# BlackMatter > [!danger] BlackMatter - Sucessor do DarkSide, Retornou em 2026 com Ataques a Hospitais > **BlackMatter** é um grupo de ransomware-as-a-service (RaaS) russo que operou de julho a novembro de 2021, alvo principal de alerta conjunto do CISA/FBI/NSA. Declarado como sucessor direto do [[darkside|DarkSide]] e [[s0496-revil|REvil]], o grupo apresentou técnicas avançadas, cifragem Salsa20+RSA-1024, e atacou infraestrutura crítica americana. Ressurgiu em 2026 como **BlackMatter 2.0**, com campanhas contra hospitais no Reino Unido. ## Visão Geral **BlackMatter** surgiu em julho de 2021, poucos meses após o desmantelamento aparente do [[darkside|DarkSide]] (responsável pelo ataque à Colonial Pipeline) e da suspensão do [[s0496-revil|REvil]]. O grupo recrutou abertamente afiliados, anunciando em fóruns underground que estava procurando acesso a redes corporativas com faturamento acima de $100 milhões e mais de 500 hosts. O modelo operacional do BlackMatter era puro RaaS: o grupo desenvolveu e manteve o ransomware (código em C, eficiente e polimórfico), enquanto afiliados conduziam as intrusões. O CISA emitiu advisory conjunto com FBI e NSA (AA21-291A) em outubro de 2021, após ataques confirmados contra infraestrutura crítica americana - especialmente o setor de alimentos e agricultura, que opera em ciclos sazonais e não pode permitir downtime. **Características técnicas distintivas:** - **Cifra híbrida robusta**: Salsa20 para dados + RSA-1024 para proteção da chave - nenhuma fraqueza de implementação foi encontrada durante a operação ativa - **Wipagem de backups**: ao contrário de grupos que apenas criptografam, o BlackMatter apagava ativamente backups antes de criptografar - eliminando a principal rota de recuperação - **Exclusões estratégicas**: o grupo declarou não atacar hospitais, infraestrutura nuclear, oleodutos, setor de defesa ou governo - mas violou essa promessa em múltiplas ocasiões - **Demandas escalonadas**: $80.000 a $15 milhões em Bitcoin ou Monero dependendo do porte da vítima - **Velocidade de cifragem**: o ransomware priorizava arquivos por extensão e tamanho, otimizando a velocidade de impacto O grupo encerrou operações em novembro de 2021, alegando "pressão das autoridades" - poucos meses após o FBI confiscar $2,3 milhões em BTC pago pelo ataque à Colonial Pipeline. Ressurgiu em **2026 como BlackMatter 2.0**, reportado em ataques contra hospitais do NHS no Reino Unido, indicando reativação de infraestrutura ou herdeiros do grupo original. ## Campanhas Documentadas ### Infraestrutura Crítica EUA - Julho a Novembro 2021 Campanha principal documentada no advisory CISA AA21-291A: - Ataques confirmados contra **cooperativas agrícolas americanas** durante o período de colheita - timing deliberado para maximizar pressão de pagamento - **NEW Cooperative (Iowa)**: cooperativa de milho e sojá atacada em setembro de 2021; demanda de $5,9 milhões; a NEW Cooperative recusou pagar alegando ser infraestrutura crítica - BlackMatter negou a classificação - **Crystal Valley Cooperative (Minnesota)**: ataque em setembro 2021, operações interrompidas durante período crítico de colheita de outono - **Múltiplos alvos industriais** não divulgados públicamente em manufatura, energia e tecnologia nos EUA e Europa - Demandas médias: $5-15 milhões para empresas grandes; $80K-500K para médias ### BlackMatter 2.0 - 2026 Ressurgimento reportado em início de 2026: - Ataques contra hospitais do NHS no Reino Unido - quebrando a política declarada de não atacar saúde - Reutilização de infraestrutura do grupo original