LockBit 5.0 blijft wereldwijd organisaties actief aanvallen, en de aangesloten groepen hebben hun aanpak verfijnd tot een tweeledige aanval die moeilijk volledig te verdedigen blijkt. Volgens recente dreigingsinformatie steunen LockBit 5.0 double-extortioncampagnes nu minder op alleen brute-force encryptie en meer op een berekende combinatie van datadiefstal en ontwrichting, ontworpen om de druk op slachtoffers om te betalen te maximaliseren.

Dit is geen nieuwe ransomwarefamilie die plotseling opduikt. LockBit heeft een lange, goed gedocumenteerde geschiedenis als een van de meest productieve ransomware-as-a-service-operaties ter wereld, en haar heropleving na de ontmantelingsinspanning Operation Cronos van de wetshandhaving wordt nauwlettend gevolgd door beveiligingsonderzoekers. Voor lezers die de volledige achtergrond willen over hoe de groep zichzelf opnieuw opbouwde en evolueerde naar zijn huidige vorm, behandelt onze LockBit 5.0-uitleg die geschiedenis uitgebreid. Dit artikel richt zich op wat er nu gebeurt: de werking van de huidige campagne en wat organisaties eraan kunnen doen.

Hoe de double-extortionaanval van LockBit 5.0 werkt

Het aanvalspatroon dat de aangesloten groepen gebruiken, volgt een doelbewuste volgorde. Voordat er bestanden worden versleuteld, exfiltreren aanvallers eerst gegevens uit het doelwitnetwerk met behulp van tools zoals Rclone, een legitiem hulpprogramma voor bestandsoverdracht dat is hergebruikt om stilletjes grote hoeveelheden gestolen gegevens naar externe opslag te verplaatsen, of op maat gemaakte stealer-malware die specifiek voor deze taak is ontworpen.

Pas nadat die gegevens zijn gekopieerd, begint de versleutelingsfase, en die is ontworpen om snel te zijn. Aangesloten groepen gebruiken snelle, intermitterende encryptieroutines, wat betekent dat bestanden in bursts worden vergrendeld in plaats van allemaal tegelijk in één doorlopend proces. Deze aanpak stelt aanvallers in staat snel grote aantallen bestanden te versleutelen terwijl detectie door traditionele monitoringtools moeilijker wordt. Versleutelde bestanden krijgen ook willekeurige bestandsextensies, wat herstelpogingen bemoeilijkt en het voor verdedigers lastiger maakt om snel de omvang van de getroffen zaken te identificeren.

Het resultaat is een dubbele klem voor slachtoffers. Zelfs als een organisatie versleutelde systemen vanuit back-ups kan herstellen en kan voorkomen dat ze voor een decryptiesleutel moeten betalen, houden de aanvallers nog steeds gestolen gegevens in handen en kunnen ze dreigen deze te lekken of te verkopen. Die tweede hefboom is precies waarom dit model effectief blijft voor ransomwaregroepen in de hele sector, en waarom de aangesloten groepen van LockBit erop blijven leunen in Windows-, Linux- en gevirtualiseerde omgevingen.

Waarom data-exfiltratie nu de echte dreiging is, niet alleen versleuteling

Het is verleidelijk om ransomware vooral te zien als een bestandsversleutelingsprobleem, iets wat je oplost door goede back-ups te bewaren. Dat denken mist waar de echte pressiemiddelen nu liggen. Zodra gegevens het netwerk hebben verlaten, maken back-ups de blootstelling niet ongedaan. Gestolen bestanden – of het nu klantgegevens, financiële data, interne communicatie of intellectueel eigendom zijn – zijn al in handen van de aanvallers, ongeacht of de slachtofferorganisatie ooit het losgeld betaalt.

Deze verschuiving is belangrijk omdat het verandert wat 'herstel' daadwerkelijk betekent. Systemen herstellen vanaf een schone back-up pakt operationele stilstand aan, maar doet niets om te voorkomen dat gevoelige informatie op een lekpagina wordt gepubliceerd of aan andere dreigingsactoren wordt verkocht. Organisaties moeten data-exfiltratie behandelen als het primaire risico om voor te plannen, niet als een bijzaak na versleuteling.

