايا عبر HTTP POST إلى بنية القيادة والتحكم.
T1567 · Exfiltration Over Web Service: استخدمت BlackByte خدمات مثل `anonymfiles.com` و`file.io` لتسريب بيانات الضحايا.

القيادة والتحكم (TA0011)

T1071.001 · Application Layer Protocol: Web Protocols: جمعت BlackByte معلومات أجهزة الضحايا ثم أرسلتها عبر HTTP POST إلى بنية القيادة والتحكم.
T1105 · Ingress Tool Transfer: نقلت BlackByte أدوات مثل Cobalt Strike إلى بيئات الضحايا من مواقع مشاركة الملفات والاستضافة.
T1219 · Remote Access Tools: استخدمت BlackByte أدوات مثل AnyDesk في بيئات الضحايا.

التأثير (TA0040)

T1486 · Data Encrypted for Impact: شفّرت BlackByte ملفات الضحايا طلبًا للفدية. استخدمت الإصدارات الأولى مفتاح تشفير مشتركًا، بينما تستخدم الإصدارات اللاحقة مفاتيح فريدة لكل ضحية.
T1490 · Inhibit System Recovery: غيّرت BlackByte حجم ملفات النسخ الظلية للأقراص وحذفتها لمنع استعادة النظام بعد التشفير.
T1491.001 · Defacement: Internal Defacement: تركت BlackByte مذكرات الفدية في كل المجلدات التي جرى فيها التشفير.

تطوير الموارد (TA0042)

T1583.003 · Acquire Infrastructure: Virtual Private Server: جهّزت BlackByte مفاتيح التشفير على خوادم افتراضية خاصة يديرها الخصم.
T1608.001 · Stage Capabilities: Upload Malware: جهّزت BlackByte أدوات مثل Cobalt Strike على مواقع عامة لمشاركة الملفات والاستضافة.

إضعاف وسائل الدفاع (TA0112)

T1112 · Modify Registry: أجرت BlackByte تعديلات على السجل لرفع الصلاحيات وتعطيل أدوات الأمان.
T1685 · Disable or Modify Tools: عطّلت BlackByte أدوات أمان مثل Windows Defender وأداة مكافحة الفدية Raccine أثناء عملياتها.
T1686 · Disable or Modify System Firewall: عدّلت BlackByte قواعد جدار الحماية على أجهزة الضحايا لتمكين اكتشاف الأنظمة البعيدة.

الأدوات

تفادي الاكتشاف

Dell Client driver (BYOVD)
GIGABYTE Motherboard driver (BYOVD)
MSI Afterburner driver (BYOVD)
Zemana Anti-Rootkit driver

الاستكشاف

PowerView
SoftPerfect NetScan

أدوات هجومية

Cobalt Strike
PowerShell Empire

أدوات الإدارة عن بُعد

AnyDesk

البنية التحتية لمواقع التسريب

العنوان	النوع	العنوان بعد تعطيل الرابط	حالة الظهور وقت جمع البيانات
—	DLS	`6iaj3efye3q62xjgfxyegrufhewxew7yt4scxjd45tlfafyja6q4ctqd[.]onion`	لا
BB Auction	DLS	`jbeg2dct2zhku6c2vwnpxtm2psnjo2xnqvvpoiiwr5hxnc6wrp3uhnad[.]onion`	لا
BB Auction	DLS	`dounczge5jhw4iztnnpzp54kd4ot3tikhjsimurtcewqssgye6vvrhqd[.]onion`	لا
BlackByte BLOG	DLS	`f5uzduboq4fa2xkjloprmctk7ve3dm46ff7aniis66cbekakvksxgeqd[.]onion`	لا
File downloader	Files	`tj3ty2q5jm5au3bmd2embtjscd3qjt7nfio2o7cr6moyy5kgil5pieqd[.]onion`	لا
BB Auction	DLS	`53d5skw4ypzku4bfq2tk2mr3xh5yqrzss25sooiubmjz67lb3gdivcad[.]onion`	لا
BlackByte BLOG	DLS	`ce6roic2ykdjunyzazsxmjpz5wsar4pflpoqzntyww5c2eskcp7dq4yd[.]onion`	لا
BlackByte BLOG	DLS	`dlyo7r3n4qy5fzv4645nddjwarj7wjdd6wzckomcyc7akskkxp4glcad[.]onion`	لا
BlackByte BLOG	DLS	`fl3xpz5bmgzxy4fmebhgsbycgnz24uosp3u4g33oiln627qq3gyw37ad[.]onion`	لا

المصادر والتحفظات

تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.

تاريخ توثيق البيانات: 2026-10-11