LockBit 5.0 lovește în continuare organizații din întreaga lume, iar afiliații grupului și-au rafinat abordarea într-un atac în doi pași care se dovedește dificil de contracarat complet. Potrivit celor mai recente informații de securitate, campaniile de dublă extorcare LockBit 5.0 se bazează acum mai puțin exclusiv pe criptarea forțată și mai mult pe o combinație calculată de furt de date și perturbări, menită să maximizeze presiunea asupra victimelor pentru a plăti.

Nu este o nouă familie de ransomware apărută din senin. LockBit are o istorie lungă și bine documentată ca una dintre cele mai prolifice operațiuni de ransomware-as-a-service din lume, iar revenirea sa după eforturile autorităților de destructurare prin Operațiunea Cronos a fost urmărită îndeaproape de cercetătorii în securitate. Pentru cititorii care doresc contextul complet al modului în care grupul s-a reconstruit și a evoluat în forma sa actuală, explicăm pe larg istoria LockBit 5.0. Acest articol se concentrează pe ceea ce se întâmplă chiar acum: mecanica campaniei actuale și ce pot face organizațiile în privința ei.

Cum funcționează atacul de dublă extorcare LockBit 5.0

Modelul de atac folosit de afiliați urmează o succesiune deliberată. Înainte ca orice fișier să fie criptat, atacatorii exfiltrează mai întâi date din rețeaua țintă folosind instrumente precum Rclone, o utilitate legitimă de transfer de fișiere reproiectată pentru a muta în liniște volume mari de date furate către stocări externe, sau malware de tip stealer construit special pentru această sarcină.

Abia după ce acele date au fost copiate începe faza de criptare, iar aceasta este concepută să fie rapidă. Afiliații folosesc rutine de criptare rapidă, intermitentă, ceea ce înseamnă că fișierele sunt blocate în rafale, nu toate odată într-un proces continuu. Această abordare le permite atacatorilor să cripteze rapid un număr mare de fișiere, făcând totodată detectarea de către instrumentele tradiționale de monitorizare mai dificilă. Fișierele criptate primesc, de asemenea, extensii de fișier aleatorii, ceea ce complică eforturile de recuperare și îngreunează identificarea rapidă de către apărători a dimensiunii impactului.

Rezultatul este o dublă constrângere pentru victime. Chiar dacă o organizație poate restaura sistemele criptate din copii de siguranță și poate evita plata pentru cheia de decriptare, atacatorii dețin în continuare datele furate și pot amenința cu divulgarea sau vânzarea lor. Această a doua pârghie este exact motivul pentru care acest model rămâne eficient pentru grupările de ransomware din întreaga industrie și de ce afiliații LockBit continuă să se bazeze pe el în medii Windows, Linux și virtualizate.

De ce exfiltrarea datelor este acum amenințarea reală, nu doar criptarea

Este tentant să privim ransomware-ul în primul rând ca pe o problemă de criptare a fișierelor, ceva ce rezolvi păstrând copii de siguranță bune. Această gândire ratează esența pârghiei actuale. Odată ce datele au părăsit rețeaua, copiile de siguranță nu anulează expunerea. Fișierele furate, fie că sunt înregistrări ale clienților, date financiare, comunicări interne sau proprietate intelectuală, sunt deja în mâinile atacatorilor, indiferent dacă organizația victimă plătește sau nu răscumpărarea.

Această schimbare contează pentru că schimbă ceea ce înseamnă cu adevărat „recuperarea”. Restaurarea sistemelor dintr-o copie de siguranță curată rezolvă timpii de nefuncționare operațională, dar nu face nimic pentru a împiedica publicarea informațiilor sensibile pe un site de scurgeri sau vânzarea lor către alți actori de amenințare. Organizațiile trebuie să trateze exfiltrarea datelor ca pe riscul principal pentru care să planifice, nu ca pe o gândire ulterioară a criptării.