Versterkingsstappen: back-ups, segmentatie en toegangscontroles

Gezien dit aanvalspatroon springen enkele defensieve prioriteiten eruit als bijzonder relevant voor hoe de aangesloten groepen van LockBit 5.0 te werk gaan:

  • Versleutelde, offline back-ups. Back-ups moeten versleuteld zijn in rust en geïsoleerd worden gehouden van het primaire netwerk, idealiter met onveranderlijke of air-gapped kopieën, zodat aanvallers, zelfs als ze brede toegang krijgen, de herstelgegevens niet kunnen bereiken of manipuleren.
  • Netwerksegmentatie. Omdat aangesloten groepen gegevens naar buiten verplaatsen vóór het versleutelen, verkleint het beperken van hoe ver een indringer zich over een netwerk kan verplaatsen eenmaal binnen zowel het volume van de risicovolle gegevens als het aantal systemen dat in de versleutelingsfase kan worden geraakt.
  • Monitoring op ongebruikelijke gegevensoverdrachten. Aangezien exfiltratietools zoals Rclone legitieme software zijn die misbruikt wordt, moeten beveiligingsteams letten op afwijkende volumes uitgaande overdracht of onbekend gebruik van bestandssynchronisatiehulpprogramma's, niet alleen op malwarehandtekeningen.
  • Strikte toegangscontroles. Het beperken van welke accounts en systemen toegang hebben tot gevoelige gegevens verkleint de hoeveelheid informatie die gestolen kan worden, zelfs als een aanvaller een eerste voet-aan-de-grond-account compromitteert.
  • Incidentresponsplanning die uitgaat van datadiefstal. Responsplannen moeten expliciet rekening houden met de mogelijkheid dat gegevens werden gekopieerd voordat enige versleuteling werd gedetecteerd, zodat juridische, communicatie- en wettelijke verplichtingen geen bijzaak zijn.

Geen van deze maatregelen is exotisch. Waar het om gaat is ze toe te passen met het specifieke LockBit 5.0-patroon in gedachten: snelle, intermitterende versleuteling voorafgegaan door stille datadiefstal.

Wat dit voor u betekent

Als u IT of beveiliging beheert voor een organisatie van elke omvang, is de praktische les dat ransomwareverdediging niet kan stoppen bij het voorkomen van versleuteling. Een LockBit 5.0 double-extortiongebeurtenis slaagt zelfs tegen organisaties met gedegen back-uppraktijken, omdat de diefstal eerst plaatsvindt en het pressiemiddel niet alleen van versleuteling afhangt. Heroverwegen hoe gevoelige gegevens zijn gesegmenteerd, wie er toegang tot heeft en of uitgaande overdrachten worden gemonitord, is op dit moment minstens zo belangrijk als back-uphygiëne.

Voor individuen is de blootstelling indirecter maar nog steeds reëel. Als een bedrijf waaraan u persoonlijke gegevens hebt verstrekt, wordt getroffen door dit soort campagne, kan uw informatie worden blootgesteld, ongeacht of die organisatie losgeld betaalt. Het is een goede herinnering om selectief te zijn met welke persoonlijke gegevens u deelt met diensten en om meldingen over datalekken van bedrijven die u gebruikt in de gaten te houden.

Belangrijkste punten

De voortdurende activiteit van LockBit 5.0 is een herinnering dat ransomware-as-a-service-operaties zich snel aanpassen, en verdedigingen moeten gelijke tred houden. Om het risico van dit soort campagne te verkleinen:

  • Houd versleutelde, offline of onveranderlijke back-ups bij die aanvallers niet kunnen bereiken of beschadigen
  • Segmenteer netwerken zodat een enkel gecompromitteerd account niet de hele omgeving kan bereiken
  • Monitor op ongebruikelijke uitgaande gegevensoverdrachten, niet alleen malwarehandtekeningen
  • Pas strikte, need-to-know toegangscontroles toe op gevoelige gegevens
  • Bouw incidentresponsplannen die ervan uitgaan dat data-exfiltratie plaatsvond vóór detectie

Voor meer achtergrond over hoe LockBit zijn operatie herbouwde na verstoring door de wetshandhaving en wat er is veranderd in de nieuwste versie, lees onze volledige uitleg over de evolutie van LockBit 5.0.