Lehren aus dem Zusammenbruch von Black Basta

Wie durchgesickerte Chats, der Druck der Strafverfolgungsbehörden und die Migration von Affiliates die Resilienz des Ransomware-Ökosystems offenlegten

Die wichtigsten Erkenntnisse

• Der Zusammenbruch von Black Basta beeinträchtigte einen Namen, nicht jedoch die zugrunde liegenden kriminellen Fähigkeiten, die schnell durch Affiliate-Migration und Code-Wiederverwendung wieder auftauchten.
• Durchgesickerte operative Daten stärken die Ermittlungen erheblich. Durch die Verknüpfung von Chatprotokollen mit Opferberichten, Blockchain-Daten und Zeitabläufen der Eindringversuche wurden fragmentierte Informationen in verwertbare Beweismittel für die Strafverfolgung umgewandelt.
• Angriffe auf das Gesundheitswesen beschleunigen die Prüfung und die Konsequenzen. Angriffe auf kritische Infrastruktur verändern die Risikoberechnung sowohl für Bedrohungsakteure als auch für Verteidiger.

Black Basta (auch bekannt als BlackBasta, Blackbasta, Basta und Vengeful Mantis) war bis zu seinem Zusammenbruch Anfang 2025 eine führende Ransomware-Marke. Die Gruppe sammelte mindestens 107 Millionen $ an Ransomware-Zahlungen (basierend auf Blockchain-Verfolgung) von den ersten Operationen im Jahr 2022 bis Ende 2023. Black Basta war jahrelang vor seinem Verschwinden eine globale Priorität der Strafverfolgung, und Ermittler suchen weiterhin nach Hinweisen und Beweisen, um Mitglieder der Gruppe zur Rechenschaft zu ziehen. Aktuelle Schlagzeilen zeigen, dass diese Arbeit Früchte trägt.

Die Gruppe wird weithin als eine Umbenennung oder ein Ableger der Conti-Ransomware-Gruppe angesehen, die im Mai 2022 untergetaucht ist. Analysten stellten starke Überschneidungen bei den Werkzeugen und Vorgehensweisen der beiden Gruppen fest, und die Blockchain-Analyse zeigte später, dass mehrere Millionen Dollar von mit Conti verbundenen Wallets in Wallets flossen, die von Black Basta kontrolliert wurden. Forscher entdeckten, dass ein russischer Staatsbürger, der unter Aliasnamen wie „GG“, „Tramp“, „Trump“ und „AA“ bekannt war, ein wichtiges Mitglied von Conti und wahrscheinlich der Gründer von Black Basta war.

Black Basta war ein geschlossener, hochleistungsfähiger Ransomware-as-a-Service (RaaS)-Cluster. Ein Cluster ist ein Netzwerk von Spezialisten und Partnern, die um eine Marke herum koordiniert werden, und keine in sich geschlossene RaaS-Operation. Diese Unterscheidung ist wichtig, weil ein Cluster als Marke „zusammenbrechen“ kann, ohne dass die von seinen Mitgliedern ausgehenden Bedrohungen beeinträchtigt werden. Die zugrunde liegenden Fähigkeiten eines Clusters sind portabel, und die gleichen Tools und Taktiken können schnell unter neuen Marken wieder auftauchen.

Laut öffentlichen Berichten feierte Black Basta im April 2022 sein Debüt, kurz bevor Conti den Betrieb einstellte. Die Gruppe hatte in den ersten sieben Monaten etwa 100 Opfer und weltweit mehr als 500 Opfer, als sie im Mai 2024 Ascension angriff.

Black Basta war bekannt dafür, große Unternehmen und kritische Infrastrukturen anzugreifen, aber Ascension war ein Wendepunkt für die Gruppe, da es das Risikoumfeld schnell erhöhte. Der Angriff störte den Betrieb in etwa 140 Krankenhäusern in 19 US-Bundesstaaten und Washington, D.C., was eine schnelle Rückkehr zu Papierabläufen und Umleitungen von Rettungswagen erzwang, während das Personal Schwierigkeiten hatte, grundlegende Bestellungen genehmigt zu bekommen.

Black Basta veröffentlichte sein letztes Opfer im Januar 2025 auf seiner Leak-Seite. Im Februar veröffentlichte ein unbekannter Akteur namens „ExploitWhispers“ einen riesigen Cache interner Chat-Logs, die das Ende 2023 bis 2024 abdecken. Bis März 2025 galt Black Basta als inaktiv, obwohl seine Taktiken und Werkzeuge auch von anderen Marken verwendet wurden.

