Analys av Benzona Ransomware

I november 2025 dök en sofistikerad ny ransomware-stam känd som Benzona upp och gjorde sig snabbt ett namn genom att rikta in sig på organisationer i Europa, Asien och Västafrika. Benzona arbetar enligt en Ransomware-as-a-Service (RaaS)-modell och använder aggressiva taktiker för dubbel utpressning, och hotar att läcka känslig data om dess krav inte tillgodoses.

Denna tekniska analys bryter ner Benzonas attackkedja, indikatorer på kompromiss (IoC:er), MITRE ATT&CK-mappningar och åtgärdbara försvarsstrategier för säkerhetsproffs.

Benzonas Attackkedja

Benzona följer en strukturerad attacklivscykel utformad för att maximera påverkan och hindra återställning.

1. Initial Åtkomst och Utförande

Angripare får vanligtvis inträde genom nätfiskekampanjer, komprometterade inloggningsuppgifter eller genom att utnyttja opatchade sårbarheter i offentliga applikationer. I bekräftade fall har Benzona-operatörer utnyttjat:

Nätfiske med stöld av inloggningsuppgifter som riktar sig mot VPN- och Remote Desktop Protocol (RDP)-portaler
Utnyttjande av kända CVE:er i internetvända tjänster, särskilt äldre VPN-apparater och opatchade Exchange-servrar
Köpt initial åtkomst från åtkomstmäklare som opererar på dark web-forum – ett kännetecken för RaaS-modellen

Väl inne använder ransomwaret:

Processinjektion (T1055): Injicerar skadlig kod i legitima processer (svchost.exe, explorer.exe) för att undgå upptäckt.
Skripttolkar (T1059): Utnyttjar PowerShell och Windows Management Instrumentation (WMI) för att utföra kommandon och inaktivera säkerhetskontroller.

2. Spaning och Lateral Rörelse

Efter att ha etablerat en initial fäste ägnar Benzona-operatörer 3–14 dagar åt intern spaning innan de detonerar ransomwaret. Denna vistelsetid används för att:

Kartlägga Active Directory-strukturen med BloodHound och SharpHound för att identifiera högvärds mål
Identifiera och lokalisera backup-infrastruktur (specifikt för att förstöra den innan kryptering)
Röra sig lateralt med stulna inloggningsuppgifter, PsExec och WMI fjärrkörning
Eskalera privilegier till domänadministratör med tekniker som Kerberoasting och Pass-the-Hash

3. Undanflykt och Uthållighet

För att behålla åtkomst och undvika antivirusdetektering:

Inaktiverar Återställning: Det utför vssadmin.exe Delete Shadows /All /Quiet för att förstöra volymskuggkopior och ta bort Windows återställningspunkter.
Avslutar Processer: Det dödar säkerhetsprogramvara och virtualiseringsprocesser för att förhindra analys och säkerställa att filer inte är låsta under kryptering.
Modifierar Registret: Det ändrar HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon och run-nycklar för att säkerställa uthållighet vid omstarter.
Inaktiverar Windows Defender: Använder PowerShell Set-MpPreference -DisableRealtimeMonitoring $true och tar bort Windows Defender-definitioner.

4. Kryptering och Exfiltrering (Dubbel Utpressning)

Benzona använder en hybridkryptering som kombinerar RSA-4096 (för nyckelutbyte) och AES-256 (för filkryptering) — en vanlig RaaS-implementering som gör dekryptering utan angriparens privata nyckel beräkningsmässigt omöjlig.

Filändelse: Krypterade filer får tillägget .benzona (t.ex. finansiell_rapport.pdf.benzona).
Datastöld: Innan kryptering exfiltrerar den skadliga programvaran känslig data till en command-and-control (C2)-server med HTTPS för att smälta in med legitim trafik. Denna stulna data är hävstången för den andra etappen av utpressning.
Målinriktade Filtyper: .doc, .docx, .xls, .xlsx, .pdf, .sql, .mdf, .mdb, .bak, .vhd, .vmdk, .edb — prioriterar dokument, databaser och backup-filer.

