Groupe BlackByte : CVE, techniques et outils

Vue d’ensemble

Rançongiciel. Utilise un dropper écrit en JavaScript pour déployer une charge utile .NET.

Premier suivi: 2021-10-04
Citée dans nos rapports: Bahreïn

Géographie : origine et cibles

Origine estimée: Russie. Sa charge utile s’arrête sur les paramètres de langue russes et ex-soviétiques, ce qui correspond à des opérateurs russophones. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.

États-Unis d'Amérique14
Brésil4
Royaume-Uni3
Suède2
Pologne2
Mexique1
Espagne1
Inde1
Japon1
Vietnam1

Vulnérabilités exploitées

Éditeur	Produit	CVE	Catégorie	Source
VMware	ESXi	CVE-2024-37085	Virtualisation	microsoft.com, blog.talosintelligence.com

Techniques ATT&CK

Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.

Accès initial	Exécution	Persistance	Élévation de privilèges	Furtivité	Accès aux identifiants	Découverte	Déplacement latéral	Collecte	Exfiltration	Commande et contrôle	Impact	Développement de ressources	Affaiblissement des défenses
Valid Accounts	Windows Management Instrumentation	Scheduled Task/Job: Scheduled Task	Scheduled Task/Job: Scheduled Task	Masquerading: Masquerade File Type	OS Credential Dumping	Query Registry	Remote Services: Remote Desktop Protocol	Archive Collected Data	Exfiltration Over C2 Channel	Application Layer Protocol: Web Protocols	Data Encrypted for Impact	Acquire Infrastructure: Virtual Private Server	Modify Registry
Valid Accounts: Domain Accounts	Scheduled Task/Job: Scheduled Task	Valid Accounts	Process Injection	Process Injection		System Network Configuration Discovery	Remote Services: SMB/Windows Admin Shares		Exfiltration Over Web Service	Ingress Tool Transfer	Inhibit System Recovery	Stage Capabilities: Upload Malware	Disable or Modify Tools
Exploit Public-Facing Application	Command and Scripting Interpreter: PowerShell	Valid Accounts: Domain Accounts	Process Injection: Process Hollowing	Process Injection: Process Hollowing		Remote System Discovery	Lateral Tool Transfer			Remote Access Tools	Defacement: Internal Defacement		Disable or Modify System Firewall
	Command and Scripting Interpreter: Windows Command Shell	Modify Registry	Exploitation for Privilege Escalation	Indicator Removal: File Deletion		Network Service Discovery
	System Services: Service Execution	Create Account: Domain Account	Valid Accounts	Valid Accounts		System Information Discovery
		Server Software Component: Web Shell	Valid Accounts: Domain Accounts	Valid Accounts: Domain Accounts		Account Discovery: Domain Account
		Create or Modify System Process: Windows Service	Access Token Manipulation: Make and Impersonate Token	Access Token Manipulation: Make and Impersonate Token		Network Share Discovery
		Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Create or Modify System Process: Windows Service	Deobfuscate/Decode Files or Information		Domain Trust Discovery
			Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Execution Guardrails		Software Discovery: Security Software Discovery
						System Location Discovery: System Language Discovery

Détail des techniques

Accès initial (TA0001)

T1078 · Valid Accounts: BlackByte a obtenu l’accès aux environnements des victimes via des identifiants VPN légitimes.
T1078.002 · Valid Accounts: Domain Accounts: BlackByte a capturé les identifiants d’utilisateurs d’administration du domaine ou s’est fait passer pour eux.
T1190 · Exploit Public-Facing Application: BlackByte a exploité des vulnérabilités comme ProxyLogon et ProxyShell pour l’accès initial aux environnements des victimes.

