LockBit 5.0 wciąż aktywnie uderza w organizacje na całym świecie, a partnerzy grupy udoskonalili swoje podejście, przeprowadzając dwutorowy atak, który trudno w pełni powstrzymać. Według najnowszych informacji o zagrożeniach, kampanie podwójnego wymuszenia LockBit 5.0 polegają teraz mniej na samym brutalnym szyfrowaniu, a bardziej na przemyślanym połączeniu kradzieży danych i zakłócania działania, które ma wywrzeć maksymalną presję na ofiary, by zapłaciły okup.

Nie jest to nowa rodzina ransomware, która pojawiła się znikąd. LockBit ma długą, dobrze udokumentowaną historię jako jedna z najpłodniejszych operacji ransomware-as-a-service na świecie, a jej odrodzenie po próbie rozbicia grupy w ramach operacji Cronos przez organy ścigania jest uważnie śledzone przez badaczy bezpieczeństwa. Dla czytelników, którzy chcą poznać pełniejsze tło dotyczące tego, jak grupa odbudowała się i ewoluowała do obecnej formy, nasz artykuł wyjaśniający LockBit 5.0 szczegółowo omawia tę historię. Ten tekst koncentruje się na tym, co dzieje się teraz: mechanice obecnej kampanii i na tym, co organizacje mogą z tym zrobić.

Jak działa atak podwójnego wymuszenia LockBit 5.0

Schemat ataku stosowany przez partnerów przebiega według celowej sekwencji. Zanim jakiekolwiek pliki zostaną zaszyfrowane, atakujący najpierw wykradają dane z sieci docelowej za pomocą narzędzi takich jak Rclone – legalnego narzędzia do transferu plików, które zostało wykorzystane do cichego przenoszenia dużych ilości skradzionych danych na zewnętrzne magazyny – lub niestandardowego złośliwego oprogramowania kradnącego, zaprojektowanego specjalnie do tego zadania.

Dopiero po skopiowaniu tych danych rozpoczyna się faza szyfrowania, zaprojektowana tak, by była szybka. Partnerzy używają szybkich, przerywanych procedur szyfrowania, co oznacza, że pliki są blokowane seriami, a nie wszystkie naraz w jednym ciągłym procesie. Taka metoda pozwala atakującym szybko zaszyfrować dużą liczbę plików, jednocześnie utrudniając wykrycie przez tradycyjne narzędzia monitorujące. Zaszyfrowane pliki otrzymują również losowe rozszerzenia, co komplikuje działania naprawcze i utrudnia obrońcom szybką identyfikację zakresu dotkniętych danych.

Rezultatem jest podwójny problem dla ofiar. Nawet jeśli organizacja może odtworzyć zaszyfrowane systemy z kopii zapasowych i uniknąć płacenia za klucz deszyfrujący, atakujący wciąż posiadają skradzione dane i mogą grozić ich wyciekiem lub sprzedażą. Ta druga dźwignia jest właśnie tym, co sprawia, że ten model pozostaje skuteczny dla grup ransomware w całej branży i dlaczego partnerzy LockBit nadal go wykorzystują w środowiskach Windows, Linux i zwirtualizowanych.

Dlaczego eksfiltracja danych jest teraz prawdziwym zagrożeniem, a nie tylko szyfrowanie

Kuszące jest myślenie o ransomware przede wszystkim jako o problemie szyfrowania plików – czymś, co rozwiązuje się przez utrzymywanie dobrych kopii zapasowych. Takie myślenie pomija to, gdzie obecnie leży rzeczywista dźwignia nacisku. Gdy dane opuszczą sieć, kopie zapasowe nie cofają ich ujawnienia. Skradzione pliki – czy to dane klientów, dane finansowe, komunikacja wewnętrzna czy własność intelektualna – znajdują się już w rękach atakujących, niezależnie od tego, czy organizacja ofiary zapłaci okup.

Ta zmiana ma znaczenie, ponieważ zmienia to, co właściwie oznacza „odzyskiwanie danych”. Przywracanie systemów z czystej kopii zapasowej rozwiązuje problem przestoju operacyjnego, ale nic nie robi, by zapobiec opublikowaniu poufnych informacji na stronie wyciekowej lub sprzedaniu ich innym podmiotom zagrażającym. Organizacje muszą traktować eksfiltrację danych jako główne ryzyko, które należy zaplanować, a nie jako dodatek do szyfrowania.