5. Lösensummanotan

När krypteringen är klar släpps en lösensummanota med titeln RECOVERY_INFO.txt i berörda kataloger. Notan innehåller vanligtvis:

En varning om att filer är krypterade och data har stulits.
Ett hot om att publicera data om lösensumman inte betalas inom 72 timmar.
Instruktioner om att ladda ner Tor Browser och besöka en specifik .onion-chattportal för förhandling.
Ett unikt offer-ID som krävs för att autentisera förhandlingar.

Observerade lösensummakrav har varierat från $50,000 till $2,5 miljoner i Monero (XMR) eller Bitcoin (BTC), beroende på organisationens storlek och bransch.

MITRE ATT&CK Ramverksmappning

Taktik	Teknik	ID
Initial Åtkomst	Nätfiske	T1566
Utförande	Kommandotolk: PowerShell	T1059.001
Uthållighet	Registernycklar för autostart	T1547.001
Privilegieskalering	Giltiga konton: Domänkonton	T1078.002
Undanflykt	Processinjektion	T1055
Undanflykt	Försvaga försvar	T1562.001
Behörighetsåtkomst	OS-inloggningsdumpning	T1003.001
Lateral Rörelse	Fjärrtjänster: SMB	T1021.002
Exfiltrering	Exfiltrering över C2-kanal	T1041
Påverkan	Datakryptering för påverkan	T1486
Påverkan	Hämma systemåterställning	T1490

Indikatorer på Kompromiss (IoC:er)

Säkerhetsteam bör skanna efter följande indikatorer för att upptäcka Benzona-aktivitet.

Filindikatorer

Tillägg: .benzona
Lösensummanota: RECOVERY_INFO.txt
Släppta Körbara Filer: Slumpmässiga 8-karaktärs alfanumeriska filnamn i %TEMP% och C:\Windows\Temp

Nätverksindikatorer

Tor Chattportal: http://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd.onion/
Läckagesajt: http://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd.onion
C2-infrastruktur: Anslutningar över HTTPS till .icu, .top, och nyligen registrerade .com-domäner på icke-standardportar

Filhashar (SHA-256)

09f7432834ce15e701aa7fcc84a9c2441c1c7e0a9cb66a6211845be73d2597cc
1c895eeb1d6ab9e5268759558c765b93f4c183557cb2c457857b91532ac61982

Registerartefakter

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit — modifierad för att inkludera ransomware-loader-sökväg
Radering av HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToBackup

Dekrypteringsmöjligheter

Det finns för närvarande ingen gratis offentlig dekrypterare tillgänglig för Benzona ransomware. RSA-4096 / AES-256 hybridkrypteringschemat har inte kryptografiskt brutits.

Organisationer bör dock överväga:

Kontrollera NoMoreRansom.org: No More Ransom-projektet samlar gratis dekrypterare från brottsbekämpande myndigheter.
Bevara krypterade filer: Även om du återställer från backup, behåll krypterade kopior.
Anlita en professionell incidentresponsfirma: I vissa fall har IR-team återställt nycklar från minnesforensik.

Försvars- och Mitigeringsstrategier

Det finns för närvarande ingen gratis dekrypterare tillgänglig för Benzona ransomware. Förebyggande och snabb respons är ditt enda försvar.

Före en Attack

Oföränderliga Backuper: Se till att du har offline, luftgapade eller oföränderliga molnbackuper (AWS S3 Object Lock, Azure Immutable Blob Storage). Benzona riktar specifikt in sig på och raderar online-backuper och skuggkopior.
Patchhantering: Prioritera att patcha internetanslutna system, särskilt VPN-apparater, Exchange och RDP-exponerade system — Benzonas föredragna initiala åtkomstvektorer.
Nätverkssegmentering: Begränsa lateral rörelse med mikrosegmentering. Domänkontrollanter, backup-servrar och kritisk infrastruktur bör inte vara nåbara från allmänna arbetsstationsnätverk.
Privileged Access Management (PAM): Verkställ just-in-time-privilegieskalering och begränsa vem som har domänadministratörsrättigheter.
Endpoint Detection and Response (EDR): Distribuera EDR-lösningar konfigurerade för att blockera processinjektion (T1055), massfilmodifieringar och radering av volymskuggkopior.
Multifaktorautentisering: Verkställ MFA på all VPN-åtkomst, RDP-åtkomst och privilegierade konton.