Exécution (TA0002)

T1047 · Windows Management Instrumentation: BlackByte a utilisé WMI pour supprimer les clichés instantanés de volume sur les machines des victimes.
T1053.005 · Scheduled Task/Job: Scheduled Task: BlackByte a créé des tâches planifiées pour exécuter la charge utile.
T1059.001 · Command and Scripting Interpreter: PowerShell: BlackByte a utilisé des commandes PowerShell encodées pendant ses opérations, ainsi que des commandes PowerShell distantes dans les réseaux des victimes.
T1059.003 · Command and Scripting Interpreter: Windows Command Shell: BlackByte a exécuté le rançongiciel à l’aide de l’interpréteur de commandes Windows.
T1569.002 · System Services: Service Execution: BlackByte a créé des services malveillants pour exécuter le rançongiciel.

Persistance (TA0003)

T1053.005 · Scheduled Task/Job: Scheduled Task: BlackByte a créé des tâches planifiées pour exécuter la charge utile.
T1078 · Valid Accounts: BlackByte a obtenu l’accès aux environnements des victimes via des identifiants VPN légitimes.
T1078.002 · Valid Accounts: Domain Accounts: BlackByte a capturé les identifiants d’utilisateurs d’administration du domaine ou s’est fait passer pour eux.
T1112 · Modify Registry: BlackByte a modifié le registre pour élever ses privilèges et désactiver les outils de sécurité.
T1136.002 · Create Account: Domain Account: BlackByte a créé des comptes de domaine privilégiés pendant les intrusions.
T1505.003 · Server Software Component: Web Shell: BlackByte a utilisé des web shells ASPX après l’exploitation de vulnérabilités dans des services comme Microsoft Exchange.
T1543.003 · Create or Modify System Process: Windows Service: BlackByte a modifié plusieurs services sur les machines des victimes pour permettre le chiffrement, et a installé des outils comme AnyDesk en tant que service.
T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: BlackByte a utilisé les clés Run du registre pour assurer sa persistance.

Élévation de privilèges (TA0004)

T1053.005 · Scheduled Task/Job: Scheduled Task: BlackByte a créé des tâches planifiées pour exécuter la charge utile.
T1055 · Process Injection: BlackByte a injecté Cobalt Strike dans `wuauclt.exe` pendant les intrusions et injecté le rançongiciel dans `svchost.exe` avant le chiffrement.
T1055.012 · Process Injection: Process Hollowing: BlackByte a utilisé le process hollowing pour échapper aux défenses.
T1068 · Exploitation for Privilege Escalation: BlackByte a exploité la CVE-2024-37085 dans VMware ESXi pour contourner l’authentification puis élever ses privilèges.
T1078 · Valid Accounts: BlackByte a obtenu l’accès aux environnements des victimes via des identifiants VPN légitimes.
T1078.002 · Valid Accounts: Domain Accounts: BlackByte a capturé les identifiants d’utilisateurs d’administration du domaine ou s’est fait passer pour eux.
T1134.003 · Access Token Manipulation: Make and Impersonate Token: BlackByte a fabriqué un jeton d’authentification valide après l’exploitation de Microsoft Exchange afin d’exécuter ensuite des commandes privilégiées.
T1543.003 · Create or Modify System Process: Windows Service: BlackByte a modifié plusieurs services sur les machines des victimes pour permettre le chiffrement, et a installé des outils comme AnyDesk en tant que service.
T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder: BlackByte a utilisé les clés Run du registre pour assurer sa persistance.

Furtivité (TA0005)