Black Basta's Zusammenbruch

Die durchgesickerten Chats deuten darauf hin, dass in der zweiten Hälfte des Jahres 2024 Spannungen auftreten:

• Einige Black-Basta-Angriffe hatten technische Mängel bei der Verschlüsselung, sodass Entschlüsselung unmöglich war, selbst wenn das Lösegeld bezahlt wurde.
• Die Störung von QakBot im August 2023 unterbrach einen wichtigen Lieferkanal von Black Basta. Die Gruppe hatte fast ein Jahr lang Schwierigkeiten, einen Ersatz zu finden oder zu bauen.

• Der Anführer von Black Basta, GG, wurde im Juni 2024 in Armenien verhaftet. Nach drei Tagen in Haft floh er nach Russland, während er auf eine Gerichtsentscheidung wartete. Er ist vor Auslieferung sicher, aber diese Art der Bloßstellung kann dem Ansehen der Gruppe schaden.
• Gespräche über finanzielle Prioritäten, unfaire Bezahlung und Meinungsverschiedenheiten darüber , welche Ziele angegriffen werden könnten, offenbarten Spannungen und Unmut unter den Tochtergesellschaften.
• Angriffe auf Ascension wurden unmittelbar darauf von verstärkten öffentlichen Warnungen vor Black Basta gefolgt. Die Mitglieder begannen, über eine Umbenennung zu sprechen.  

Was geschah dann?

Nicht jeder, der mit Black Basta arbeitete, wäre von dem Zusammenbruch betroffen gewesen. Initial Access Broker (IABs), Bulletproof Hosting Provider und andere *-as-a-Service-Anbieter oder Gig-Worker hätten ihren Betrieb mit geringen Unterbrechungen fortsetzen können. Forscher spekulieren, dass Mitglieder und Partner von Black Basta sich den Ransomware-Gruppen CACTUS und SafePay angeschlossen haben.

SafePay wurde erstmals im September 2024 beobachtet, obwohl es bis November desselben Jahres keine Opfer forderte. Die Aktivitäten der Gruppe und die Zahl ihrer Opfer nahmen im Jahr 2025 zu, und ihre Methoden und Taktiken ähneln denen von Black Basta und Conti. SafePay ist keine RaaS-Plattform und hätte wahrscheinlich nur die stärksten Bedrohungsakteure von Black Basta aufgenommen.

SafePay ist am 26. Januar 2026 immer noch aktiv.

CACTUS wurde im März 2023 in freier Wildbahn entdeckt und operierte zeitgleich mit Black Basta. Diese Gruppe hatte auch ähnliche Taktiken und Tools wie Black Basta und Conti sowie einige andere Gruppen. CACTUS wurde zuletzt am 21. März 2025 gesehen und gilt nun als inaktiv.

Es gibt anscheinend keine direkten Beweise, die Mitglieder von Black Basta mit einer der beiden Gruppen in Verbindung bringen, aber es gibt Beweise, die GG mit mindestens einem Mitglied von Cactus in Verbindung bringen. 

Laufende Untersuchung

Während Black Basta sich zurückzog, entdeckten die Ermittler mehrere Ebenen forensischer Beweise, die Identitäten mit Marken, Orten und Angriffen in Verbindung brachten. Frühe Berichte zeigen, dass wichtige Datentypen aus diesen Nachrichten gewonnen werden:

• Organisationsstruktur und Aufteilung der Rollen in Führung, Betreiber, Partner, Spezialisten usw.
• Details zum Tagesgeschäft und den Arbeitsabläufen
• Werkzeuge, Techniken und neue Social-Engineering-Angriffe wie die Microsoft Teams-Kampagnen
• Wallet-Adressen von Kryptowährungen und andere Daten, die Zahlungsmuster und betriebliches Finanzverhalten enthüllten
• Interne Infrastrukturdiskussionen, die Analysten mit beobachteten Aktivitäten verknüpfen konnten
• Nachrichten, in denen Schwachstellen und Exploits identifiziert wurden, die für die Gruppe Priorität hatten

