LockBit 5.0 continua a colpire attivamente organizzazioni in tutto il mondo e gli affiliati del gruppo hanno perfezionato il loro approccio con un attacco a doppio binario che si sta rivelando difficile da contrastare completamente. Secondo recenti dati di threat intelligence, le campagne di doppia estorsione di LockBit 5.0 ora fanno meno affidamento sulla sola cifratura brute-force e più su una combinazione calcolata di furto di dati e disruption, progettata per massimizzare la pressione sulle vittime affinché paghino.

Non si tratta di una nuova famiglia di ransomware spuntata dal nulla. LockBit ha una lunga e ben documentata storia come una delle operazioni di ransomware-as-a-service più prolifiche al mondo, e la sua rinascita dopo l'operazione di smantellamento Cronos da parte delle forze dell'ordine è stata seguita da vicino dai ricercatori di sicurezza. Per i lettori che vogliono conoscere più a fondo la storia di come il gruppo si è ricostruito ed è evoluto nella sua forma attuale, la nostra guida su LockBit 5.0 copre quella storia in dettaglio. Questo articolo si concentra su ciò che sta accadendo ora: i meccanismi della campagna in corso e cosa possono fare le organizzazioni per affrontarla.

Come funziona l'attacco a doppia estorsione di LockBit 5.0

Lo schema di attacco utilizzato dagli affiliati segue una sequenza deliberata. Prima che qualsiasi file venga cifrato, gli attaccanti esfiltrano dati dalla rete bersaglio usando strumenti come Rclone, un'utilità legittima per il trasferimento file che è stata riadattata per spostare silenziosamente grandi volumi di dati rubati su storage esterni, oppure malware stealer appositamente progettati per questo compito.

Solo dopo che quei dati sono stati copiati inizia la fase di cifratura, ed è progettata per essere rapida. Gli affiliati utilizzano routine di cifratura intermittente e veloce, il che significa che i file vengono bloccati a raffiche anziché in un unico processo continuo. Questo approccio consente agli attaccanti di cifrare grandi quantità di file rapidamente, rendendo al contempo più difficile il rilevamento da parte degli strumenti di monitoraggio tradizionali. Ai file cifrati vengono inoltre assegnate estensioni casuali, il che complica le operazioni di ripristino e rende più difficile per i difensori identificare tempestivamente la portata di ciò che è stato colpito.

Il risultato è un doppio vincolo per le vittime. Anche se un'organizzazione riesce a ripristinare i sistemi cifrati dai backup ed evitare di pagare per una chiave di decrittazione, gli attaccanti detengono comunque i dati rubati e possono minacciare di divulgarli o venderli. Questa seconda leva è proprio il motivo per cui questo modello è rimasto efficace per i gruppi ransomware in tutto il settore, e perché gli affiliati di LockBit continuano a farvi affidamento su ambienti Windows, Linux e virtualizzati.

Perché l'esfiltrazione dei dati è ora la vera minaccia, non solo la cifratura

È facile pensare al ransomware principalmente come a un problema di cifratura dei file, qualcosa che si risolve mantenendo buoni backup. Questo ragionamento trascura dove risiede ora la vera leva negoziale. Una volta che i dati hanno lasciato la rete, i backup non annullano l'esposizione. I file rubati, che si tratti di dati dei clienti, dati finanziari, comunicazioni interne o proprietà intellettuale, sono già nelle mani degli attaccanti, indipendentemente dal fatto che l'organizzazione vittima paghi il riscatto.

Questo cambiamento è importante perché modifica il significato reale di "ripristino". Ripristinare i sistemi da un backup pulito risolve i tempi di inattività operativa, ma non fa nulla per impedire che le informazioni sensibili vengano pubblicate su un sito di leak o vendute ad altri criminali informatici. Le organizzazioni devono trattare l'esfiltrazione dei dati come il rischio primario da pianificare, non come un aspetto secondario rispetto alla cifratura.