T1036.008 · Masquerading: Masquerade File Type: BlackByte a déguisé en fichiers PNG les fichiers de configuration contenant les clés de chiffrement.
T1055 · Process Injection: BlackByte a injecté Cobalt Strike dans `wuauclt.exe` pendant les intrusions et injecté le rançongiciel dans `svchost.exe` avant le chiffrement.
T1055.012 · Process Injection: Process Hollowing: BlackByte a utilisé le process hollowing pour échapper aux défenses.
T1070.004 · Indicator Removal: File Deletion: BlackByte a supprimé les exécutables du rançongiciel après le chiffrement.
T1078 · Valid Accounts: BlackByte a obtenu l’accès aux environnements des victimes via des identifiants VPN légitimes.
T1078.002 · Valid Accounts: Domain Accounts: BlackByte a capturé les identifiants d’utilisateurs d’administration du domaine ou s’est fait passer pour eux.
T1134.003 · Access Token Manipulation: Make and Impersonate Token: BlackByte a fabriqué un jeton d’authentification valide après l’exploitation de Microsoft Exchange afin d’exécuter ensuite des commandes privilégiées.
T1140 · Deobfuscate/Decode Files or Information: BlackByte a encodé des commandes en sections base64 concaténées dans PowerShell et utilise des commandes PowerShell pour désactiver Windows Defender.
T1480 · Execution Guardrails: BlackByte a interrompu l’exécution lorsque la langue du système de la victime était le russe ou l’une des langues d’anciennes républiques soviétiques, et a utilisé des variantes du rançongiciel nécessitant une clé passée en ligne de commande pour s’exécuter.

Accès aux identifiants (TA0006)

T1003 · OS Credential Dumping: BlackByte a utilisé des outils comme Cobalt Strike et Mimikatz pour extraire des identifiants des systèmes des victimes.

Découverte (TA0007)

T1012 · Query Registry: BlackByte a interrogé des valeurs du registre pour déterminer les paramètres de langue du système.
T1016 · System Network Configuration Discovery: BlackByte a utilisé des outils comme Arp pour récupérer les informations réseau du système et identifier les appareils connectés.
T1018 · Remote System Discovery: BlackByte a utilisé des outils comme Arp pour identifier les appareils connectés à distance.
T1046 · Network Service Discovery: BlackByte a utilisé des outils comme NetScan pour énumérer les services réseau dans les environnements des victimes.
T1082 · System Information Discovery: BlackByte a utilisé diverses commandes et divers outils système pour récupérer des informations système pendant ses opérations.
T1087.002 · Account Discovery: Domain Account: BlackByte a utilisé des outils comme AdFind pour identifier et énumérer les comptes de domaine.
T1135 · Network Share Discovery: BlackByte a énuméré les partages réseau sur les appareils des victimes.
T1482 · Domain Trust Discovery: BlackByte a énuméré les informations Active Directory et les relations d’approbation pendant ses opérations.
T1518.001 · Software Discovery: Security Software Discovery: BlackByte a énuméré les produits de sécurité installés pendant ses opérations.
T1614.001 · System Location Discovery: System Language Discovery: BlackByte a identifié les paramètres de langue du système pour décider de la suite de l’exécution.

Déplacement latéral (TA0008)

T1021.001 · Remote Services: Remote Desktop Protocol: BlackByte a utilisé RDP pour accéder à d’autres hôtes dans les réseaux des victimes.
T1021.002 · Remote Services: SMB/Windows Admin Shares: BlackByte a utilisé des partages de fichiers SMB pour distribuer des charges utiles dans les réseaux des victimes, y compris des variantes du rançongiciel BlackByte lors d’opérations auto-propagées.
T1570 · Lateral Tool Transfer: BlackByte a transféré des outils comme Cobalt Strike et l’outil d’accès distant AnyDesk pendant ses opérations via des partages SMB.

Collecte (TA0009)

T1560 · Archive Collected Data: BlackByte a compressé les données collectées dans les environnements des victimes avant l’exfiltration.

Exfiltration (TA0010)

T1041 · Exfiltration Over C2 Channel: BlackByte a transmis les informations collectées sur les hôtes des victimes par HTTP POST vers son infrastructure de commande et contrôle.
T1567 · Exfiltration Over Web Service: BlackByte a utilisé des services comme `anonymfiles.com` et `file.io` pour exfiltrer les données des victimes.

