BlackLock-Ransomware: Sicherheitslücke führt zu Enthüllungen

MÜNCHEN (IT BOLTWISE) – In einem bemerkenswerten Fall von ‘Hacken der Hacker’ haben Sicherheitsforscher die Infrastruktur der Ransomware-Gruppe BlackLock infiltriert und dabei entscheidende Informationen über deren Vorgehensweise aufgedeckt.

Die Cyberkriminalität hat eine neue Wendung genommen, als Sicherheitsforscher von Resecurity eine Schwachstelle in der Datenleak-Seite der Ransomware-Gruppe BlackLock entdeckten. Diese Lücke ermöglichte es, Konfigurationsdateien, Zugangsdaten und die Historie der auf dem Server ausgeführten Befehle zu extrahieren. Diese Entdeckung stellt einen der größten operativen Sicherheitsfehler der Gruppe dar.

BlackLock, eine umbenannte Version der früheren Eldorado-Gruppe, hat sich 2025 zu einem der aktivsten Erpressungssyndikate entwickelt. Die Gruppe zielt insbesondere auf die Technologie-, Fertigungs-, Bau-, Finanz- und Einzelhandelssektoren ab. Bis zum letzten Monat hatte sie 46 Opfer auf ihrer Website gelistet, darunter Organisationen in Ländern wie Argentinien, Brasilien, Kanada und den USA.

Die von Resecurity identifizierte Schwachstelle ist ein lokaler Datei-Inklusionsfehler (LFI), der den Webserver dazu verleitet, sensible Informationen preiszugeben. Diese Schwachstelle wurde von den Forschern genutzt, um die Befehlsgeschichte der Betreiber auf der Leak-Seite zu erlangen, was wertvolle Einblicke in die Arbeitsweise der Gruppe bot.

Eine der bemerkenswerten Entdeckungen war die Nutzung von Rclone, um Daten in den MEGA-Cloud-Speicherdienst zu exfiltrieren. In einigen Fällen installierten die Angreifer sogar den MEGA-Client direkt auf den Systemen der Opfer. Die Bedrohungsakteure erstellten mindestens acht Konten auf MEGA mit Wegwerf-E-Mail-Adressen, um die Opferdaten zu speichern.

Interessanterweise wurde die Leak-Seite von BlackLock am 20. März von DragonForce, einer anderen Ransomware-Gruppe, defaced. Dies geschah wahrscheinlich durch die Ausnutzung derselben LFI-Schwachstelle. Die Konfigurationsdateien und internen Chats wurden auf der Landingpage veröffentlicht, was zu Spekulationen über eine mögliche Zusammenarbeit oder Übernahme durch DragonForce führte.

Die Ereignisse werfen Fragen über die Zukunft von BlackLock auf. Es ist unklar, ob die Gruppe unter neuer Führung steht oder ob sie sich in einem Konsolidierungsprozess befindet. Der Hauptakteur ‘$$$’ zeigte keine Überraschung über die Vorfälle, was darauf hindeutet, dass er möglicherweise bereits von der Kompromittierung seiner Operationen wusste und sich daher stillschweigend zurückzog.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!