Il Ransomware LockBit Non È Scomparso, Si È Adattato

Per anni, il ransomware LockBit ha operato come una delle operazioni di ransomware-as-a-service (RaaS) più prolifiche al mondo, affittando i propri strumenti di crittografia e infrastruttura a una rete di affiliati che conducono attacchi in cambio di una percentuale del riscatto. Quando le forze dell'ordine hanno lanciato l'Operazione Cronos, un'operazione di smantellamento internazionale mirata ai server, ai siti di fuga di dati e all'infrastruttura degli affiliati di LockBit, molti hanno pensato che il regno del gruppo fosse finito. Invece, l'operazione è riemersa con LockBit 5.0, una versione aggiornata del malware che riflette le lezioni apprese dall'interruzione.

Capire come funziona questo ransomware e come è cambiato è importante anche al di fuori dei reparti IT. Gli attacchi ransomware espongono regolarmente dati dei clienti, dati dei dipendenti e file aziendali riservati, il che significa che le conseguenze di un'intrusione riuscita spesso si trasformano in un incidente di privacy per chiunque avesse informazioni memorizzate sulla rete compromessa.

Come LockBit Opera Come un Business RaaS

LockBit funziona meno come un singolo gruppo di hacker e più come un franchising criminale. Gli sviluppatori principali mantengono il malware di crittografia e negoziano l'infrastruttura, mentre affiliati indipendenti gestiscono l'intrusione vera e propria, muovendosi attraverso la rete della vittima, rubando dati e distribuendo il payload del ransomware. Poiché così tanti affiliati diversi utilizzano lo stesso toolkit LockBit, il termine "attacco LockBit" può descrivere metodi di intrusione e comportamenti enormemente diversi a seconda di quale affiliato lo ha eseguito.

Questo modello di affiliazione è ciò che ha reso LockBit così persistente. Anche quando individui specifici vengono arrestati o l'infrastruttura viene sequestrata, come durante l'Operazione Cronos, la rete più ampia di affiliati e la reputazione del marchio LockBit possono sopravvivere a qualsiasi singola repressione. Questo è in parte il motivo per cui è emerso LockBit 5.0 invece di far semplicemente svanire il gruppo.

La maggior parte delle intrusioni di LockBit segue un modello di doppia estorsione: gli attaccanti prima esfiltrano file sensibili, poi cifrano i sistemi e infine minacciano di pubblicare i dati rubati se non viene pagato un riscatto. Questa è la stessa tattica di pressione osservata in altri incidenti di estorsione di alto profilo, come il caso in cui un hacker con lo pseudonimo "888" ha affermato di aver rubato 35 GB di codice sorgente di Accenture, illustrando come i dati aziendali rubati diventino una leva anche senza il coinvolgimento della crittografia ransomware.

Cosa Ha Cambiato l'Operazione Cronos e Cosa Porta LockBit 5.0

L'Operazione Cronos ha interrotto i siti di fuga di dati e l'infrastruttura di back-end di LockBit, costringendo il gruppo a ricostruire la fiducia con gli affiliati e a dimostrare di poter ancora operare efficacemente. LockBit 5.0 rappresenta questo sforzo di ricostruzione: una versione evoluta del malware progettata per aggirare le lezioni di sicurezza operativa apprese dallo smantellamento.

Per i difensori, il punto chiave non sono le modifiche tecniche specifiche in una nuova versione del malware, ma lo schema. Le operazioni ransomware che vengono interrotte raramente scompaiono del tutto. Si riorganizzano, correggono le loro debolezze e tornano con strumenti aggiornati. Trattare un'azione delle forze dell'ordine come la fine della minaccia è un errore; le organizzazioni devono presumere che le operazioni in stile LockBit, sia condotte dal gruppo originale che da affiliati emulatori che utilizzano strumenti di creazione trapelati, continueranno a prendere di mira le reti con difese deboli.

Rilevamento, Risposta e Ripristino

Poiché gli affiliati di LockBit variano nelle loro tecniche, nessun singolo controllo blocca ogni attacco. Una difesa efficace si basa sulla sovrapposizione di protezioni multiple:

  • Mantenere backup offline e testati in modo che i sistemi crittografati possano essere ripristinati senza pagare un riscatto
  • Applicare l'autenticazione a più fattori sui punti di accesso remoto, poiché le credenziali compromesse rimangono una via d'ingresso comune per gli affiliati
  • Applicare tempestivamente le patch ai sistemi esposti su Internet, poiché le vulnerabilità non corrette sono spesso sfruttate per l'accesso iniziale
  • Distribuire strumenti di rilevamento degli endpoint in grado di individuare il movimento laterale e l'escalation dei privilegi che tipicamente precedono la crittografia
  • Segmentare le reti in modo che un singolo dispositivo compromesso non possa raggiungere facilmente sistemi critici o repository di backup

Un rilevamento rapido durante la fase di esfiltrazione dei dati, prima che inizi la crittografia, offre la migliore possibilità di limitare i danni ed evitare un costoso processo di ripristino.

Cosa Significa Questo Per Te

Anche se non sei un amministratore IT, l'attività di LockBit ti colpisce indirettamente. Gli attacchi ransomware contro ospedali, rivenditori, fornitori di servizi e agenzie governative espongono regolarmente i dati personali di clienti e pazienti che non hanno avuto alcun ruolo nella violazione. Se un'azienda con cui interagisci comunica un incidente ransomware, prendilo seriamente: monitora i tuoi account per attività insolite, cambia le password riutilizzate e fai attenzione ai tentativi di phishing che fanno riferimento alla violazione. Per le aziende, l'emergere di LockBit 5.0 è un promemoria che un'azione passata delle forze dell'ordine contro un gruppo ransomware non è una garanzia di sicurezza a lungo termine.

Indicazioni Pratiche

  • Dai per scontato che i gruppi ransomware interrotti dalle forze dell'ordine possano tornare con nuove versioni, non abbassare la guardia
  • Dai priorità ai backup offline e all'autenticazione a più fattori (MFA) come protezioni di base contro gli attacchi ransomware-as-a-service
  • Se vieni informato di una violazione che coinvolge LockBit o ransomware simile, monitora i tuoi account personali e fai attenzione ai successivi tentativi di phishing
  • Tieniti informato sulle tattiche ransomware in evoluzione, poiché le operazioni guidate da affiliati come LockBit adattano costantemente i loro metodi

Il ransomware LockBit rimane uno degli esempi più chiari di come le moderne operazioni di criminalità informatica siano diventate resilienti e adattabili. Rimanere informati su come questi gruppi evolvono e adottare misure difensive pratiche rimane il modo più efficace per ridurre il rischio sia per le organizzazioni che per gli individui i cui dati sono in loro possesso.