BlackCat / ALPHV

BlackCat (auch bekannt als ALPHV oder Noberus) war eine der technisch fortschrittlichsten Ransomware-Gruppen. Als erste bedeutende Ransomware in der Programmiersprache Rust geschrieben, war sie plattformübergreifend einsetzbar — Windows, Linux und VMware ESXi. Die Gruppe wurde mit ehemaligen Mitgliedern von DarkSide (Colonial Pipeline) und BlackMatter in Verbindung gebracht.

Technische Besonderheiten

BlackCat war die erste prominente Ransomware, die in Rust programmiert wurde — einer Sprache, die Memory Safety garantiert und Reverse Engineering erschwert. Die Malware konnte Windows, Linux und VMware ESXi-Hypervisoren verschlüsseln, was sie besonders gefährlich für Unternehmen mit virtualisierten Umgebungen machte. Die Verschlüsselung nutzte ChaCha20 oder AES, der Schlüsselaustausch erfolgte über RSA oder NTRU (ein post-quantenresistenter Algorithmus).

Angriffsmethodik

BlackCat-Affiliates nutzten kompromittierte Zugangsdaten (oft aus vorherigen Data Breaches), Schwachstellen in Exchange-Servern (ProxyShell, ProxyLogon) und Social Engineering als Einstiegspunkte. Nach dem initialen Zugang folgten systematische Privilege Escalation, Credential Harvesting mit Mimikatz und die Deaktivierung von Sicherheitssoftware. Die Datenexfiltration vor der Verschlüsselung war Standard.

Zerschlagung und Exit Scam

Im Dezember 2023 beschlagnahmte das FBI gemeinsam mit internationalen Partnern die BlackCat-Infrastruktur und stellte Entschlüsselungsschlüssel für über 500 Opfer sicher. Die Gruppe versuchte einen Neustart, führte jedoch im März 2024 einen Exit Scam durch — sie stellte den Betrieb ein und behielt die Lösegeldzahlungen der Affiliates. Dieser Exit Scam nach dem Change Healthcare-Angriff (22 Mio. USD Lösegeld) markierte das effektive Ende der Gruppe.