BlackCat Met een Nieuwe Naam? TRM Zegt dat de Ransomware Groep Mogelijk is Hernoemd naar Embargo

Ransomwaregroep Embargo heeft sinds zijn opkomst in april 2024 minstens $34,2 miljoen aan verschillende tokens binnengehaald, volgens TRM Labs.

Het blockchain-analysebedrijf stelt dat de infrastructuur en code-overeenkomsten van de ransomwaregroep erop wijzen dat het waarschijnlijk een herbenoeming is van de ter ziele gegane BlackCat (ALPHV) operatie.

De groep hanteert een ransomware-als-een-dienst model, waarbij zij affiliates voorzien van tools terwijl zij de infrastructuur en onderhandelingen beheren. De Amerikaanse gezondheidszorg, productie en zakelijke dienstverlening zijn de belangrijkste doelwitten geweest, als sectoren waar stilstand kostbaar is en de afpersingskracht hoog.

De eisen zijn opgelopen tot $1,3 miljoen, waarbij slachtoffers onder andere American Associated Pharmacies en meerdere regionale ziekenhuizen zijn.

In het rapport van maandag reconstrueerde TRM on-chain verbindingen tussen historische BlackCat-wallets en adressen die verbonden zijn aan slachtoffers van Embargo, naast off-chain overeenkomsten zoals ransomware-constructies op basis van Rust en vrijwel identieke dataleksites. Affiliates lijken soepel te opereren tussen campagnes, een veelvoorkomend patroon binnen RaaS.

Fondsen worden doorgaans verplaatst via tussenliggende wallets naar risicovolle beurzen en gesanctioneerde platforms zoals Cryptex.net, waarbij zwaar gebruik van mixers wordt vermeden. Ongeveer $13 miljoen is aangekomen bij wereldwijde VASP’s, terwijl $18,8 miljoen inactief blijft in niet-toegewezen wallets — waarschijnlijk om detectie te vertragen en te wachten op gunstigere omstandigheden voor verplaatsing.

Embargo past dubbele afpersing toe, waarbij bestandsversleuteling wordt gecombineerd met diefstal van gegevens en dreigingen van openbare uitlekken. TRM vermoedt dat de groep mogelijk experimenteert met AI om phishingcampagnes op te schalen, payloads te muteren en verkenningen te versnellen — tactieken die steeds vaker voorkomen bij ransomware-operatoren.

De focus op de Amerikaanse gezondheidszorg weerspiegelt een bredere verschuiving in ransomware-strategie: richt je op diensten waar operationele verstoringen het risico lopen door te slaan naar de openbare veiligheid, waardoor de druk om snel te betalen toeneemt.

Als Embargo inderdaad BlackCat is onder een nieuwe naam, zou dit opnieuw een prominente ransomware-wijziging betekenen die is ontworpen om affiliatenetwerken en betaalkanalen te behouden, terwijl men de aandacht van de wetshandhaving ontloopt, waarbij crypto als het kernkanaal voor losgeldafhandeling en witwassen wordt behouden.

Lees meer: Ransomware-betalingen daalden met 35% in 2024 doordat meer slachtoffers weigeren te betalen: Chainalysis