LockBit 5.0 Doppelte Erpressungskampagne weiterhin weltweit aktiv

LockBit 5.0 greift weiterhin aktiv Organisationen weltweit an, und die Affiliates der Gruppe haben ihren Ansatz zu einem zweigleisigen Angriff verfeinert, der sich als schwer vollständig abwehrbar erweist. Jüngsten Threat-Intelligence-Erkenntnissen zufolge setzen die Kampagnen mit doppelter Erpressung von LockBit 5.0 nun weniger auf reine Brute-Force-Verschlüsselung, sondern vielmehr auf eine kalkulierte Kombination aus Datendiebstahl und Störung, um den Druck auf die Opfer zur Zahlung zu maximieren.

Hierbei handelt es sich nicht um eine neue Ransomware-Familie, die aus dem Nichts auftaucht. LockBit hat eine lange, gut dokumentierte Geschichte als eine der produktivsten Ransomware-as-a-Service-Operationen der Welt, und ihr Wiederaufleben nach der Zerschlagungsaktion Operation Cronos der Strafverfolgungsbehörden wird von Sicherheitsforschern genau verfolgt. Für Leser, die die vollständige Hintergrundgeschichte erfahren möchten, wie sich die Gruppe neu formierte und zu ihrer heutigen Form entwickelte, bietet unser LockBit 5.0-Erklärartikel einen detaillierten Einblick. Dieser Beitrag konzentriert sich auf das aktuelle Geschehen: die Mechanik der laufenden Kampagne und was Organisationen dagegen unternehmen können.

So funktioniert der Double-Extortion-Angriff von LockBit 5.0

Das Angriffsmuster, das die Affiliates verwenden, folgt einer bewussten Abfolge. Bevor Dateien verschlüsselt werden, exfiltrieren die Angreifer zunächst Daten aus dem Zielnetzwerk, wobei sie Tools wie Rclone einsetzen – ein legitimes Dateiübertragungsprogramm, das zweckentfremdet wird, um große Mengen gestohlener Daten unbemerkt auf externe Speicher zu verschieben – oder speziell für diese Aufgabe entwickelte Stealer-Malware.

Erst nachdem diese Daten kopiert wurden, beginnt die Verschlüsselungsphase, die auf Geschwindigkeit ausgelegt ist. Die Affiliates nutzen schnelle, intermittierende Verschlüsselungsroutinen, das heißt, Dateien werden in Schüben gesperrt und nicht auf einmal in einem durchgehenden Prozess. Dadurch können die Angreifer große Dateimengen schnell verschlüsseln und gleichzeitig die Erkennung durch herkömmliche Überwachungswerkzeuge erschweren. Verschlüsselte Dateien erhalten zudem zufällige Dateierweiterungen, was Wiederherstellungsbemühungen verkompliziert und es Verteidigern erschwert, das betroffene Ausmaß rasch zu identifizieren.

Das Ergebnis ist eine doppelte Zwickmühle für die Opfer. Selbst wenn eine Organisation verschlüsselte Systeme aus Backups wiederherstellen und die Zahlung für einen Entschlüsselungsschlüssel vermeiden kann, besitzen die Angreifer immer noch die gestohlenen Daten und können drohen, sie zu veröffentlichen oder zu verkaufen. Dieser zweite Hebel ist genau der Grund, warum dieses Modell branchenweit für Ransomware-Gruppen wirksam bleibt und warum LockBits Affiliates es weiterhin in Windows-, Linux- und virtualisierten Umgebungen einsetzen.

Warum Datenexfiltration heute die eigentliche Bedrohung ist – nicht nur die Verschlüsselung

Es liegt nahe, Ransomware in erster Linie als ein Problem der Dateiverschlüsselung zu betrachten, das man durch gute Backups löst. Dieses Denken verkennt, wo der eigentliche Druckhebel heute liegt. Sobald Daten das Netzwerk verlassen haben, machen Backups die Offenlegung nicht rückgängig. Gestohlene Dateien – ob Kundenunterlagen, Finanzdaten, interne Kommunikation oder geistiges Eigentum – befinden sich bereits in den Händen der Angreifer, unabhängig davon, ob das Opferunternehmen jemals das Lösegeld zahlt.

Diese Verschiebung ist wichtig, weil sie verändert, was „Wiederherstellung“ tatsächlich bedeutet. Die Wiederherstellung von Systemen aus einem sauberen Backup behebt betriebliche Ausfallzeiten, verhindert aber nicht, dass sensible Informationen auf einer Leak-Site veröffentlicht oder an andere Bedrohungsakteure verkauft werden. Organisationen müssen die Datenexfiltration als das primäre Risiko betrachten, auf das sie sich vorbereiten, und nicht als einen nachträglichen Gedanken zur Verschlüsselung.

