LockBit 5.0 er fortsatt aktivt rettet mot organisasjoner over hele verden, og gruppens tilknyttede har finpusset tilnærmingen sin til et tosidig angrep som viser seg vanskelig å forsvare seg fullstendig mot. Ifølge nyere trusseletterretning er LockBit 5.0s dobbelutpressingskampanjer nå mindre avhengige av brute-force-kryptering alene, og mer av en kalkulert kombinasjon av datatyveri og forstyrrelse designet for å maksimere presset på ofrene for å betale.

Dette er ikke en ny løsepengevirusfamilie som dukker opp fra ingensteds. LockBit har en lang, veldokumentert historie som en av verdens mest produktive ransomware-as-a-service-operasjoner, og gjenoppblomstringen etter politiets Operasjon Cronos-nedslag har blitt fulgt nøye av sikkerhetsforskere. For lesere som ønsker en mer fullstendig bakgrunnshistorie om hvordan gruppen gjenoppbygde seg og utviklet seg til sin nåværende form, dekker vår LockBit 5.0-forklaring denne historien i dybden. Denne artikkelen fokuserer på hva som skjer akkurat nå: mekanikken i den pågående kampanjen og hva organisasjoner kan gjøre med det.

Hvordan LockBit 5.0s dobbelutpressingsangrep fungerer

Angrepsmønsteret de tilknyttede bruker følger en bevisst sekvens. Før noen filer krypteres, eksfiltrerer angriperne først data fra målnettverket ved hjelp av verktøy som Rclone, et legitimt filoverføringsverktøy som er blitt omformålssatt for stille å flytte store mengder stjålne data til ekstern lagring, eller spesialbygd stealer-skadevare designet spesifikt for jobben.

Først etter at dataene er kopiert ut, begynner krypteringsfasen, og den er designet for å være rask. Tilknyttede bruker raske, intermitterende krypteringsrutiner, noe som betyr at filer låses i puljer i stedet for alle på en gang i én enkelt kontinuerlig prosess. Denne tilnærmingen lar angriperne kryptere store mengder filer raskt, samtidig som det gjør det vanskeligere for tradisjonelle overvåkingsverktøy å oppdage. Krypterte filer får også tilfeldige filendelser, noe som kompliserer gjenopprettingsarbeidet og gjør det vanskeligere for forsvarere raskt å identifisere omfanget av det som er rammet.

Resultatet er en dobbel ulempe for ofrene. Selv om en organisasjon kan gjenopprette krypterte systemer fra sikkerhetskopier og unngå å betale for en dekrypteringsnøkkel, har angriperne fortsatt de stjålne dataene og kan true med å lekke eller selge dem. Denne andre spaken er nettopp grunnen til at denne modellen har forblitt effektiv for løsepengegrupper over hele bransjen, og hvorfor LockBits tilknyttede fortsetter å støtte seg på den på tvers av Windows, Linux og virtualiserte miljøer.

Hvorfor dataeksfiltrasjon nå er den virkelige trusselen, ikke bare kryptering

Det er fristende å tenke på løsepengevirus primært som et filkrypteringsproblem, noe du løser ved å ta gode sikkerhetskopier. Den tankegangen overser hvor den faktiske pressmekanismen nå ligger. Når data først har forlatt nettverket, kan ikke sikkerhetskopier oppheve eksponeringen. Stjålne filer, enten det er kundeposter, økonomiske data, intern kommunikasjon eller åndsverk, er allerede i angripernes hender uavhengig av om offerorganisasjonen noen gang betaler løsepengene.

Dette skiftet betyr noe fordi det endrer hva "gjenoppretting" faktisk innebærer. Å gjenopprette systemer fra en ren sikkerhetskopi tar tak i driftsstans, men det forhindrer ikke at sensitiv informasjon blir publisert på et lekkasjested eller solgt til andre trusselaktører. Organisasjoner må behandle dataeksfiltrasjon som den primære risikoen å planlegge for, ikke som en ettertanke til kryptering.