Misure di rafforzamento: backup, segmentazione e controlli degli accessi

Alla luce di questo schema di attacco, alcune priorità difensive emergono come particolarmente rilevanti per il modo in cui operano gli affiliati di LockBit 5.0:

  • Backup crittografati e offline. I backup dovrebbero essere crittografati a riposo e mantenuti isolati dalla rete primaria, idealmente con copie immutabili o air-gapped, in modo che anche se gli attaccanti ottengono un accesso esteso, non possano raggiungere o manomettere i dati di ripristino.
  • Segmentazione della rete. Poiché gli affiliati spostano i dati all'esterno prima di cifrare, limitare la capacità di un intruso di muoversi lateralmente nella rete una volta entrato riduce sia il volume di dati a rischio sia il numero di sistemi che possono essere colpiti nella fase di cifratura.
  • Monitoraggio di trasferimenti dati anomali. Poiché strumenti di esfiltrazione come Rclone sono software legittimi utilizzati in modo improprio, i team di sicurezza dovrebbero monitorare volumi anomali di trasferimento in uscita o un uso insolito di utility di sincronizzazione file, non solo le firme malware.
  • Controlli di accesso rigorosi. Limitare quali account e sistemi possono accedere ai dati sensibili riduce il bacino di informazioni rubabili anche se un attaccante compromette un account di primo accesso.
  • Pianificazione della risposta agli incidenti che presuppone il furto di dati. I piani di risposta dovrebbero contemplare esplicitamente la possibilità che i dati siano stati copiati prima che qualsiasi cifratura venisse rilevata, in modo che gli obblighi legali, di comunicazione e normativi non siano un pensiero tardivo.

Nessuna di queste misure è esotica. Ciò che conta è applicarle tenendo presente lo schema specifico di LockBit 5.0: cifratura rapida e intermittente preceduta da un furto silenzioso di dati.

Cosa significa per voi

Se gestite l'IT o la sicurezza per un'organizzazione di qualsiasi dimensione, il punto pratico è che la difesa contro il ransomware non può fermarsi alla prevenzione della cifratura. Un evento di doppia estorsione di LockBit 5.0 ha successo anche contro organizzazioni con solide pratiche di backup, perché il furto avviene prima e la leva non dipende solo dalla cifratura. Rivedere come sono segmentati i dati sensibili, chi può accedervi e se i trasferimenti in uscita sono monitorati è importante almeno quanto l'igiene dei backup a questo punto.

Per gli individui, l'esposizione è più indiretta ma comunque reale. Se un'azienda con cui avete condiviso dati personali viene colpita da questo tipo di campagna, le vostre informazioni potrebbero finire esposte, indipendentemente dal fatto che l'organizzazione paghi o meno un riscatto. È un buon promemoria per essere selettivi riguardo ai dati personali che condividete con i servizi e per tenere d'occhio le notifiche di violazione legate alle aziende che utilizzate.

Punti chiave

L'attività continua di LockBit 5.0 è un promemoria del fatto che le operazioni di ransomware-as-a-service si adattano rapidamente e le difese devono tenere il passo. Per ridurre il rischio derivante da questo tipo di campagna:

  • Mantenere backup crittografati, offline o immutabili che gli attaccanti non possano raggiungere o corrompere
  • Segmentare le reti in modo che un singolo account compromesso non possa raggiungere l'intero ambiente
  • Monitorare i trasferimenti anomali di dati in uscita, non solo le firme malware
  • Applicare controlli di accesso rigorosi, basati sul principio del minimo privilegio, ai dati sensibili
  • Costruire piani di risposta agli incidenti che presuppongano che l'esfiltrazione sia avvenuta prima del rilevamento

Per maggiori informazioni su come LockBit ha ricostruito la sua operazione dopo l'interruzione delle forze dell'ordine e cosa è cambiato nell'ultima versione, leggete la nostra guida completa sull'evoluzione di LockBit 5.0.