O LockBit 5.0 continua a atingir ativamente organizações em todo o mundo, e os afiliados do grupo aperfeiçoaram a sua abordagem num ataque de duas frentes que está a revelar-se difícil de defender completamente. De acordo com informações recentes de threat intelligence, as campanhas de dupla extorsão do LockBit 5.0 dependem agora menos da encriptação pura e mais de uma combinação calculada de roubo de dados e disrupção, concebida para maximizar a pressão sobre as vítimas para pagarem.

Não se trata de uma nova família de ransomware a surgir do nada. O LockBit tem um longo e bem documentado histórico como uma das operações de ransomware-as-a-service mais prolíficas do mundo, e o seu ressurgimento após o esforço de desmantelamento da Operação Cronos pelas forças policiais tem sido acompanhado de perto pelos investigadores de segurança. Para os leitores que desejam conhecer melhor o historial de como o grupo se reconstruiu e evoluiu para a sua forma atual, o nosso explicador sobre o LockBit 5.0 aborda essa história em profundidade. Este artigo foca-se no que está a acontecer neste momento: a mecânica da campanha atual e o que as organizações podem fazer a respeito.

Como Funciona o Ataque de Dupla Extorsão do LockBit 5.0

O padrão de ataque que os afiliados estão a usar segue uma sequência deliberada. Antes de quaisquer ficheiros serem encriptados, os atacantes primeiro exfiltram dados da rede alvo utilizando ferramentas como o Rclone, um utilitário legítimo de transferência de ficheiros que foi reaproveitado para mover silenciosamente grandes volumes de dados roubados para armazenamento externo, ou malware de roubo personalizado concebido especificamente para essa tarefa.

Só depois de esses dados terem sido copiados é que a fase de encriptação começa, e foi concebida para ser rápida. Os afiliados utilizam rotinas de encriptação rápida e intermitente, o que significa que os ficheiros são bloqueados em impulsos, e não todos de uma vez num único processo contínuo. Esta abordagem permite aos atacantes encriptar um grande número de ficheiros rapidamente, ao mesmo tempo que dificulta a deteção pelas ferramentas de monitorização tradicionais. Os ficheiros encriptados recebem também extensões de ficheiro aleatórias, o que complica os esforços de recuperação e torna mais difícil para os defensores identificarem rapidamente o âmbito do que foi afetado.

O resultado é um duplo vínculo para as vítimas. Mesmo que uma organização consiga restaurar os sistemas encriptados a partir de backups e evitar pagar por uma chave de desencriptação, os atacantes continuam na posse dos dados roubados e podem ameaçar divulgá-los ou vendê-los. Esta segunda alavanca é precisamente a razão pela qual este modelo se manteve eficaz para os grupos de ransomware em todo o setor, e pela qual os afiliados do LockBit continuam a apoiar-se nele em ambientes Windows, Linux e virtualizados.

Porque é que a Exfiltração de Dados é Agora a Verdadeira Ameaça, e Não Apenas a Encriptação

É tentador pensar no ransomware principalmente como um problema de encriptação de ficheiros, algo que se resolve mantendo bons backups. Esse pensamento ignora onde reside agora a verdadeira alavanca de pressão. Uma vez que os dados tenham saído da rede, os backups não desfazem a exposição. Os ficheiros roubados, sejam eles registos de clientes, dados financeiros, comunicações internas ou propriedade intelectual, já estão nas mãos dos atacantes, independentemente de a organização vítima pagar ou não o resgate.

Esta mudança é importante porque altera o que "recuperação" realmente significa. Restaurar sistemas a partir de um backup limpo resolve o tempo de inatividade operacional, mas não faz nada para impedir que informações sensíveis sejam publicadas num site de fugas de dados ou vendidas a outros agentes de ameaças. As organizações precisam de tratar a exfiltração de dados como o risco principal para o qual planear, e não como uma reflexão tardia em relação à encriptação.

Medidas de Reforço: Backups, Segmentação e Controlos de Acesso

Dado este padrão de ataque, algumas prioridades defensivas destacam-se como particularmente relevantes para a forma como os afiliados do LockBit 5.0 operam:

  • Backups encriptados e offline. Os backups devem ser encriptados em repouso e mantidos isolados da rede principal, idealmente com cópias imutáveis ou fisicamente separadas (air-gapped), para que, mesmo que os atacantes obtenham acesso alargado, não possam alcançar ou adulterar os dados de recuperação.
  • Segmentação de rede. Como os afiliados movem os dados para fora antes de encriptar, limitar até onde um intruso pode viajar através da rede uma vez lá dentro reduz tanto o volume de dados em risco como o número de sistemas que podem ser atingidos na fase de encriptação.
  • Monitorização de transferências de dados incomuns. Dado que ferramentas de exfiltração como o Rclone são software legítimo a ser utilizado indevidamente, as equipas de segurança devem estar atentas a volumes anómalos de transferência de saída ou ao uso desconhecido de utilitários de sincronização de ficheiros, e não apenas a assinaturas de malware.
  • Controlos de acesso rigorosos. Limitar quais as contas e sistemas que podem aceder a dados sensíveis reduz o conjunto de informações disponíveis para roubo, mesmo que um atacante comprometa uma conta de ponto de entrada.
  • Planeamento de resposta a incidentes que pressuponha roubo de dados. Os planos de resposta devem ter explicitamente em conta a possibilidade de os dados terem sido copiados antes de qualquer encriptação ser detetada, para que as obrigações legais, de comunicação e regulamentares não sejam uma reflexão tardia.

Nenhuma destas medidas é exótica. O que importa é aplicá-las tendo em mente o padrão específico do LockBit 5.0: encriptação rápida e intermitente precedida de roubo silencioso de dados.

O Que Isto Significa Para Si

Se gere TI ou segurança para uma organização de qualquer dimensão, a conclusão prática é que a defesa contra ransomware não pode parar na prevenção da encriptação. Um evento de dupla extorsão do LockBit 5.0 é bem-sucedido mesmo contra organizações com práticas sólidas de backup, porque o roubo acontece primeiro e a alavanca de pressão não depende apenas da encriptação. Rever a forma como os dados sensíveis são segmentados, quem lhes pode aceder e se as transferências de saída estão a ser monitorizadas é, neste momento, pelo menos tão importante como a higiene dos backups.

Para os indivíduos, a exposição é mais indireta, mas ainda assim real. Se uma empresa com a qual partilhou dados pessoais for atingida por este tipo de campanha, as suas informações podem acabar expostas, independentemente de essa organização pagar ou não um resgate. É um bom lembrete para ser seletivo quanto aos dados pessoais que partilha com serviços e para estar atento a notificações de violação relacionadas com empresas que utiliza.

Pontos-Chave

A atividade contínua do LockBit 5.0 é um lembrete de que as operações de ransomware-as-a-service se adaptam rapidamente, e as defesas precisam de acompanhar o ritmo. Para reduzir o risco deste tipo de campanha:

  • Mantenha backups encriptados, offline ou imutáveis, que os atacantes não possam alcançar ou corromper
  • Segmente as redes para que uma única conta comprometida não possa alcançar todo o ambiente
  • Monitorize transferências de dados de saída incomuns, e não apenas assinaturas de malware
  • Aplique controlos de acesso rigorosos e baseados na necessidade de conhecer aos dados sensíveis
  • Construa planos de resposta a incidentes que pressuponham que a exfiltração de dados ocorreu antes da deteção

Para mais contexto sobre como o LockBit reconstruiu a sua operação após a disrupção pelas forças policiais e o que mudou na sua versão mais recente, leia o nosso explicador completo sobre a evolução do LockBit 5.0.