BlackNevas Ransomware: dấu vết Trigona, cơ chế mã hóa có chọn lọc và rủi ro tống tiền kép

Tóm tắt điều hành

BlackNevas, còn được gọi là Trial Recovery, là một họ ransomware được các nhà nghiên cứu nhận diện từ cuối năm 2024 và có quan hệ mã nguồn/kỹ thuật rõ ràng với Trigona. Điểm khác biệt đáng quan tâm nằm ở khả năng hoạt động trên nhiều hệ điều hành, cách sử dụng các chế độ mã hóa từng phần hoặc toàn phần, cơ chế quản lý khóa AES/RSA và chiến thuật gây sức ép bằng dữ liệu được cho là đã bị đánh cắp. Đây là đặc điểm được ghi nhận trong các mẫu nghiên cứu, không phải một cấu hình mặc định có thể suy ra cho mọi vụ tấn công. [S1][S2][S3]

Các bảng theo dõi trong năm 2026 ghi nhận bài đăng nhận trách nhiệm liên quan BlackNevas. Chẳng hạn VULONE ghi nhận 47 claim tại thời điểm kiểm tra nguồn, trong khi các nền tảng khác có thể cho số lượng khác nhau do cách gộp tên doanh nghiệp, bản ghi trùng lặp và thời điểm thu thập. Claim không đồng nghĩa sự cố đã được điều tra, xác nhận độc lập. [S4][S5]

1. Hồ sơ nhận dạng và mối liên hệ Trigona

SentinelOne và AhnLab mô tả BlackNevas xuất hiện khoảng tháng 11/2024, còn hồ sơ leak tracker thường đánh dấu hoạt động đăng danh sách nạn nhân từ năm 2025. Hai mốc này không nhất thiết mâu thuẫn: một bên mô tả sự xuất hiện của malware, bên còn lại mô tả lúc bắt đầu quan sát claim trên hạ tầng theo dõi. [S1][S2][S4]

Cụm từ Trial Recovery bắt nguồn từ cách đặt tên một số file mã hóa có tiền tố trial-recovery trong mẫu quan sát. AhnLab ghi nhận hai cấu trúc tên: random.random.-encrypted và trial-recovery.random.random.-encrypted; dạng sau gặp ở một số loại tài liệu, hình ảnh. Đây không phải dấu hiệu nhận dạng duy nhất, và việc thấy một phần tên file giống như vậy chưa đủ để kết luận toàn bộ hệ thống bị BlackNevas. [S1]

Một số nguồn phân tích cho rằng BlackNevas là nhóm vận hành khép kín, không theo mô hình RaaS tuyển affiliate công khai. Các mối quan hệ với những nhóm công bố dữ liệu được SentinelOne và Halcyon mô tả dựa trên thông tin quan sát/tuyên bố; không nên trình bày chúng như bằng chứng về quan hệ tổ chức chính thức. [S2][S3]

2. Nền tảng bị ảnh hưởng và bề mặt tấn công

Các biến thể được công bố có khả năng nhắm tới Windows, Linux, NAS và VMware ESXi, trong đó hệ thống lưu trữ và máy chủ ảo hóa có thể khiến tác động lan sang nhiều dịch vụ nghiệp vụ cùng lúc. Nguồn SentinelOne đề cập khả năng lợi dụng phishing, lỗ hổng có sẵn và cơ chế truy cập SMB trong một số chiến dịch. Tuy nhiên, đường xâm nhập cụ thể của một doanh nghiệp phải được chứng minh từ log và hiện vật, không được suy đoán từ tên họ ransomware. [S2]

Đối với môi trường sử dụng đơn vị dịch vụ CNTT bên ngoài (MSP), một số bản tin độc lập đã nêu giả thuyết liên hệ các claim cùng thời điểm với nhà cung cấp dịch vụ chung. Đây là hướng điều tra đáng chú ý, chưa đủ để kết luận một chiến dịch supply-chain đã được xác thực nếu thiếu chứng cứ xâm nhập hạ tầng quản trị. [S8]

3. Cấu trúc mã hóa: AES xử lý dữ liệu, RSA bảo vệ khóa

Theo AhnLab, sau khi lựa chọn file mục tiêu, malware dùng AES để mã hóa dữ liệu và bảo vệ khóa AES bằng khóa công khai RSA, sau đó lưu thông tin liên quan vào cấu trúc file mã hóa. Mẫu còn có dữ liệu nhận diện trạng thái để tránh xử lý lặp lại. Vì khóa riêng tương ứng không nằm sẵn dưới dạng rõ trong file, chỉ có ransom note và file bị mã hóa thông thường không đủ để suy ra khóa giải mã. [S1]

