BlackCat

Description

BlackCat (a.k.a. ALPHV) is a ransomware operation written in Rust that emerged in late 2021 with affiliates drawn from the DarkSide and BlackMatter networks. It supports Windows, Linux, and VMware ESXi systems, offers a wide range of configuration options to affiliates, and pioneered features such as a searchable leak site. The operation extorts victims through data theft and encryption, and its developers later ran an exit scheme in which an affiliate seized the decryption keys.

Stats

First seen: February 2022
Last seen: October 2026

Also known as

ALPHVBlackCatALPHV

MITRE ATT&CK techniques

21 techniques across 7 tactics.

TA0002 Execution

T1047Windows Management Instrumentation
T1059Command and Scripting Interpreter
- T1059.003Windows Command Shell

TA0004 Privilege Escalation

T1548Abuse Elevation Control Mechanism
- T1548.002Bypass User Account Control

TA0005 Stealth

T1134Access Token Manipulation

TA0007 Discovery

T1018Remote System Discovery
T1033System Owner/User Discovery
T1069Permission Groups Discovery
- T1069.002Domain Groups
T1082System Information Discovery
T1083File and Directory Discovery
T1087Account Discovery
- T1087.002Domain Account
T1135Network Share Discovery
T1680Local Storage Discovery

TA0008 Lateral Movement

T1570Lateral Tool Transfer

TA0040 Impact

T1486Data Encrypted for Impact
T1489Service Stop
T1490Inhibit System Recovery
T1491Defacement
- T1491.001Internal Defacement
T1561Disk Wipe
- T1561.001Disk Content Wipe

TA0112 Defense Impairment

T1112Modify Registry
T1222File and Directory Permissions Modification
- T1222.001Windows Permissions
T1685Disable or Modify Tools
- T1685.005Clear Windows Event Logs

Associated groups

G1015Scattered Spider

Alert name variants

Alert Name	Engine
Gen:Variant.BlackCatALPHV.2	AV
Gen:Variant.Ransom.ALPHV.1	AV
Gen:Variant.Ransom.BlackCat.11	AV
Gen:Variant.Ransom.BlackCat.13	AV
Gen:Variant.Ransom.BlackCat.25	AV
Gen:Variant.Ransom.BlackCat.30	AV
Gen:Variant.Ransom.BlackCat.45	AV
Gen:Variant.Ransom.BlackCat.47	AV
Gen:Variant.Ransom.BlackCat.56	AV
Gen:Variant.Ransom.BlackCat.57	AV
Gen:Variant.Ransom.BlackCat.58	AV
Gen:Variant.Ransom.BlackCat.8	AV
Gen:Variant.Ransom.BlackCatALPHV.10	AV
Gen:Variant.Ransom.BlackCatALPHV.14	AV
Gen:Variant.Ransom.BlackCatALPHV.16	AV
Gen:Variant.Ransom.BlackCatALPHV.18	AV
Gen:Variant.Ransom.BlackCatALPHV.19	AV
Gen:Variant.Ransom.BlackCatALPHV.21	AV
Gen:Variant.Ransom.BlackCatALPHV.23	AV
Gen:Variant.Ransom.BlackCatALPHV.9	AV
Linux.Ransomware.BlackCat	ATP Sandbox Adv. Heuristics
Trojan.Linux.Ransom.BlackCat.1	AV
Trojan.Linux.Ransom.BlackCat.2	AV
Trojan.Linux.Ransom.BlackCat.3	AV
Trojan.Linux.Ransom.BlackCat.4	AV
Trojan.Ransom.BlackCat.A	AV
Trojan.Ransom.BlackCat.B	AV
Trojan.Ransom.BlackCat.C	AV
Trojan.Ransom.BlackCat.D	AV
Trojan.Ransom.BlackCatALPHV.C	AV
Trojan.Ransom.BlackCatALPHV.D	AV
Trojan.Ransom.BlackCatALPHV.E	AV
Trojan.Ransom.BlackCatALPHV.F	AV
Win32.Ransomware.BlackCat	ATP Sandbox Adv. Heuristics
Win32.Ransomware.BlackCatALPHV	ATP Sandbox Adv. Heuristics
Win32.Trojan.BlackCatALPHV	ATP Sandbox Adv. Heuristics
Win64.Ransomware.BlackCat	ATP Sandbox Adv. Heuristics