Tiltak for herding: Sikkerhetskopier, segmentering og tilgangskontroller

Gitt dette angrepsmønsteret, skiller noen prioriterte forsvarstiltak seg ut som spesielt relevante for hvordan LockBit 5.0-tilknyttede opererer:

  • Krypterte, frakoblede sikkerhetskopier. Sikkerhetskopier bør være kryptert i ro og holdes isolert fra primærnettverket, ideelt med uforanderlige eller luftkoplede kopier, slik at selv om angripere får bred tilgang, kan de ikke nå eller tukle med gjenopprettingsdata.
  • Nettverkssegmentering. Fordi tilknyttede flytter data ut før kryptering, reduserer begrensning av hvor langt en inntrenger kan bevege seg på tvers av et nettverk når de først er inne, både mengden data som er i faresonen og antallet systemer som kan bli rammet i krypteringsfasen.
  • Overvåking for uvanlige dataoverføringer. Siden eksfiltrasjonsverktøy som Rclone er legitim programvare som misbrukes, bør sikkerhetsteam se etter avvikende utgående overføringsvolumer eller ukjent bruk av filsynchroniseringsverktøy, ikke bare skadevaresignaturer.
  • Strenge tilgangskontroller. Begrensning av hvilke kontoer og systemer som kan få tilgang til sensitive data reduserer mengden informasjon som er tilgjengelig å stjele, selv om en angriper kompromitterer en innledende konto.
  • Hendelsesresponsplanlegging som forutsetter datatyveri. Responsplaner bør eksplisitt ta høyde for muligheten for at data ble kopiert ut før noen kryptering ble oppdaget, slik at juridiske, kommunikasjons- og regulatoriske forpliktelser ikke blir en ettertanke.

Ingen av disse tiltakene er eksotiske. Det som betyr noe er å anvende dem med det spesifikke LockBit 5.0-mønsteret i tankene: rask, intermitterende kryptering forutgått av stille datatyveri.

Hva dette betyr for deg

Hvis du driver IT eller sikkerhet for en organisasjon av en hvilken som helst størrelse, er den praktiske lærdommen at løsepengebeskyttelse ikke kan stoppe ved krypteringsforebygging. Et LockBit 5.0 dobbelutpressingsangrep lykkes selv mot organisasjoner med solide sikkerhetskopirutiner, fordi tyveriet skjer først og pressmiddelet ikke avhenger av kryptering alene. Å gjennomgå hvordan sensitive data er segmentert, hvem som har tilgang til dem, og om utgående overføringer blir overvåket, er minst like viktig som sikkerhetskopieringshygiene på dette tidspunktet.

For enkeltpersoner er eksponeringen mer indirekte, men fortsatt reell. Hvis et selskap du har delt personlige data med blir rammet av denne typen kampanje, kan informasjonen din ende opp med å bli eksponert uavhengig av om den organisasjonen betaler løsepenger. Det er en god påminnelse om å være selektiv med hvilke personopplysninger du deler med tjenester, og å holde øye med varsler om datainnbrudd knyttet til selskaper du bruker.

Viktige lærdommer

LockBit 5.0s fortsatte aktivitet er en påminnelse om at ransomware-as-a-service-operasjoner tilpasser seg raskt, og forsvaret må holde tritt. For å redusere risikoen fra denne typen kampanje:

  • Vedlikehold krypterte, frakoblede eller uforanderlige sikkerhetskopier som angripere ikke kan nå eller ødelegge
  • Segmenter nettverk slik at en enkelt kompromittert konto ikke kan nå hele miljøet
  • Overvåk etter uvanlige utgående dataoverføringer, ikke bare skadevaresignaturer
  • Anvend strenge behovsbaserte tilgangskontroller til sensitive data
  • Bygg hendelsesresponsplaner som antar at dataeksfiltrasjon skjedde før deteksjon

For mer bakgrunn om hvordan LockBit gjenoppbygde operasjonen sin etter politiets nedslag og hva som er endret i den nyeste versjonen, les vår fullstendige forklaringsartikkel om LockBit 5.0s utvikling.