AhnLab ghi nhận ở mẫu họ phân tích:

Chế độ | Hành vi ghi nhận trong mẫu | Ý nghĩa khi đánh giá phục hồi; /fast | Mã hóa khoảng 1% dung lượng file | Có thể còn nhiều byte chưa đổi, nhưng vùng header/metadata thiết yếu vẫn có thể hỏng; Mặc định | Mã hóa khoảng 10% đầu file | Không được diễn giải thành “90% dữ liệu cứu được”; /full | Mã hóa toàn bộ file | Thông thường cần khóa hợp lệ hoặc nguồn dữ liệu thay thế

Cảnh báo diễn giải: 1% hoặc 10% là lượng dữ liệu bị mã hóa trên mẫu malware trong chế độ tương ứng, tuyệt đối không phải tỷ lệ thành công khi cứu dữ liệu. Một file SQL, VMDK, ZIP, ảnh hay tài liệu có thể phụ thuộc vào các thành phần cấu trúc bị ảnh hưởng, dù phần lớn byte vẫn còn. Các phiên bản và tham số ở vụ việc khác có thể khác. [S1]

Một số file hệ thống và đuôi file được mẫu phân tích loại trừ, chẳng hạn .sys, .dll, .exe, .log, cùng một số dạng file trạng thái máy ảo. Danh sách loại trừ nhằm mô tả hành vi kỹ thuật, không phải cam kết rằng những loại file này luôn an toàn. [S1]

4. Ransom note và áp lực “bảy ngày”

AhnLab ghi nhận tên note how_to_decrypt.txt và nội dung đe dọa liên quan đến khóa giải mã, rò rỉ thông tin, công bố/đấu giá dữ liệu. Tối hậu thư bảy ngày là chiến thuật gây áp lực của đối tượng, không chứng minh kẻ tấn công thực sự xóa khóa vào ngày thứ bảy. Tuyên bố “đã lấy dữ liệu” cũng cần được xác minh qua lưu lượng mạng, log truy cập, hệ thống đích, bằng chứng công bố và các hiện vật liên quan. [S1]

Tên note, địa chỉ liên hệ và định dạng file có thể thay đổi theo chiến dịch. Không nên công bố mã định danh máy chủ hoặc nội dung thương lượng của nạn nhân từ một hồ sơ chưa được phép công khai.

5. Dấu hiệu điều tra (IOC) và giới hạn của chúng

Nhóm dấu hiệu phân loại ban đầu: file how_to_decrypt.txt; đuôi .-encrypted hoặc .ENCRYPTED trong một số mẫu; tên có trial-recovery; thay đổi bất thường ở file và các hiện vật liên quan việc vận hành công cụ mã hóa. Các dấu hiệu này hỗ trợ triage, nhưng riêng lẻ không phải bằng chứng kết luận họ malware. [S1][S2]

AhnLab công bố MD5 của một số mẫu nghiên cứu sau. Chúng chỉ áp dụng khi trùng hash của file thực tế, không phải danh sách bao quát mọi biến thể:

2374998cffb71f3714da2075461a884b 4a1864a95643b0211fa7ad81b676fe2e 9f877949b8cbbb3adfe07fd4411b9f26 f2547a80dd64dcd5cba164fe4558c2b6

Để xác thực sự cố, cần kết hợp hash, mẫu note, cấu trúc bytes, timeline tiến trình, EDR, Windows Event Logs, RDP/VPN, SMB, AD, hypervisor và NAS logs. Không nên quy kết IP/CVE/chế độ xâm nhập của một vụ việc cụ thể chỉ vì chúng được nêu trong báo cáo về họ ransomware.

7. Có decryptor công khai cho BlackNevas không?

Tại thời điểm biên tập, trong các nguồn decryptor công khai được đối chiếu ở bước nghiên cứu chưa xác minh được một decryptor miễn phí chuyên biệt, đáng tin cậy, giải mã phổ quát BlackNevas. Đây là kết quả tra cứu giới hạn tại thời điểm báo cáo, không phải khẳng định không bao giờ có công cụ. Có thể tiếp tục kiểm tra cơ sở dữ liệu Emsisoft, No More Ransom và thông báo từ các nhà cung cấp bảo mật, nhưng chỉ thử trên bản sao đã bảo toàn. [S7]