# ALPHV/BlackCat Ransomware > [!critical] RaaS Rust-Based - Maior Breach de Saúde da História dos EUA > ALPHV (também conhecido como **BlackCat** e **Noberus**) foi um ransomware-as-a-service (RaaS) escrito em **Rust** - o primeiro grande grupo a adotar essa linguagem para ransomware - ativo de novembro de 2021 até março de 2024. Responsável pelo ataque à **Change Healthcare** em fevereiro de 2024, que comprometeu dados de **190 milhões de americanos** e gerou um pagamento de resgate de **$22 milhões USD** - o maior breach de dados de saúde da história dos EUA. O grupo encerrou as atividades com um exit scam em que os líderes desapareceram com os $22M, abandonando os afiliados. ## Visão Geral O ALPHV/BlackCat emergiu em novembro de 2021 como uma das operações de ransomware mais sofisticadas já documentadas, reunindo membros experientes de grupos anteriores como [[darkside-ransomware|DarkSide]] e [[blackmatter-ransomware|BlackMatter]] - a mesma linhagem responsável pelo ataque ao Colonial Pipeline em 2021. A escolha do Rust como linguagem de desenvolvimento foi pioneira no ecossistema criminoso: além da eficiência de execução, a linguagem dificulta significativamente a análise e engenharia reversa por ferramentas tradicionais de segurança. O modelo de negócios do ALPHV foi construído para atrair afiliados de elite. Enquanto grupos concorrentes como [[lockbit-ransomware|LockBit]] ofereciam 80% dos resgates aos afiliados, o ALPHV foi além com splits de até **90% para afiliados** responsáveis por ataques de alto valor. Essa generosidade atraiu grupos como o [[scattered-spider|Scattered Spider]] (UNC3944), responsável pelos ataques ao MGM Resorts e Caesars Entertainment em 2023 - dois ataques devastadores ao setor de hospitalidade americano executados com o payload BlackCat. A escalada do grupo culminou com o ataque à **Change Healthcare** (subsidiária da UnitedHealth Group) em fevereiro de 2024. Change Healthcare processa aproximadamente um terço de todas as transações de saúde dos Estados Unidos. O acesso inicial foi obtido através de credenciais roubadas usadas no portal Citrix - sem MFA configurado. O impacto se traduziu em semanas de interrupção para hospitais, farmácias e clínicas em todo os EUA, afetando a capacidade de processar prescrições médicas e reivindicações de seguros. O FBI, DOJ e autoridades internacionais ofereceram recompensa de **$10 milhões USD** por informações que levassem à identificação dos líderes. O encerramento do ALPHV em março de 2024 foi marcado por um exit scam: os líderes fingiram um takedown do FBI (criando um banner falso de apreensão no site de vazamentos), mas na realidade desapareceram com os $22M que pertenciam ao afiliado que executou o ataque Change Healthcare. Esse afiliado, privado do pagamento, migrou para o [[ransomhub|RansomHub]] e re-extorquiu a Change Healthcare com os mesmos dados roubados. ## Como Funciona **Acesso inicial e movimento lateral:** 1. Credenciais comprometidas via phishing, credential stuffing ou compra no underground 2. Acesso via VPN/Citrix sem MFA (CVE-2023-4966 Citrix Bleed explorado em vários incidentes) 3. Reconhecimento com ferramentas legítimas: Advanced IP Scanner, ADRecon, BloodHound 4. Movimento lateral via PsExec, WMI, SMB 5. Exfiltração de dados antes da criptografia (double extortion) via MEGAsync, Rclone **Execução do ransomware:** 1. Binário Rust com configuração JSON embutida: lista de exclusões, extensões alvo, chaves criptográficas 2. Criptografia com **AES-256** (chave simétrica) + **ChaCha20** (alternativa), chave de sessão protegida por **RSA-2048** 3. Em ambientes Windows: Volume Shadow Copy deletado via `vssadmin`, backups destruídos 4. Em Linux/VMware ESXi: criptografia de VMs paradas para máximo impacto em ambientes virtualizados 5. Extensão aleatória gerada por vítima (ex: `.abcdef`), nota de resgate `RECOVER-[EXTENSION]-FILES.txt` 6. Modo seguro intermitente para contornar proteções (opção `--safeboot` na linha de comando) **Características técnicas do Rust:** - Compilação nativa sem VM/runtime — dificulta sandboxing - Cross-platform: variantes para Windows, Linux e ESXi na mesma base de código - Alta eficiência de criptografia: arquivos grandes criptografados por partes (intermittent encryption) para aumentar velocidade - Configuração JSON flexível: afiliados personalizam alvos, exclusões, notas de resgate e velocidade de criptografia ## Attack Flow ```mermaid graph TB A["Acesso Inicial<br/>Citrix sem MFA<br/>Credenciais roubadas"] --> B["Reconhecimento<br/>BloodHound ADRecon<br/>IP Scanner"] B --> C["Movimento Lateral<br/>PsExec WMI SMB<br/>Escalada de privilegio"] C --> D["Exfiltração<br/>MEGAsync Rclone<br/>Double extortion prep"] D --> E["Preparação<br/>Desabilitar AV<br/>Destruir backups VSS"] E --> F["Criptografia Rust<br/>AES-256 ChaCha20<br/>RSA-2048 key wrap"] F --> G["Extorsao Dupla<br/>Resgate + ameaça<br/>de vazamento"] G --> H["Exit Scam 2024<br/>Lideres somem<br/>com USD 22M"] ``` **Legenda:** [[change-healthcare-attack-2024]] · [[scattered-spider]] · [[t1486-data-encrypted-for-impact|T1486]] · [[t1078-valid-accounts|T1078]] · [[darkside-ransomware|DarkSide]] linhagem ## Timeline ```mermaid timeline title ALPHV/BlackCat - Linha do Tempo 2021-11 : Primeiro avistamento : Variante Rust pioneira : Membros ex-DarkSide BlackMatter 2022 : Expansao rapida : 90% split para afiliados : FBI advisory primeiro alerta 2023-06 : MGM Resorts : Scattered Spider afiliado : USD 100M de danos estimados 2023-08 : Caesars Entertainment : USD 15M pagos em resgate : Hospitality como alvo preferido 2024-02 : Change Healthcare : Maior breach saude historia EUA : 190M americanos afetados 2024-03 : Exit Scam : USD 22M desviados do afiliado : Lideres somem FBI banner falso 2024-03 : Afiliado cria RansomHub : Re-extorsao Change Healthcare : ALPHV oficialmente extinto ``` ## TTPs MITRE ATT&CK | Técnica | ID | Descrição | |---------|-----|-----------| | Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | AES-256+ChaCha20 com intermittent encryption para velocidade | | Exploit Public-Facing Application | [[t1190-exploit-public-facing-application\|T1190]] | Citrix Bleed CVE-2023-4966, credenciais sem MFA | | Valid Accounts | [[t1078-valid-accounts\|T1078]] | Credenciais compradas no underground ou roubadas via phishing | | Exfiltration to Cloud Storage | [[t1567-002-exfiltration-to-cloud-storage\|T1567.002]] | MEGAsync e Rclone para exfiltrar antes da criptografia | | PowerShell | [[t1059-001-powershell\|T1059.001]] | Scripts de reconhecimento, movimento lateral e preparação | | Obfuscated Files | [[t1027-obfuscated-files\|T1027]] | Configuração JSON ofuscada no binário Rust | | Inhibit System Recovery | [[t1490-inhibit-system-recovery\|T1490]] | vssadmin delete shadows /all - destruição de backups VSS | ## Relevância para o Brasil e LATAM > [!latam] Legado ALPHV no Brasil via RansomHub > O **RansomHub** — criado diretamente pelo afiliado ALPHV pós-exit scam — confirmou alvos no Brasil em 2024, incluindo setores **financeiro** e **tecnologia**. O setor de saúde brasileiro apresenta perfil de risco idêntico ao da Change Healthcare: infraestrutura crítica com baixa maturidade de segurança e alta pressão para pagar resgates, com exposição dupla pela **LGPD**. O ALPHV/BlackCat, embora extinto, deixou legado direto