Härtungsmaßnahmen: Backups, Segmentierung und Zugriffskontrollen

Angesichts dieses Angriffsmusters kristallisieren sich einige Verteidigungsprioritäten heraus, die besonders relevant für die Arbeitsweise der LockBit-5.0-Affiliates sind:

• Verschlüsselte, offline gehaltene Backups. Backups sollten im Ruhezustand verschlüsselt und vom primären Netzwerk isoliert aufbewahrt werden – idealerweise mit unveränderlichen oder luftspaltbasierten Kopien –, sodass selbst bei weitreichendem Zugriff der Angreifer die Wiederherstellungsdaten weder erreicht noch manipuliert werden können.
• Netzwerksegmentierung. Da die Affiliates Daten vor der Verschlüsselung aus dem Netzwerk schleusen, verringert die Begrenzung, wie weit ein Eindringling nach dem Eindringen lateral vordringen kann, sowohl die Menge der gefährdeten Daten als auch die Anzahl der Systeme, die in der Verschlüsselungsphase getroffen werden können.
• Überwachung auf ungewöhnliche Datentransfers. Da Exfiltrationstools wie Rclone legitime Software sind, die missbraucht wird, sollten Sicherheitsteams nicht nur nach Malware-Signaturen Ausschau halten, sondern auch nach anomalen ausgehenden Transfervolumen oder einer ungewohnten Nutzung von Dateisynchronisierungsprogrammen.
• Strenge Zugriffskontrollen. Die Beschränkung, welche Konten und Systeme auf sensible Daten zugreifen können, verringert den Datenpool, der selbst bei Kompromittierung eines ersten Zugangskontos gestohlen werden kann.
• Vorfallsreaktionsplanung, die von Datendiebstahl ausgeht. Reaktionspläne sollten explizit die Möglichkeit berücksichtigen, dass Daten bereits kopiert wurden, bevor eine Verschlüsselung erkannt wurde, damit rechtliche, kommunikative und regulatorische Verpflichtungen nicht erst im Nachhinein bedacht werden.

Keine dieser Maßnahmen ist exotisch. Entscheidend ist, sie mit dem spezifischen LockBit-5.0-Muster vor Augen umzusetzen: schnelle, intermittierende Verschlüsselung, der ein leiser Datendiebstahl vorausgeht.

Was das für Sie bedeutet

Wenn Sie für IT oder Sicherheit in einer Organisation beliebiger Größe verantwortlich sind, lautet die praktische Konsequenz, dass die Ransomware-Abwehr nicht bei der Verhinderung der Verschlüsselung aufhören darf. Ein LockBit-5.0-Angriff mit doppelter Erpressung ist selbst gegen Organisationen mit soliden Backup-Praktiken erfolgreich, denn der Diebstahl findet zuerst statt und der Druckhebel hängt nicht allein von der Verschlüsselung ab. Zu überprüfen, wie sensible Daten segmentiert sind, wer darauf zugreifen kann und ob ausgehende Übertragungen überwacht werden, ist inzwischen mindestens ebenso wichtig wie die Backup-Hygiene.

Für Einzelpersonen ist die Gefährdung indirekter, aber dennoch real. Wenn ein Unternehmen, dem Sie personenbezogene Daten anvertraut haben, von einer solchen Kampagne getroffen wird, könnten Ihre Daten offengelegt werden, unabhängig davon, ob das Unternehmen Lösegeld zahlt. Das ist eine gute Erinnerung, wählerisch zu sein, welche persönlichen Daten Sie mit Diensten teilen, und auf Benachrichtigungen über Datenschutzverletzungen bei den von Ihnen genutzten Unternehmen zu achten.

Wichtigste Erkenntnisse

Die anhaltende Aktivität von LockBit 5.0 erinnert daran, dass Ransomware-as-a-Service-Operationen sich schnell anpassen und die Abwehrmaßnahmen Schritt halten müssen. Um das Risiko durch derartige Kampagnen zu verringern:

• Verschlüsselte, offline oder unveränderliche Backups pflegen, auf die Angreifer weder zugreifen noch die sie korrumpieren können.
• Netzwerke so segmentieren, dass ein einzelnes kompromittiertes Konto nicht die gesamte Umgebung erreichen kann.
• Auf ungewöhnliche ausgehende Datentransfers achten, nicht nur nach Malware-Signaturen.
• Strenge, nach dem Need-to-know-Prinzip ausgerichtete Zugriffskontrollen für sensible Daten anwenden.
• Vorfallsreaktionspläne erstellen, die davon ausgehen, dass vor der Erkennung eine Datenexfiltration stattgefunden hat.

Weitere Hintergründe dazu, wie LockBit seinen Betrieb nach der Störung durch Strafverfolgungsbehörden wieder aufgebaut hat und was sich in der neuesten Version geändert hat, finden Sie in unserem vollständigen Erklärartikel zur Entwicklung von LockBit 5.0.