Under en Attack (Första Timmen)

Isolera infekterade system från nätverket omedelbart — stäng inte av dem om forensisk analys behövs.
Bevara minne på körande system för forensisk analys (potentiell nyckelåterställning).
Alertera ditt incidentresponsteam innan du försöker åtgärda.
Betala inte omedelbart — betalning garanterar inte återställning.

Efter Attacken: Forensik och Återställning i Rätt Ordning

När den akuta krisen har lagt sig börjar den mest krävande fasen: att bygga upp miljön igen utan att angriparens spår följer med. Följande arbetsgång är den ordning yrkesmässiga incidentresponsteam oftast arbetar efter.

Avbilda kritiska system innan något återställs. Diskavbilder av den först infekterade datorn och av domänkontrollanten tas med en live-response-agent eller skrivblockerare. Hasha varje avbild (SHA-256) och dokumentera vem som hanterat kopior, när och var – en fullständig beviskedja krävs vid både polisanmälan och försäkringskrav.
Jaga pågående trafik först. Gå igenom DNS-, proxy- och brandväggsloggar 14–30 dagar bakåt i tiden efter anslutningar till Tor-nätet och nyligen registrerade domäner. Pågår C2-kommunikation fortfarande är attacken inte över, och allt som återställs kan krypteras en andra gång.
Återställ identiteten före datan. Active Directory rensas eller återställs från en kontrollerat ren backup, i ordningen domänkontrollanter → identitetsinfrastruktur → fildata. Om Kerberoasting eller Pass-the-Hash konstaterats bör krbtgt-kontots lösenord återställas två gånger i följd, eftersom Kerberos-signeringen bygger på just den hashen.
Verifiera backupen isolerat. Montera aldrig backups direkt på produktionsnätet under återställningen. Återställ först en volym i ett avstängt nätverk, jämför filhashar mot de SHA-256-värden som listas ovan och kör en teststart innan massåterställningen börjar.
Stäng den ursprungliga dörren. Den initiala åtkomstvektorn – komprometterad VPN-apparat, opatchad Exchange-server eller inloggningsuppgifter köpta av en åtkomstmäklare – måste vara åtgärdad innan återställningen påbörjas. Flertalet upprepade incidenter beror på att själva inkörsporten lämnades kvar.

Att Rapportera Incidenten: IMY, CERT-SE och Polisen i Sverige

En ransomware-incident i Sverige eller EU triggar flera parallella rapportvägar med olika frister. Att vänta med dem är ett av de dyraste misstagen, eftersom vissa krav gäller oavsett hur väl återställningen går.

GDPR (72 timmar): Exfiltreringen i den dubbla utpressningen gör att personuppgifter kan omfattas. Om det är fallet ska en anmälan till Integritetsskyddsmyndigheten (IMY) lämnas inom 72 timmar från det att incidenten konstaterades; vid hög risk kan även berörda enskilda behöva informeras. Kategorisera exfiltrerade filtyper tidigt – kunderregister, lönedata och personaluppgifter gör anmälan sannolik.
NIS2: Om organisationen omfattas av direktivet (och av den svenska genomförandelagstiftningen när den är på plats) gäller snabb förvarning inom 24 timmar, incidentnotifiering inom 72 timmar och en slutrapport inom en månad. CERT-SE hos MSB tar emot notifikationer och är positiva till att kontaktas tidigt – även av organisationer som inte formellt omfattas. Bedöm din klassificering tillsammans med juridisk rådgivning – uppgifterna här är konstaterande, inte juridiskt rådgivande.
Polisanmälan: Lämna anmälan via polisens webbplats så tidigt som möjligt. Polisen kan utreda indikatorerna ovan, förfråga leakage-webbplatser och samarbeta internationellt via Europol. En anmälan kostar ingenting och påverkar inte ditt pågående incidentresponsteam negativt.
Försäkringsgivaren: Ring försäkringsbolaget innan du anlitar extern personal. Många cyberförsäkringar kräver att en godkänd IR-firma används, och kostnader som uppkommer innan anmälan registrerats kan nekas.

