Ransomware LockBit 3.0: 2000 ofiar w 95 krajach

Szczep ransomware, który przekształcił krajobraz zagrożeń

LockBit 3.0, znany również jako LockBit Black, pochłonął ponad 2000 ofiar w 95 krajach, zgodnie z nową analizą techniczną firmy ProvenData, która odwzorowuje pełny łańcuch ataku tej grupy na ramę MITRE ATT&CK. Raport zawiera wskaźniki kompromitacji (IOC) oraz listę kontrolną reagowania na incydenty, skierowaną do zespołów bezpieczeństwa i dostawców usług zarządzanych (MSP), którzy muszą wykryć i powstrzymać złośliwe oprogramowanie, zanim wyrządzi szkody.

To, co wyróżnia LockBit 3.0, to nie tylko jego skala. To dojrzałość operacyjna, która za nim stoi. Jako platforma ransomware-jako-usługa (RaaS), LockBit zapewnia partnerom dopracowane narzędzia, program bug bounty dla własnego złośliwego oprogramowania oraz konfigurowalne ładunki szyfrujące. Ta profesjonalizacja jest głównym powodem, dla którego ten szczep był w stanie trafić w tysiące celów w niemal połowie krajów na Ziemi — od małych firm po duże instytucje finansowe. Roszczenie o naruszeniu LockBit w US Bank to jeden z niedawnych przykładów tego, jak grupa celowała konkretnie w sektor finansowy, dając ofiarom napięte terminy okupu, aby wywrzeć presję na szybką zapłatę.

Jak działa łańcuch ataku

Zgodnie z analizą ProvenData, LockBit 3.0 stosuje dość spójny scenariusz działania, gdy partnerzy uzyskają początkowy dostęp, zazwyczaj poprzez phishing, odsłonięty protokół zdalnego pulpitu (RDP) lub wykorzystane podatności w oprogramowaniu dostępnym z internetu. Następnie złośliwe oprogramowanie przechodzi przez rozpoznanie, eskalację uprawnień i ruch boczny w sieci, zanim wdroży ładunek szyfrujący. Odwzorowanie tych etapów na MITRE ATT&CK daje obrońcom wspólny język do identyfikacji, gdzie w łańcuchu zabijania ma miejsce włamanie, co ma ogromne znaczenie przy próbie zatrzymania ataku, zanim pliki zostaną zablokowane, a dane wyprowadzone.

Ten etap eksfiltracji warto zatrzymać na chwilę. Współczesne grupy ransomware, w tym LockBit, rzadko już tylko szyfrują pliki. Najpierw kradną wrażliwe dane i grożą ich opublikowaniem na stronach z wyciekami, jeśli okup nie zostanie zapłacony — taktyka znana jako podwójny wymus. Tu właśnie pojawiają się poważne implikacje dla prywatności: nawet organizacje z solidnymi kopiami zapasowymi i bez zamiaru płacenia okupu mogą wciąż stanąć w obliczu ujawnienia danych klientów, danych pracowników lub informacji zastrzeżonych. To przesunięcie w stronę kradzieży danych jako głównego punktu nacisku jest częścią szerszego trendu opisanego w badaniach KnowBe4 na temat przesunięcia ransomware w stronę kradzieży tożsamości, gdzie skradzione dane osobowe coraz częściej przeżywają początkową naruszenie jako narzędzie do oszustw.

Dlaczego LockBit wciąż powraca

Trwałość LockBit to część tego, co sprawia, że warto go uważnie śledzić. Pomimo międzynarodowych nacisków organów ścigania i działań mających na celu przejęcie jego infrastruktury, grupa i jej partnerzy nieustannie ewoluują. Pojawienie się nowszych wariantów, szczegółowo opisane w naszym materiale o LockBit 5.0 i życiu po operacji Cronos, pokazuje, że zakłócenie działania serwerów operacji RaaS niekoniecznie powstrzymuje leżący u jej podstaw model biznesowy. Partnerzy po prostu zmieniają markę, przebudowują narzędzia i wznawiają działalność w nowych wersjach.

Ta odporność odzwierciedla szerszy wzorzec w ekosystemie ransomware. Ostatnie raporty branżowe, w tym raport Black Kite o ransomware na 2026 rok pokazujący ponad 7551 ofiar na całym świecie, sugerują, że ransomware nie jest już zdominowany przez garstkę nagłaśnianych w mediach gangów. Zamiast tego jest to rozproszona gospodarka na zasadzie franczyzy, w której techniczne scenariusze działania takie jak LockBit są wykorzystywane i adaptowane przez wiele grup.

Co to oznacza dla Ciebie

Jeśli zarządzasz IT lub bezpieczeństwem w organizacji, analiza techniczna LockBit 3.0 to przypomnienie, że ogólne oprogramowanie antywirusowe nie wystarcza. Łańcuch ataku opiera się na wykorzystywaniu typowych słabości — odsłoniętego zdalnego dostępu, niezałatanego oprogramowania, słabych poświadczeń — które większość organizacji wciąż ma trudności w pełni zamknąć. Odwzorowanie własnych zabezpieczeń na etapy MITRE ATT&CK używane przez LockBit może pomóc w zidentyfikowaniu luk, zanim zrobi to partner grupy.

Dla zwykłych użytkowników i konsumentów ryzyko jest bardziej pośrednie, ale wciąż realne. Jeśli firma, z którą prowadzisz interesy, zostanie naruszona przez LockBit lub podobną grupę, Twoje dane osobowe mogą trafić na stronę z wyciekami, niezależnie od tego, czy firma zapłaci okup. To mocny argument za stosowaniem unikalnych haseł, włączaniem uwierzytelniania wieloskładnikowego tam, gdzie to możliwe, oraz monitorowaniem kont pod kątem podejrzanej aktywności po otrzymaniu jakiegokolwiek powiadomienia o naruszeniu.

Praktyczne wnioski

Organizacje powinny priorytetowo traktować łatanie systemów dostępnych z internetu, ograniczanie ekspozycji RDP oraz utrzymywanie offline'owych, przetestowanych kopii zapasowych, których taktyki podwójnego wymuszenia nie są w stanie dosięgnąć. Zespoły bezpieczeństwa powinny włączyć wskaźniki IOC i odwzorowania MITRE ATT&CK z raportów technicznych takich jak ten do reguł wykrywania i scenariuszy polowań na zagrożenia. Osoby prywatne powinny traktować każde powiadomienie o naruszeniu danych poważnie, zmieniając hasła i obserwując próby phishingu, które często następują po wycieku. Skala LockBit 3.0 — ponad 2000 ofiar w 95 krajach — to wyraźny sygnał, że ransomware pozostaje aktywnym, ewoluującym zagrożeniem, a bycie na bieżąco z tym, jak te ataki faktycznie działają, to jeden z najprostszych sposobów, aby wyprzedzić atakujących.