Un ceppo di ransomware che ha rimodellato il panorama delle minacce
LockBit 3.0, noto anche come LockBit Black, ha colpito oltre 2.000 vittime in 95 paesi, secondo una nuova analisi tecnica di ProvenData che mappa l'intera catena di attacco del gruppo contro il framework MITRE ATT&CK. Il rapporto include indicatori di compromissione (IOC) e una checklist di risposta agli incidenti pensata per i team di sicurezza e i managed service provider (MSP) che devono rilevare e contenere il malware prima che provochi danni.
Ciò che rende LockBit 3.0 degno di nota non è solo la sua portata. È la maturità operativa che c'è dietro. Come piattaforma ransomware-as-a-service (RaaS), LockBit fornisce agli affiliati strumenti raffinati, un programma di bug bounty per il proprio malware e payload di crittografia configurabili. Questa professionalizzazione è una delle principali ragioni per cui il ceppo è riuscito a colpire migliaia di obiettivi in quasi metà dei paesi del mondo, dalle piccole imprese alle grandi istituzioni finanziarie. La rivendicazione della violazione di US Bank da parte di LockBit è un esempio recente di come il gruppo abbia preso di mira specificamente il settore finanziario, dando alle vittime scadenze ravvicinate per il riscatto al fine di spingere a pagamenti rapidi.
Come funziona la catena di attacco
Secondo l'analisi di ProvenData, LockBit 3.0 segue un modus operandi abbastanza coerente una volta che gli affiliati ottengono l'accesso iniziale, tipicamente tramite phishing, protocollo RDP (Remote Desktop Protocol) esposto o vulnerabilità sfruttate in software esposti a internet. Da lì, il malware procede attraverso ricognizione, escalation dei privilegi e movimento laterale nella rete prima di distribuire il payload di crittografia. Mappare queste fasi su MITRE ATT&CK offre ai difensori un linguaggio comune per identificare in quale punto della kill chain avviene un'intrusione, un aspetto di enorme importanza quando si cerca di fermare un attacco prima che i file vengano bloccati e i dati esfiltrati.
Vale la pena soffermarsi su questo passaggio di esfiltrazione. I gruppi ransomware moderni, incluso LockBit, raramente si limitano più a crittografare i file. Prima rubano dati sensibili e minacciano di pubblicarli su siti di leak se il riscatto non viene pagato, una tattica nota come doppia estorsione. È qui che le implicazioni per la privacy diventano serie: anche le organizzazioni con backup solidi e nessuna intenzione di pagare un riscatto possono comunque andare incontro all'esposizione di dati dei clienti, dati dei dipendenti o informazioni proprietarie. Questo spostamento verso il furto di dati come principale leva di pressione fa parte di una tendenza più ampia trattata nella ricerca di KnowBe4 sul ransomware che si sposta verso il furto di identità, in cui i dati personali rubati sopravvivono sempre più spesso alla violazione iniziale come strumento per frodi.
Perché LockBit continua a tornare
La persistenza di LockBit è parte di ciò che lo rende degno di essere monitorato attentamente. Nonostante la pressione delle forze dell'ordine internazionali e i tentativi di smantellamento mirati alla sua infrastruttura, il gruppo e i suoi affiliati hanno continuato a evolversi. L'emergere di varianti più recenti, descritto nella nostra copertura di LockBit 5.0 e la vita dopo l'operazione Cronos, dimostra che interrompere i server di un'operazione RaaS non ferma necessariamente il modello di business sottostante. Gli affiliati si limitano a cambiare marchio, riadattano gli strumenti e riprendono le operazioni sotto nuove versioni.
Questa resilienza rispecchia un modello più ampio nell'ecosistema del ransomware. Recenti report di settore, incluso il rapporto ransomware 2026 di Black Kite che mostra oltre 7.551 vittime a livello globale, suggeriscono che il ransomware non è più dominato da una manciata di gang che fanno notizia. È invece un'economia distribuita, simile a un franchising, in cui playbook tecnici come quello di LockBit vengono riutilizzati e adattati da numerosi gruppi.
Cosa significa per te
Se gestisci l'IT o la sicurezza di un'organizzazione, l'analisi tecnica di LockBit 3.0 è un promemoria che la protezione antivirus generica non basta. La catena di attacco si basa sullo sfruttamento di debolezze comuni, accesso remoto esposto, software non aggiornato, credenziali deboli, che la maggior parte delle organizzazioni fatica ancora a chiudere completamente. Mappare le tue difese rispetto alle fasi MITRE ATT&CK utilizzate da LockBit può aiutarti a individuare le lacune prima che un affiliato le trovi al posto tuo.
Per gli utenti comuni e i consumatori, il rischio è più indiretto ma comunque reale. Se un'azienda con cui hai rapporti commerciali subisce una violazione da parte di LockBit o di un gruppo simile, i tuoi dati personali potrebbero finire su un sito di leak indipendentemente dal fatto che l'azienda paghi o meno il riscatto. Questo è un valido argomento per usare password uniche, abilitare l'autenticazione multifattore dove possibile e monitorare i tuoi account per attività sospette dopo qualsiasi notifica di violazione ricevuta.
Azioni concrete da intraprendere
Le organizzazioni dovrebbero dare priorità al patching dei sistemi esposti a internet, limitare l'esposizione RDP e mantenere backup offline e testati che le tattiche di doppia estorsione non possano toccare. I team di sicurezza dovrebbero incorporare gli IOC e le mappature MITRE ATT&CK dei report tecnici come questo nelle regole di rilevamento e nei playbook di threat hunting. Gli individui dovrebbero prendere sul serio ogni notifica di violazione dei dati, cambiando le password e prestando attenzione ai tentativi di phishing che spesso seguono un leak. La scala di LockBit 3.0, oltre 2.000 vittime in 95 paesi, è un segnale chiaro che il ransomware rimane una minaccia attiva e in evoluzione, e rimanere informati su come funzionano realmente questi attacchi è uno dei modi più semplici per stare al passo.