ou operação de afiliados com o código/branding - NCSC UK emitiu alertas para o setor de saúde britânico ## Arsenal | Ferramenta | Tipo | Função | |-----------|------|--------| | BlackMatter Ransomware | Ransomware (RaaS) | Cifragem Salsa20+RSA-1024, exfiltração antes de cifrar, wipagem de VSS | | [[mimikatz\|Mimikatz]] | Credential Dumping | Extração de credenciais LSASS para movimento lateral | | [[s0154-cobalt-strike\|Cobalt Strike]] | C2 Framework | Pós-comprometimento, movimento lateral, reconhecimento | | ExMatter | Exfiltrador | Ferramenta customizada de exfiltração usada antes da cifragem | ## Attack Flow ```mermaid graph TB A["Acesso Inicial<br/>Phishing / VPN comprometida<br/>T1566.001 - T1133"] --> B["Reconhecimento Interno<br/>Mimikatz / LSASS dump<br/>T1003.001 - T1018 - T1057"] B --> C["Movimento Lateral<br/>RDP / SMB / PsExec<br/>T1021 - Valid Accounts T1078"] C --> D["Exfiltração de Dados<br/>ExMatter para storage externo<br/>T1567 - antes de cifrar"] D --> E["Wipagem de Backups<br/>VSS delete / backup tools<br/>T1490 - elimina recuperação"] E --> F["Cifragem Massiva<br/>Salsa20 + RSA-1024<br/>T1486 - impacto total"] F --> G["Extorsão Dupla<br/>Pagamento via BTC/Monero<br/>Ameaça de vazamento em portal"] style A fill:#1a5276,color:#fff style B fill:#922b21,color:#fff style C fill:#7b241c,color:#fff style D fill:#196f3d,color:#fff style E fill:#c0392b,color:#fff style F fill:#922b21,color:#fff style G fill:#6c3483,color:#fff ``` ## Timeline ```mermaid timeline title BlackMatter - Linha do Tempo 2021-05 : DarkSide ataca Colonial Pipeline : FBI/DOJ confisca $2,3M BTC pago 2021-07 : BlackMatter surge em fóruns underground : Recrutamento aberto de afiliados 2021-09 : Ataques a cooperativas agricolas EUA : NEW Cooperative e Crystal Valley atingidas 2021-10 : CISA/FBI/NSA publicam advisory AA21-291A : Alerta nacional para infraestrutura critica 2021-11 : BlackMatter anuncia encerramento : Alegada pressao de autoridades 2022-01 : Membros do REvil presos na Russia : Pressao regional sobre grupos RaaS 2026 : BlackMatter 2.0 ressurge : Ataques a hospitais NHS no Reino Unido ``` ## TTPs Principais | Tática | Técnica | ID | Descrição | |--------|---------|----|-----------| | Initial Access | Spearphishing Attachment | [[t1566-001-spearphishing-attachment\|T1566.001]] | Documentos maliciosos como vetor inicial de acesso | | Initial Access | External Remote Services | [[t1133-external-remote-services\|T1133]] | Exploração de VPNs e serviços RDP expostos | | Credential Access | LSASS Memory | [[t1003-001-lsass-memory\|T1003.001]] | Dump de credenciais via Mimikatz para movimento lateral | | Lateral Movement | Remote Services | [[t1021-remote-services\|T1021]] | RDP, SMB e PsExec para expansão na rede | | Collection | Valid Accounts | [[t1078-valid-accounts\|T1078]] | Uso de credenciais legítimas para movimentação furtiva | | Exfiltration | Exfiltration to Cloud | [[t1567-exfiltration-over-web-service\|T1567]] | ExMatter exfiltra dados antes da cifragem - extorsão dupla | | Impact | Inhibit System Recovery | [[t1490-inhibit-system-recovery\|T1490]] | Deleção de Shadow Copies e backups antes de cifrar | | Impact | Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | Cifragem Salsa20+RSA-1024 de arquivos corporativos | ## Relevância para o Brasil e LATAM > [!warning] Risco para Agronegócio e Infraestrutura Crítica Brasileira > O Brasil é o maior exportador mundial de sojá, açúcar, frango e carne bovina - o exato perfil de vítimas que o BlackMatter escolhe em períodos de colheita e exportação. Cooperativas