LockBit Ransomware forsvandt ikke, det tilpassede sig

I årevis har LockBit ransomware fungeret som en af de mest produktive ransomware-as-a-service (RaaS)-operationer i verden, hvor den udlejer sine krypteringsværktøjer og infrastruktur til et netværk af affilierede, der udfører angreb i bytte for en del af løsesummen. Da retshåndhævende myndigheder iværksatte Operation Cronos, en international nedlukningsindsats rettet mod LockBits servere, lækagesider og affilierede infrastruktur, troede mange, at gruppens regime var forbi. I stedet er operationen genopstået med LockBit 5.0, en opdateret version af malwaren, der afspejler de erfaringer, man har draget af forstyrrelsen.

Det er vigtigt at forstå, hvordan denne ransomware fungerer, og hvordan den har ændret sig, også for andre end it-afdelinger. Ransomware-angreb afslører rutinemæssigt kundedata, medarbejderoplysninger og fortrolige forretningsfiler, hvilket betyder, at følgevirkningerne af en vellykket indtrængen ofte bliver en privatlivshændelse for alle, hvis oplysninger var gemt på det kompromitterede netværk.

Sådan fungerer LockBit som en RaaS-forretning

LockBit fungerer mindre som en enkelt hackergruppe og mere som en kriminel franchise. Kerneudviklerne vedligeholder krypteringsmalwaren og forhandler infrastruktur, mens uafhængige affilierede håndterer selve indtrængningen, bevæger sig gennem offerets netværk, stjæler data og implementerer ransomware-nyttelasten. Fordi så mange forskellige affilierede bruger det samme LockBit-værktøjssæt, kan udtrykket "LockBit-angreb" beskrive vidt forskellige indtrængningsmetoder og adfærd afhængigt af, hvilken affilieret der udførte det.

Det er denne affilierede model, der har gjort LockBit så vedholdende. Selv når specifikke personer arresteres eller infrastruktur beslaglægges, som det skete under Operation Cronos, kan det bredere netværk af affilierede og LockBit-brandets omdømme overleve enhver enkeltstående nedkæmpelse. Det er en del af grunden til, at LockBit 5.0 dukkede op i stedet for, at gruppen blot forsvandt.

De fleste LockBit-indtrængninger følger en dobbeltafpresningsmodel: angriberne eksfiltrerer først følsomme filer, krypterer derefter systemer og truer til sidst med at offentliggøre de stjålne data, medmindre der betales en løsesum. Det er den samme pressionsmetode, som ses i andre højtprofilerede afpresningssager, som f.eks. sagen hvor en hacker med aliaset "888" hævdede at have stjålet 35 GB Accenture-kildekode, hvilket illustrerer, hvordan stjålne virksomhedsdata bliver til løftestang, selv uden ransomware-kryptering involveret.

Hvad Operation Cronos ændrede, og hvad LockBit 5.0 bringer

Operation Cronos forstyrrede LockBits lækagesider og backend-infrastruktur, hvilket tvang gruppen til at genopbygge tilliden til de affilierede og demonstrere, at den stadig kunne operere effektivt. LockBit 5.0 repræsenterer denne genopbygningsindsats: en videreudviklet version af malwaren, der er designet til at omgå de operative sikkerhedserfaringer, man lærte af nedlukningen.

For forsvarsfolk er den vigtigste lære ikke de specifikke tekniske justeringer i en ny malware-version, men mønsteret. Ransomware-operationer, der forstyrres, forsvinder sjældent helt. De rebrander, lapper deres svagheder og vender tilbage med opdaterede værktøjer. At betragte en retshåndhævelsesmæssig nedlukning som afslutningen på truslen er en fejl; organisationer bør antage, at LockBit-lignende operationer, hvad enten de drives af den oprindelige gruppe eller af efterligner-affilierede, der bruger lækkede builder-værktøjer, fortsat vil angribe netværk med svage forsvar.

Detektion, reaktion og gendannelse

Da LockBit-affilierede varierer i deres teknikker, kan ingen enkelt kontrol blokere ethvert angreb. Et effektivt forsvar afhænger af at lægge flere beskyttelseslag oven på hinanden:

  • Vedligehold offline, testede backups, så krypterede systemer kan gendannes uden at betale en løsesum
  • Håndhæv multifaktorautentificering på fjernadgangspunkter, da kompromitterede legitimationsoplysninger fortsat er en almindelig adgangsvej for affilierede
  • Opdater internetvendte systemer straks, da upatchede sårbarheder ofte udnyttes til indledende adgang
  • Implementer endpoint-detektionsværktøjer, der kan opdage den laterale bevægelse og rettighedsudvidelse, der typisk går forud for kryptering
  • Segmenter netværk, så en enkelt kompromitteret enhed ikke let kan nå kritiske systemer eller backup-lagre

Hurtig detektion under data-eksfiltreringsfasen, inden krypteringen begynder, giver den bedste chance for at begrænse skaden og undgå en dyr gendannelsesproces.

Hvad det betyder for dig

Selv hvis du ikke er it-administrator, påvirker LockBits aktiviteter dig indirekte. Ransomware-angreb mod hospitaler, detailhandlere, tjenesteudbydere og offentlige myndigheder afslører rutinemæssigt personoplysninger om kunder og patienter, der ikke havde nogen rolle i bruddet. Hvis en virksomhed, du interagerer med, offentliggør en ransomware-hændelse, skal du tage det alvorligt: overvåg dine konti for usædvanlig aktivitet, skift genbrugte adgangskoder, og vær opmærksom på phishing-forsøg, der henviser til bruddet. For virksomheder er fremkomsten af LockBit 5.0 en påmindelse om, at en tidligere retshåndhævelsessag mod en ransomware-gruppe ikke er nogen garanti for langsigtet sikkerhed.

Praktiske konklusioner

  • Antag, at ransomware-grupper, der er forstyrret af retshåndhævelsen, kan vende tilbage under nye versioner, og sænk ikke paraderne
  • Prioriter offline backups og MFA som grundlæggende beskyttelse mod ransomware-as-a-service-angreb
  • Hvis du får besked om et brud, der involverer LockBit eller lignende ransomware, skal du overvåge dine personlige konti og være opmærksom på opfølgende phishing-forsøg
  • Hold dig informeret om ransomware-taktikker i udvikling, da affilieret-drevne operationer som LockBit konstant tilpasser deres metoder

LockBit ransomware er stadig et af de tydeligste eksempler på, hvor modstandsdygtige og tilpasningsdygtige moderne cyberkriminalitetsoperationer er blevet. At holde sig informeret om, hvordan disse grupper udvikler sig, og tage praktiske defensive skridt, er fortsat den mest effektive måde at reducere risikoen for både organisationer og de personer, hvis data de opbevarer.