El objetivo principal de BlackMatter era obtener ganancias financieras mediante la extorsión. Sus tácticas giraban en torno a un modelo de doble extorsión:

1. Cifrado de datos: cifraban archivos y sistemas críticos, interrumpiendo las operaciones de la víctima.

2. Exfiltración de datos: antes del cifrado, robaban datos confidenciales y amenazaban con filtrarlos públicamente si no se pagaba el rescate.

Sus ataques estaban diseñados para generar la máxima presión sobre las víctimas, y a menudo apuntaban a grandes corporaciones de altos ingresos que no podían permitirse un tiempo de inactividad significativo.

Para lograr sus objetivos, los operadores de BlackMatter empleaban una variedad de técnicas que demuestran un entendimiento sofisticado de la infiltración de redes y el movimiento lateral.

• Acceso inicial: a menudo obtenían acceso usando software legítimo de gestión remota y aprovechando credenciales de usuario o administrador comprometidas, compradas a corredores de acceso inicial.

• Descubrimiento: una vez dentro de la red, usaban protocolos LDAP y SMB para descubrir todos los hosts dentro de Active Directory. Esto les permitía mapear toda la red para su ataque.

• Volcado de credenciales: se sabía que el grupo recolectaba credenciales del Local Security Authority Subsystem Service (LSASS) para escalar privilegios y moverse lateralmente por la red.

BlackMatter seguía un conjunto específico de procedimientos para ejecutar sus ataques de manera eficiente.

• Despliegue de malware: el ransomware se desplegaba para cifrar sistemas basados en Windows y Linux, incluidas máquinas virtuales ESXi.

• Enumeración de red: usaban herramientas como NtQuerySystemInformation y EnumServicesStatusExW para enumerar procesos y servicios en ejecución, identificando herramientas de seguridad para deshabilitar.

• Desactivación de defensas: antes de desplegar el payload final, a menudo borraban o reformateaban los sistemas de respaldo para evitar que las víctimas restauraran sus datos sin pagar el rescate.

• Nota de rescate: después del cifrado, se colocaba una nota de rescate llamada [random_string].README.txt en cada directorio afectado, indicando a la víctima cómo pagar el rescate.