agropecuárias, tradings como **Cargill, ADM, Bunge e Louis Dreyfus** com operações no Brasil, e frigoríficos como **JBS e Marfrig** já demonstraram vulnerabilidade a ransomware (JBS pagou $11M ao REvil em 2021). Um ataque BlackMatter 2.0 durante safra de sojá ou cana teria impacto similar ao sofrido pelas cooperativas americanas. **Setores de risco prioritário:** - **Agronegócio**: cooperativas, tradings e frigoríficos dependem de sistemas interconectados de logística e rastreabilidade - **Saúde**: BlackMatter 2.0 demonstrou disposição para atacar hospitais - hospitais brasileiros já foram alvos de Cl0p e LockBit - **Manufatura**: fábricas com OT/SCADA são alvos frequentes de variantes que infectam Windows embarcado - **Energia**: distribuidoras e geradores com sistemas SCADA legados são vetores documentados **Medidas preventivas imediatas:** - Inventariar e proteger VPNs corporativas com MFA obrigatório (vetor principal do BlackMatter) - Implementar backups offline/imutáveis com testes regulares de restauração - Monitorar deleção de Shadow Copies (evento Windows 4688 com `vssadmin.exe delete shadows`) ## Detecção | Indicador | Técnica de Detecção | |-----------|---------------------| | `vssadmin.exe delete shadows /all /quiet` | EDR: alert para execução de deleção de VSS - precede cifragem em minutos | | Processo `mimikatz.exe` ou `sekurlsa::logonpasswords` em logs | SIEM: Sigma rule para dump de LSASS | | RDP lateral de servidor para servidor em horário incomum | NDR: análise de tráfego RDP interno fora do horário comercial | | Upload em massa para Mega.io ou similar antes da cifragem | DLP: alertas para transferência de grande volume de dados para nuvem externa | | Arquivos `.blackmatter` ou extensão randomizada em diretórios compartilhados | FIM: monitoramento de integridade de arquivos em compartilhamentos de rede | | Tentativas de logon com credenciais válidas em múltiplos hosts sequencialmente | SIEM: correlação de eventos 4624 em sequência rápida | ## Referências - [1](https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-291a) CISA/FBI/NSA - BlackMatter Ransomware Advisory AA21-291A (Out 2021) - [2](https://www.mandiant.com/resources/blog/blackmatter-ransomware) Mandiant - BlackMatter Ransomware Analysis (2021) - [3](https://unit42.paloaltonetworks.com/blackmatter-ransomware/) Unit 42 - BlackMatter Ransomware Technical Analysis (2021) - [4](https://www.darkreading.com/threat-intelligence/blackmatter-ransomware-successor-darkside-revil) Dark Reading - BlackMatter: Successor to DarkSide and REvil (2021) - [5](https://thedfirreport.com/2021/11/15/exchange-exploit-leads-to-domain-wide-ransomware/) The DFIR Report - Exchange Exploit Leads to BlackMatter Ransomware (2021) - [6](https://www.bleepingcomputer.com/news/security/blackmatter-ransomware-gang-rises-from-darkside-and-revil-ashes/) BleepingComputer - BlackMatter Gang Rises from DarkSide and REvil Ashes (2021) **Grupos relacionados:** [[darkside|DarkSide]] · [[s0496-revil|REvil]] · [[lockbit|LockBit]] · [[cl0p|Cl0p]] **Malware:** [[s0570-blackmatter-ransomware|BlackMatter Ransomware]] · [[s0154-cobalt-strike|Cobalt Strike]] · [[mimikatz|Mimikatz]] **TTPs principais:** [[t1486-data-encrypted-for-impact|T1486]] · [[t1490-inhibit-system-recovery|T1490]] · [[t1567-exfiltration-over-web-service|T1567]] · [[t1003-001-lsass-memory|T1003.001]] · [[t1133-external-remote-services|T1133]] **Setores alvejados:** [[critical-infrastructure|Infraestrutura Crítica]] · [[food-agriculture|Alimentos e Agricultura]] · [[healthcare|Saúde]] · [[manufacturing|Manufatura]]