Ransomware LockBit nie zniknął – dostosował się

Przez lata LockBit działał jako jedno z najpłodniejszych przedsięwzięć ransomware-as-a-service (RaaS) na świecie, wynajmując swoje narzędzia szyfrujące i infrastrukturę sieci afiliantów, którzy przeprowadzają ataki w zamian za część okupu. Gdy organy ścigania rozpoczęły Operację Cronos – międzynarodową akcję wymierzoną w serwery LockBit, strony do publikacji danych i infrastrukturę afiliantów – wielu sądziło, że panowanie grupy dobiegło końca. Tymczasem operacja odrodziła się jako LockBit 5.0, zaktualizowana wersja złośliwego oprogramowania, która odzwierciedla wnioski wyciągnięte z tych zakłóceń.

Zrozumienie, jak działa ten ransomware i jak się zmienił, ma znaczenie nie tylko dla działów IT. Ataki ransomware rutynowo ujawniają dane klientów, pracowników i poufne pliki firmowe, co oznacza, że skutki udanego włamania często przeradzają się w incydent dotyczący prywatności każdego, czyje informacje znajdowały się na skompromitowanej sieci.

Jak LockBit działa jako biznes RaaS

LockBit funkcjonuje mniej jak pojedyncza grupa hakerska, a bardziej jak przestępcza franczyza. Główni deweloperzy utrzymują złośliwe oprogramowanie szyfrujące i infrastrukturę negocjacyjną, podczas gdy niezależni afilianci zajmują się samym włamaniem – poruszają się po sieci ofiary, kradną dane i wdrażają ładunek ransomware. Ponieważ wielu różnych afiliantów korzysta z tego samego zestawu narzędzi LockBit, termin „atak LockBit” może opisywać skrajnie różne metody włamań i zachowania, w zależności od tego, który afiliant go przeprowadził.

To właśnie model afiliacyjny sprawił, że LockBit jest tak uporczywy. Nawet gdy konkretne osoby zostaną aresztowane, a infrastruktura przejęta – jak podczas Operacji Cronos – szersza sieć afiliantów i reputacja marki LockBit mogą przetrwać każdą pojedynczą obławę. To jeden z powodów, dla których pojawił się LockBit 5.0, zamiast całkowitego zniknięcia grupy.

Większość włamań LockBit opiera się na modelu podwójnego wymuszenia: napastnicy najpierw wykradają wrażliwe pliki, następnie szyfrują systemy, a na koniec grożą publikacją skradzionych danych, jeśli nie zostanie zapłacony okup. To ta sama taktyka nacisku, którą widać w innych głośnych incydentach wymuszenia – na przykład w sprawie hakera o pseudonimie „888”, który twierdził, że ukradł 35 GB kodu źródłowego Accenture, co pokazuje, jak skradzione dane korporacyjne stają się kartą przetargową nawet bez szyfrowania ransomware.

Co zmieniła Operacja Cronos i co przynosi LockBit 5.0

Operacja Cronos zakłóciła strony do publikacji danych LockBit i infrastrukturę zaplecza, zmuszając grupę do odbudowania zaufania wśród afiliantów i udowodnienia, że nadal może skutecznie działać. LockBit 5.0 to właśnie ten wysiłek odbudowy – ewolucyjna wersja złośliwego oprogramowania zaprojektowana tak, by ominąć lekcje z zakresu bezpieczeństwa operacyjnego wyniesione z akcji organów ścigania.

Dla obrońców kluczowy wniosek nie dotyczy konkretnych technicznych modyfikacji w nowej wersji malware – chodzi o schemat. Operacje ransomware, które zostaną zakłócone, rzadko znikają całkowicie. Zmieniają markę, łatują swoje słabości i wracają z ulepszonymi narzędziami. Traktowanie działań organów ścigania jako końca zagrożenia jest błędem; organizacje muszą zakładać, że operacje w stylu LockBit – czy to prowadzone przez oryginalną grupę, czy przez naśladujących ją afiliantów korzystających z wyciekłych narzędzi buildera – nadal będą celować w sieci o słabej obronie.

Wykrywanie, reagowanie i odzyskiwanie

Ponieważ techniki afiliantów LockBit są zróżnicowane, żadne pojedyncze zabezpieczenie nie blokuje każdego ataku. Skuteczna obrona opiera się na nakładaniu wielu warstw ochrony:

  • Utrzymuj kopie zapasowe offline, przetestowane, aby móc odtworzyć zaszyfrowane systemy bez płacenia okupu
  • Wymuszaj uwierzytelnianie wieloskładnikowe w punktach dostępu zdalnego, ponieważ skradzione dane logowania pozostają częstą drogą wejścia dla afiliantów
  • Niezwłocznie łatuj systemy wystawione na internet – niezałatane luki są często wykorzystywane do uzyskania początkowego dostępu
  • Wdrażaj narzędzia do wykrywania na punktach końcowych zdolne do zauważenia ruchu bocznego i eskalacji uprawnień, które typowo poprzedzają szyfrowanie
  • Segmentuj sieci tak, aby pojedyncze skompromitowane urządzenie nie mogło łatwo dotrzeć do krytycznych systemów lub repozytoriów kopii zapasowych

Szybkie wykrycie na etapie eksfiltracji danych, zanim rozpocznie się szyfrowanie, daje największą szansę na ograniczenie szkód i uniknięcie kosztownego procesu odzyskiwania.

Co to oznacza dla Ciebie

Nawet jeśli nie jesteś administratorem IT, działalność LockBit wpływa na Ciebie pośrednio. Ataki ransomware na szpitale, sprzedawców detalicznych, dostawców usług i agencje rządowe rutynowo ujawniają dane osobowe klientów i pacjentów, którzy nie mieli żadnego udziału w naruszeniu. Jeśli firma, z którą masz kontakt, ujawni incydent ransomware, potraktuj to poważnie: monitoruj swoje konta pod kątem nietypowej aktywności, zmień używane wielokrotnie hasła i uważaj na próby phishingu odwołujące się do tego naruszenia. Dla firm pojawienie się LockBit 5.0 jest przypomnieniem, że wcześniejsza akcja organów ścigania przeciwko grupie ransomware nie gwarantuje długoterminowego bezpieczeństwa.

Wnioski do działania

  • Zakładaj, że grupy ransomware zakłócone przez organy ścigania mogą powrócić w nowych wersjach – nie trać czujności
  • Priorytetowo traktuj kopie zapasowe offline i MFA jako podstawowe zabezpieczenia przed atakami ransomware-as-a-service
  • Jeśli zostaniesz powiadomiony o naruszeniu z udziałem LockBit lub podobnego ransomware, monitoruj swoje konta osobiste i bądź wyczulony na późniejsze próby phishingu
  • Bądź na bieżąco z ewoluującymi taktykami ransomware, ponieważ operacje oparte na afiliantach, takie jak LockBit, nieustannie dostosowują swoje metody

LockBit pozostaje jednym z najwyraźniejszych przykładów tego, jak odporne i elastyczne stały się współczesne operacje cyberprzestępcze. Śledzenie ewolucji tych grup i podejmowanie praktycznych kroków obronnych pozostaje najskuteczniejszym sposobem na ograniczenie ryzyka – zarówno dla organizacji, jak i dla osób, których dane są przez nie przechowywane.