Commande et contrôle (TA0011)

T1071.001 · Application Layer Protocol: Web Protocols: BlackByte a collecté des informations sur les appareils des victimes puis les a transmises par HTTP POST à son infrastructure de commande et contrôle.
T1105 · Ingress Tool Transfer: BlackByte a transféré des outils comme Cobalt Strike vers les environnements des victimes depuis des sites de partage et d’hébergement de fichiers.
T1219 · Remote Access Tools: BlackByte a utilisé des outils comme AnyDesk dans les environnements des victimes.

Impact (TA0040)

T1486 · Data Encrypted for Impact: BlackByte a chiffré les fichiers des victimes pour obtenir une rançon. Les premières versions utilisaient une clé de chiffrement commune ; les versions ultérieures utilisent des clés uniques par victime.
T1490 · Inhibit System Recovery: BlackByte a redimensionné puis supprimé les fichiers de clichés instantanés de volume pour empêcher la restauration du système après le chiffrement.
T1491.001 · Defacement: Internal Defacement: BlackByte a laissé des notes de rançon dans tous les répertoires où le chiffrement a eu lieu.

Développement de ressources (TA0042)

T1583.003 · Acquire Infrastructure: Virtual Private Server: BlackByte a placé les clés de chiffrement sur des serveurs privés virtuels exploités par l’adversaire.
T1608.001 · Stage Capabilities: Upload Malware: BlackByte a mis en place des outils comme Cobalt Strike sur des sites publics de partage et d’hébergement de fichiers.

Affaiblissement des défenses (TA0112)

T1112 · Modify Registry: BlackByte a modifié le registre pour élever ses privilèges et désactiver les outils de sécurité.
T1685 · Disable or Modify Tools: BlackByte a désactivé des outils de sécurité comme Windows Defender et l’outil anti-rançongiciel Raccine pendant ses opérations.
T1686 · Disable or Modify System Firewall: BlackByte a modifié des règles de pare-feu sur les machines des victimes pour permettre la découverte de systèmes distants.

Outils

Évasion des défenses

Dell Client driver (BYOVD)
GIGABYTE Motherboard driver (BYOVD)
MSI Afterburner driver (BYOVD)
Zemana Anti-Rootkit driver

Découverte

PowerView
SoftPerfect NetScan

Outils offensifs

Cobalt Strike
PowerShell Empire

Outils d’administration à distance

AnyDesk

Infrastructure des sites de fuite

Titre	Type	Adresse (neutralisée)	En ligne à la date du relevé
—	DLS	`6iaj3efye3q62xjgfxyegrufhewxew7yt4scxjd45tlfafyja6q4ctqd[.]onion`	Non
BB Auction	DLS	`jbeg2dct2zhku6c2vwnpxtm2psnjo2xnqvvpoiiwr5hxnc6wrp3uhnad[.]onion`	Non
BB Auction	DLS	`dounczge5jhw4iztnnpzp54kd4ot3tikhjsimurtcewqssgye6vvrhqd[.]onion`	Non
BlackByte BLOG	DLS	`f5uzduboq4fa2xkjloprmctk7ve3dm46ff7aniis66cbekakvksxgeqd[.]onion`	Non
File downloader	Files	`tj3ty2q5jm5au3bmd2embtjscd3qjt7nfio2o7cr6moyy5kgil5pieqd[.]onion`	Non
BB Auction	DLS	`53d5skw4ypzku4bfq2tk2mr3xh5yqrzss25sooiubmjz67lb3gdivcad[.]onion`	Non
BlackByte BLOG	DLS	`ce6roic2ykdjunyzazsxmjpz5wsar4pflpoqzntyww5c2eskcp7dq4yd[.]onion`	Non
BlackByte BLOG	DLS	`dlyo7r3n4qy5fzv4645nddjwarj7wjdd6wzckomcyc7akskkxp4glcad[.]onion`	Non
BlackByte BLOG	DLS	`fl3xpz5bmgzxy4fmebhgsbycgnz24uosp3u4g33oiln627qq3gyw37ad[.]onion`	Non

Sources et réserves

Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.

Relevé du: 2026-10-11