na landscape de ransomware LATAM: **Setor de saúde brasileiro como alvo potencial:** - O ataque Change Healthcare demonstrou o impacto catastrófico de ransomware em sistemas críticos de saúde - O [[healthcare|setor de saúde]] brasileiro, com hospitais como Rede D'Or, Fleury e sistemas estaduais de saúde, apresenta perfil de risco similar: infraestruturas críticas, historicamente com baixa maturidade de segurança e pressão para pagar resgates - A [[lgpd|LGPD]] exporia hospitais brasileiros a dupla penalidade em caso de ataque similar: resgate + multa regulatória por vazamento de dados de saúde **Herança via RansomHub:** - O [[ransomhub|RansomHub]], criado diretamente pelo afiliado que executou Change Healthcare após o exit scam, tornou-se o grupo de ransomware mais ativo de 2024 - RansomHub confirmou alvos no Brasil em 2024, incluindo organizações nos setores de [[financial|financeiro]] e [[technology|tecnologia]] - A base técnica do BlackCat - Rust cross-platform, intermittent encryption, ESXi targeting - foi amplamente adotada por grupos sucessores **Modelo afiliado e mercado criminoso:** - O exit scam do ALPHV demonstrou que mesmo grupos criminosos de alto nível são vetores de risco para afiliados - O split de 90% do ALPHV estabeleceu um benchmark que outros grupos LATAM tentaram replicar para atrair afiliados locais - Inteligência indica que afiliados falantes de espanhol e português operaram com o ALPHV em ataques a organizações LATAM ## Detecção e Defesa **Indicadores de comprometimento:** > [!ioc]- IOCs - ALPHV/BlackCat (TLP:GREEN) > **Comportamento de criptografia:** > Extensão de arquivo aleatória de 6-8 chars após criptografia > Nota de resgate RECOVER-[EXTENSION]-FILES.txt em múltiplos diretórios > Processo vssadmin.exe delete shadows /all executado como SYSTEM > > **Artefatos de reconhecimento:** > BloodHound/SharpHound coletando AD data > Advanced IP Scanner ou Angry IP Scanner em rede corporativa > Rclone.exe ou MEGAsync com configuração remota suspeita > > **ESXi específico:** > Binário Linux ELF compilado em Rust em ambiente ESXi > VMs paradas em sequência antes de criptografia > Arquivo de configuração .json com chaves RSA embutidas > > **Fonte:** FBI Flash CU-000167-MW (2022) · CISA Advisory AA23-353A · Mandiant UNC3944 Report **Mitigações recomendadas:** - Implementar [[m1032-multi-factor-authentication|M1032]] em TODOS os acessos remotos - Citrix, VPN, RDP sem exceção - Aplicar [[m1051-update-software|M1051]] priorizando Citrix ADC/Gateway CVE-2023-4966 - Usar [[m1053-data-backup|M1053]] com backups offline e teste regular de restauração - Monitorar via [[ds0009-process-creation|DS0009]] execução de vssadmin.exe com parâmetros de deleção - Implementar [[m1037-filter-network-traffic|M1037]] para bloquear MEGAsync e Rclone não autorizados ## Referências - [1](https://www.ic3.gov/Media/News/2022/220420.pdf) FBI Flash CU-000167-MW - BlackCat/ALPHV Ransomware Indicators (2022) - [2](https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-353a) CISA Advisory AA23-353A - #StopRansomware ALPHV BlackCat (2023) - [3](https://www.mandiant.com/resources/blog/alphv-ransomware-affiliate) Mandiant - ALPHV Ransomware Affiliate (2022) - [4](https://www.bleepingcomputer.com/news/security/change-healthcare-cyberattack-causes-outages-across-us-pharmacies/) BleepingComputer - Change Healthcare Attack Coverage (2024) - [5](https://malpedia.caad.fkie.fraunhofer.de/details/win.blackcat) Malpedia - BlackCat/ALPHV Entry - [6](https://www.justice.gov/opa/pr/justice-department-disrupts-blackcat-ransomware-group-charges-two-members) DOJ - Justice Department Disrupts BlackCat Ransomware Group (2023)