Una nueva filtración de registros de chat internos ha expuesto posibles conexiones entre la banda de ransomware BlackBasta y las autoridades rusas.
Las filtraciones, que consisten en más de 200.000 mensajes a lo largo de un año, fueron compartidas por un usuario de Telegram conocido como @ExploitWhispers el 11 de febrero de 2025. El usuario afirmó haber filtrado los chats en respuesta al supuesto ataque de BlackBasta a bancos rusos, aunque no se han encontrado pruebas que respalden esta afirmación.
La firma de ciberseguridad Trellix obtuvo y analizó los registros de chat en un nuevo aviso, que revela conversaciones que sugieren que el líder de BlackBasta, identificado como Oleg Nefedov (alias GG o Tramp), podría haber recibido ayuda de funcionarios rusos.
Según los registros, Nefedov fue detenido en Armenia en junio de 2024, pero escapó tres días después. Un intercambio de chat entre GG y un socio llamado Chuck reveló que las autoridades rusas presuntamente facilitaron su extracción. GG afirmó haber contactado con altos funcionarios para asegurar un «corredor verde». Chuck especuló que el «número 1» mencionado en el chat podría ser el presidente ruso Vladimir Putin, aunque GG no confirmó ni negó la afirmación.
Tras las conversaciones filtradas, se indicó que las fuerzas del orden rusas podrían tener la facultad de suprimir las solicitudes de Interpol en algunos casos. GG y Chuck también mencionaron que continuarían con sus actividades ilícitas «mientras su abuelo viva», posiblemente insinuando que se protegían de una figura influyente.
Además, un chat vinculó a un miembro del grupo Trickbot con el Servicio Federal de Seguridad (FSB) de Rusia, lo que reforzó las sospechas de conexiones con el gobierno.
Los mensajes filtrados sugieren que BlackBasta opera dos oficinas físicas en Moscú, con conversaciones detalladas sobre logística de oficina, medidas de seguridad y coordinación del personal. El grupo también organiza regularmente reuniones en restaurantes de lujo y saunas rusas, lo que indica una operación estructurada y de aspecto empresarial.
Además, los registros muestran el uso extensivo de herramientas de IA por parte de BlackBasta, como ChatGPT. Los miembros de la banda utilizaban IA para generar correos electrónicos de phishing, depurar código de malware y reescribir scripts de ransomware para evadir la detección. También aprovechaban la IA para recopilar datos de las víctimas; uno de ellos automatizaba la recopilación de contactos a través de los servicios API de GPT.
Las filtraciones ofrecen información sobre las conexiones de BlackBasta con otros grupos cibercriminales. El grupo colaboró con múltiples afiliados de ransomware como servicio (RaaS), como Rhysida y Cactus, y utilizó cargadores de malware como Qakbot, Pikabot, DarkGate e IcedID. Las conversaciones también revelaron los acuerdos de alquiler del grupo con otros cibercriminales, incluyendo un acuerdo para pagar 1 millón de dólares por acceso exclusivo al malware DarkGate.
Tras un ataque fallido a Ascension Health, los líderes de BlackBasta debatieron, según se informa, un cambio de nombre. Los registros de chat indican que Nefedov instruyó a un desarrollador clave para crear una nueva variante de ransomware basada en el código fuente de Conti, asegurándose de que no se pudiera rastrear hasta BlackBasta. Los planes incluían el uso de infraestructura segura en Abjasia, un lugar con vínculos históricos con la ciberdelincuencia rusa.
El análisis de Trellix sobre las filtraciones de BlackBasta revela una organización cibercriminal profundamente arraigada con vínculos de alto nivel en Rusia.
A pesar de los planes del grupo para cambiar de nombre, la exposición de sus operaciones internas podría complicar los esfuerzos para operar bajo una nueva identidad.
La disminución de la actividad de BlackBasta en 2025 podría estar relacionada con el arresto de Nefedov y las consecuencias del ataque a Ascension Health. Aun así, la historia sugiere que los grupos de ransomware suelen resurgir con nombres diferentes, aprendiendo de los errores del pasado mientras continúan explotando nuevas vulnerabilidades.