Realistisk Kostnad och Tidsåtgång – utan Betald Lösensumma

Ett impulsköp av en lösensumma framstår ofta som det billigaste alternativet först, men grundtanken håller sällan. Som tumregel, baserad på vad som rapporterats från mindre europeiska organisationer på 50–500 anställda:

Extern forensik och IR: Ett avgränsat engagemang ligger ofta i första hundratusen kronor; ett omfattande engagemang som inkluderar miljövid återsökning och bevakning löper upp i flera hundratusen. Storleken beror främst på antalet system och hur länge angriparen funnits kvar – den 3–14 dagar långa vistelsetiden gör analysernas omfattning betydande.
Återställning från verifierad backup: I timmar till ett par dagar, förutsatt att backupen provats isolerat och att identitetsplattformen är ren. Utan tillförlitlig backup växer tidsåtgången snabbt till flera veckors arbete med partiella återställningar och manuell rekonstruktion av dokument.
Oplanerad driftstörning: Produktionsstoppet, inte den externa hjälpen, är den största posten för de flesta. Räkna med dagar utan kärnsystem eller ständiga omstarter av partsbelastade tjänster. De osynliga kostnaderna kommer dessutom direkt efteråt: personal som jobbar över, extern rådgivning, notifieringar till kunder och förlorade affärer under det kvartal då kunder drar sig för att teckna nya avtal.
Vad betald lösensumma faktiskt ger: Även när en dekrypterare faktiskt levereras publiceras de exfiltrerade datamängderna sällan helt, och åtgärden av infektionskällan krävs lika fullt. Betalningen köper alltså som mest halva lösningen – och finansierar nästa kampanj mot någon annan.

Fem Misstag som Förlänger en Ransomware-incident

Incidenter som drar ut på tiden gör det nästan alltid av ett återkommande skäl. Dessa fem mönster syns gång på gång i verkliga fall liknande Benzona:

Backuper som angriparen kartlagt. Om backupprogramvaran körs med ett domänkonto hittar angriparen den under spaningsfasen – det är därför den förstörs systematiskt. Kontrollera backuplösningens egna inloggningsloggar för okända konton innan du litar på dess snapshots.
Lösenordsbyte som missar servicekonton. De flesta organisationer tvingar fram nytt lösenord för användarna men glömmer tjänstekonton, VPN-konton och lokala administratörskonton. Har angriparen ett giltigt servicekonto kvar är risken stor att nätverket smittas igen inom kort.
Återställning till ohärdade maskiner. En färsk Windows-installation utan EDR och utan de säkerhetskonfigurationer som gällde dessförinnan blir en öppen flanka. Arbetsstationerna ska återställas med samma härdning som övrig miljö, inte med en tillfällig genväg.
Loggar som rensas i panik. Att nollställa loggservrar, proxy- eller brandväggsloggar för att "rensa upp" förstör de bevis polisen och IMY behöver. Loggarna ska i stället sparas ner till extern lagring innan eventuell återställning.
Ingen rotorsaksanalys. Om granskningen stannar vid "ransomware-utförandet" och aldrig konstaterar vilken sårbar CVE eller vilka stulna inloggningsuppgifter som öppnade dörren, återkommer en kampanj via samma väg. Dokumentera intrångsvektorn i incidentrapporten – det efterfrågas av både polisen och IMY.

Slutsats

Benzona representerar den fortsatta utvecklingen av RaaS-hot i slutet av 2025. Dess användning av dubbel utpressning, utökad vistelsetid och systematisk backup-förstörelse gör den till en formidabel motståndare. Organisationer måste gå från en reaktiv hållning till en proaktiv mentalitet att "anta intrång", med fokus på motståndskraft och snabb återhämtning.

Om du har drabbats av Benzona, betala inte lösensumman omedelbart. Kontakta ett professionellt incidentresponsteam för att bedöma dina alternativ.

Översikt

Viktiga beslut, risker och genomförandeåtgärder för detta ämne.

Analys av Benzona Ransomware: IoC:er, Dekrypteringsmöjligheter och Försvarsstrategier