Działania wzmacniające: kopie zapasowe, segmentacja i kontrola dostępu

Biorąc pod uwagę ten schemat ataku, kilka priorytetów obronnych wyróżnia się jako szczególnie istotne w kontekście sposobu działania partnerów LockBit 5.0:

  • Szyfrowane, offline’owe kopie zapasowe. Kopie zapasowe powinny być szyfrowane w spoczynku i odizolowane od sieci podstawowej, najlepiej jako kopie niezmienne (immutable) lub odseparowane powietrznie (air-gapped), aby nawet w razie uzyskania szerokiego dostępu przez atakujących nie mogli oni dosięgnąć ani naruszyć danych odzyskiwania.
  • Segmentacja sieci. Ponieważ partnerzy wyprowadzają dane przed szyfrowaniem, ograniczenie tego, jak daleko intruz może przemieścić się w sieci po dostaniu się do środka, zmniejsza zarówno ilość danych zagrożonych, jak i liczbę systemów, które mogą zostać trafione w fazie szyfrowania.
  • Monitorowanie nietypowych transferów danych. Ponieważ narzędzia do eksfiltracji, takie jak Rclone, są legalnym oprogramowaniem nadużywanym, zespoły bezpieczeństwa powinny zwracać uwagę na anomalne wolumeny transferu wychodzącego lub nietypowe użycie narzędzi do synchronizacji plików, a nie tylko na sygnatury złośliwego oprogramowania.
  • Ścisła kontrola dostępu. Ograniczenie, które konta i systemy mogą uzyskać dostęp do poufnych danych, zmniejsza pulę informacji dostępnych do kradzieży, nawet jeśli atakujący skompromituje konto początkowe.
  • Planowanie reakcji na incydenty zakładające kradzież danych. Plany reagowania powinny wyraźnie uwzględniać możliwość, że dane zostały skopiowane przed wykryciem szyfrowania, tak aby obowiązki prawne, komunikacyjne i regulacyjne nie były kwestią drugorzędną.

Żadne z tych działań nie jest egzotyczne. Ważne jest, aby stosować je z myślą o konkretnym schemacie LockBit 5.0: szybkie, przerywane szyfrowanie poprzedzone cichą kradzieżą danych.

Co to oznacza dla Ciebie

Jeśli zarządzasz IT lub bezpieczeństwem w organizacji dowolnej wielkości, praktyczny wniosek jest taki, że obrona przed ransomware nie może zatrzymywać się na zapobieganiu szyfrowaniu. Atak podwójnego wymuszenia LockBit 5.0 kończy się sukcesem nawet przeciwko organizacjom z solidnymi praktykami tworzenia kopii zapasowych, ponieważ kradzież następuje najpierw, a mechanizm nacisku nie opiera się wyłącznie na szyfrowaniu. Przegląd segmentacji wrażliwych danych, tego, kto ma do nich dostęp, oraz czy transfery wychodzące są monitorowane, jest w tym momencie co najmniej tak samo ważny, jak higiena kopii zapasowych.

Dla osób indywidualnych narażenie jest bardziej pośrednie, ale wciąż realne. Jeśli firma, której powierzyłeś swoje dane osobowe, zostanie dotknięta taką kampanią, Twoje informacje mogą zostać ujawnione niezależnie od tego, czy organizacja zapłaci okup. To dobre przypomnienie, aby selektywnie podchodzić do udostępniania danych osobowych usługom i zwracać uwagę na powiadomienia o naruszeniach związanych z firmami, z których korzystasz.

Kluczowe wnioski

Ciągła aktywność LockBit 5.0 przypomina, że operacje ransomware-as-a-service szybko się adaptują, a środki obrony muszą za nimi nadążać. Aby ograniczyć ryzyko związane z tego rodzaju kampanią:

  • Utrzymuj szyfrowane, offline’owe lub niezmienne kopie zapasowe, do których atakujący nie mogą się dostać ani ich uszkodzić
  • Segmentuj sieci tak, aby pojedyncze skompromitowane konto nie mogło objąć całego środowiska
  • Monitoruj nietypowe transfery danych wychodzących, nie tylko sygnatury złośliwego oprogramowania
  • Stosuj ścisłą, opartą na zasadzie wiedzy koniecznej kontrolę dostępu do wrażliwych danych
  • Twórz plany reagowania na incydenty, które zakładają, że eksfiltracja danych nastąpiła przed wykryciem

Aby uzyskać więcej informacji o tym, jak LockBit odbudował swoją działalność po działaniach organów ścigania i co zmieniło się w najnowszej wersji, przeczytaj nasz pełny artykuł o ewolucji LockBit 5.0.