Măsuri de întărire: copii de siguranță, segmentare și controale de acces

Având în vedere acest model de atac, câteva priorități defensive se evidențiază ca fiind deosebit de relevante pentru modul în care operează afiliații LockBit 5.0:

  • Copii de siguranță criptate, offline. Copiile de siguranță trebuie criptate la repaus și păstrate izolate de rețeaua principală, ideal cu copii imutabile sau separate fizic (air-gapped), astfel încât, chiar dacă atacatorii obțin acces larg, să nu poată ajunge la datele de recuperare sau să le modifice.
  • Segmentarea rețelei. Deoarece afiliații mută datele în afara rețelei înainte de criptare, limitarea cât de departe poate călători un intrus în rețea odată intrat reduce atât volumul de date expuse riscului, cât și numărul de sisteme care pot fi lovite în faza de criptare.
  • Monitorizarea transferurilor neobișnuite de date. Întrucât instrumentele de exfiltrare precum Rclone sunt software legitim utilizat abuziv, echipele de securitate ar trebui să urmărească volume anormale de transferuri de ieșire sau utilizarea necunoscută a utilitarelor de sincronizare a fișierelor, nu doar semnăturile de malware.
  • Controale stricte de acces. Limitarea conturilor și sistemelor care pot accesa date sensibile reduce volumul de informații disponibile pentru furt, chiar dacă un atacator compromite un cont de intrare.
  • Planificarea răspunsului la incidente pornind de la premisa furtului de date. Planurile de răspuns ar trebui să țină cont în mod explicit de posibilitatea ca datele să fi fost copiate înainte ca orice criptare să fie detectată, pentru ca obligațiile legale, de comunicare și de reglementare să nu fie o preocupare ulterioară.

Niciuna dintre aceste măsuri nu este exotică. Ceea ce contează este aplicarea lor având în vedere modelul specific LockBit 5.0: criptare rapidă, intermitentă, precedată de furtul discret al datelor.

Ce înseamnă asta pentru tine

Dacă gestionați IT-ul sau securitatea pentru o organizație de orice dimensiune, concluzia practică este că apărarea împotriva ransomware-ului nu se poate opri la prevenirea criptării. Un eveniment de dublă extorcare LockBit 5.0 reușește chiar și împotriva organizațiilor cu practici solide de backup, deoarece furtul are loc mai întâi, iar pârghia nu depinde doar de criptare. Revizuirea modului în care sunt segmentate datele sensibile, cine le poate accesa și dacă transferurile de ieșire sunt monitorizate este cel puțin la fel de importantă ca igiena copiilor de siguranță în acest moment.

Pentru indivizi, expunerea este mai indirectă, dar tot reală. Dacă o companie căreia i-ați încredințat date personale este lovită de acest tip de campanie, informațiile dumneavoastră ar putea ajunge expuse, indiferent dacă organizația respectivă plătește sau nu răscumpărarea. Este un bun memento să fiți selectiv cu privire la datele personale pe care le împărtășiți cu serviciile și să fiți atenți la notificările de încălcare a securității legate de companiile pe care le folosiți.

Puncte-cheie

Activitatea continuă a LockBit 5.0 este un memento că operațiunile de ransomware-as-a-service se adaptează rapid, iar apărările trebuie să țină pasul. Pentru a reduce riscul din acest tip de campanie:

  • Mențineți copii de siguranță criptate, offline sau imutabile, la care atacatorii nu pot ajunge sau pe care nu le pot corupe
  • Segmentați rețelele astfel încât un singur cont compromis să nu poată accesa întregul mediu
  • Monitorizați transferurile neobișnuite de date de ieșire, nu doar semnăturile de malware
  • Aplicați controale stricte de acces, bazate pe principiul necesității de a cunoaște, la datele sensibile
  • Construiți planuri de răspuns la incidente care presupun că exfiltrarea datelor a avut loc înainte de detectare

Pentru mai mult context despre cum și-a reconstruit LockBit operațiunea după perturbarea de către autorități și ce s-a schimbat în ultima sa versiune, citiți explicarea noastră completă a evoluției LockBit 5.0.