Die durchgesickerten Chats lieferten Details über Wallets, Tools, Zeitstempel usw., aber erst die Korrelation mit Enthüllungen und Opferberichten machte die Daten zu echten Beweismitteln. Die Korrelation von Wallets hilft bei der Nachverfolgung von Zahlungen und der Infrastruktur für Auszahlungen, während die Korrelation von Zeitleisten und Taktiken dabei hilft, Chat-Aktivitäten mit spezifischen Einbrüchen abzugleichen. Im Fall des Ascension-Angriffs zeigten die Chats, dass GG an Diskussionen über den Zugang vor dem Angriff und an der „Brandbekämpfung“ nach dem Angriff beteiligt war. Durch die Kombination der Erkenntnisse über den Angriff auf Ascension mit den während des Angriffs gefundenen Nachrichten können die Ermittler nachweisen, dass GG von dem geplanten Angriff auf Ascension wusste.

 Deshalb ist es so wichtig, dass Opfer Angriffe den Behörden melden. Jeder Vorfallbericht ist Beweismaterial.

Was ist neu?

Im August 2025 durchsuchte die ukrainische Polizei eine Wohnung, beschlagnahmte Beweise und befragte einen Verdächtigen, der als „Crypter“ beschrieben wurde – jemand, dessen Aufgabe es war, sicherzustellen, dass die verwendete Malware der Antivirus-Erkennung entgeht. Der rechtliche Status dieses Verdächtigen ist unklar.

Die jüngste polizeiliche Maßnahme fand im Januar 2026 an mehreren Fronten statt. Ermittler in der Ukraine durchsuchten die Häuser von zwei Verdächtigen, denen vorgeworfen wurde, „Hash-Cracker“-Arbeiten für Black Basta durchgeführt zu haben. Die Polizei beschlagnahmte auch digitale Speichergeräte und Kryptowährungsvermögen, was hoffentlich zu den laufenden Ermittlungen beitragen wird. Die Namen der Verdächtigen wurden nicht veröffentlicht.

In der Zwischenzeit hat die deutsche Bundespolizei Oleg Evgenievich Nefedov öffentlich als GG identifiziert und bekannt gegeben, dass er im Zusammenhang mit Aktivitäten von Black Basta gesucht wird. Nefedov war uns schon vorher bekannt, aber jetzt wurde er auf die Europol EU Most Wanted-Liste gesetzt und eine INTERPOL Red Notice wurde herausgegeben.

Was steht als Nächstes an?

Wir wissen, dass die bei den Razzien im Januar beschlagnahmten Vermögenswerte einer umfassenden forensischen Untersuchung unterzogen werden. Wenn wir dies zu anderen Beweisen hinzufügen, können wir Informationen über mehrere andere Gruppen finden, oder zumindest mehr Mitglieder des Black-Basta-Clusters.

Dies ist ein klassisches Beispiel dafür, wie eine Bedrohung auch nach einer Änderung des Markennamens bestehen bleibt. Unternehmen müssen disziplinierte Security-Praktiken aufrechterhalten. Zum Beispiel:

• Verwenden Sie wo immer möglich eine phishing-sichere Multi-Faktor-Authentifizierung (MFA).
• Sperren Sie Fernzugriff (RDP/VPN) und Admin-Tools.
• Patchen Sie internetzugängliche Systeme so schnell wie möglich.
• Überwachen Sie Identitätsmissbrauch und ungewöhnliche Helpdesk-Aktivitäten.
• Erhalten Sie offline/unveränderliche Backups mit Wiederherstellungstests aufrecht.

Es ist außerdem wichtig, dass Unternehmen und Einzelpersonen Cyberangriffe schnell melden. Jedes bekannte Detail ist ein Beweis, der den Strafverfolgungsbehörden bei der Verfolgung dieser Kriminellen helfen kann.

Schon gewusst? 

Nur Barracuda bietet einen vielschichtigen Schutz, der alle wichtigen Bedrohungsvektoren abdeckt, Ihre Daten schützt und die Reaktion auf Vorfälle automatisiert. Die KI-gestützte BarracudaONE-Plattform schützt Ihre E-Mails, Daten, Anwendungen und Netzwerke und wird durch einen rund um die Uhr verfügbaren, verwalteten XDR-Service verstärkt. Sie vereinheitlicht Ihre Sicherheitsvorkehrungen und bietet eine umfassende, intelligente Bedrohungserkennung und -reaktion. Besuchen Sie unsere Website, um zu erfahren, wie sie Ihnen helfen kann, Ihr Unternehmen zu schützen.