Штам програм-вимагачів, який змінив ландшафт загроз

LockBit 3.0, також відомий як LockBit Black, вразив понад 2000 жертв у 95 країнах, згідно з новим технічним аналізом від ProvenData, який зіставляє повний ланцюг атак групи з фреймворком MITRE ATT&CK. Звіт містить індикатори компрометації (IOC) та чек-лист реагування на інциденти, призначений для команд безпеки та керованих постачальників послуг (MSP), яким потрібно виявляти та стримувати шкідливе програмне забезпечення до того, як воно завдасть шкоди.

Що робить LockBit 3.0 помітним — це не лише його масштаб. Це операційна зрілість, що стоїть за ним. Як платформа ransomware-as-a-service (RaaS), LockBit надає афілійованим особам відшліфовані інструменти, програму винагород за знайдені вразливості у власному шкідливому ПЗ та настроювані payload-и для шифрування. Саме ця професіоналізація є великою причиною того, чому цей штам зміг вразити тисячі цілей майже в половині країн світу — від малого бізнесу до великих фінансових установ. Заява про злом US Bank через LockBit — один із нещодавніх прикладів того, як група націлювалася саме на фінансовий сектор, даючи жертвам жорсткі дедлайни для викупу, щоб тиснути на швидкі оплати.

Як працює ланцюг атаки

Згідно з аналізом ProvenData, LockBit 3.0 дотримується досить стабільного сценарію після того, як афілійовані особи отримують початковий доступ, зазвичай через фішинг, відкритий протокол віддаленого робочого столу (RDP) або використання вразливостей у програмному забезпеченні, доступному з інтернету. Звідти шкідливе ПЗ проходить через розвідку, підвищення привілеїв і горизонтальне переміщення мережею перед розгортанням payload-у для шифрування. Зіставлення цих етапів із MITRE ATT&CK дає захисникам спільну мову для визначення того, на якому етапі kill chain відбувається вторгнення, що має величезне значення при спробі зупинити атаку до того, як файли буде заблоковано, а дані викрадено.

На цьому етапі викрадення даних варто зупинитися детальніше. Сучасні групи програм-вимагачів, включно з LockBit, рідко просто шифрують файли. Спочатку вони викрадають чутливі дані, а потім погрожують опублікувати їх на сайтах витоку, якщо викуп не буде сплачено — ця тактика відома як подвійний вимагательський тиск. Саме тут наслідки для конфіденційності стають серйозними: навіть організації з надійними резервними копіями та без наміру платити викуп можуть зіткнутися з розголошенням записів клієнтів, даних співробітників або власної інформації. Цей зсув у бік викрадення даних як основного важеля тиску є частиною ширшого тренду, висвітленого в дослідженні KnowBe4 про зміщення програм-вимагачів у бік крадіжки особистих даних, де викрадені персональні дані дедалі частіше переживають первинне порушення як інструмент для шахрайства.

Чому LockBit продовжує повертатися

Стійкість LockBit — це частина того, чому за ним варто пильно стежити. Незважаючи на тиск міжнародних правоохоронних органів і спроби зриву, спрямовані на його інфраструктуру, група та її афілійовані особи продовжують еволюціонувати. Поява новіших варіантів, детально описана в нашому матеріалі про LockBit 5.0 і життя після операції Cronos, показує, що порушення роботи серверів RaaS-операції не обов'язково зупиняє базову бізнес-модель. Афілійовані особи просто змінюють бренд, переналаштовують інструменти та відновлюють роботу під новими версіями.

Ця стійкість відображає ширшу закономірність в екосистемі програм-вимагачів. Нещодавні галузеві звіти, зокрема звіт Black Kite за 2026 рік, який показує понад 7551 жертву по всьому світу, свідчать, що програми-вимагачі більше не домінуються жменькою гучних угруповань. Натомість це розподілена економіка франшизного типу, де технічні сценарії, як у LockBit, повторно використовуються та адаптуються численними групами.

Що це означає для вас

Якщо ви керуєте IT або безпекою в організації, технічний аналіз LockBit 3.0 — це нагадування, що загального антивірусного захисту недостатньо. Ланцюг атаки спирається на використання поширених слабких місць: відкритого віддаленого доступу, невиправленого програмного забезпечення, слабких облікових даних, які більшість організацій досі не можуть повністю закрити. Зіставлення власних механізмів захисту з етапами MITRE ATT&CK, які використовує LockBit, може допомогти виявити прогалини до того, як їх знайде афілійована особа.

Для звичайних користувачів і споживачів ризик більш опосередкований, але все одно реальний. Якщо компанія, з якою ви маєте справи, буде зламана LockBit або подібною групою, ваші персональні дані можуть опинитися на сайті витоку незалежно від того, чи заплатить компанія викуп. Це вагомий аргумент на користь використання унікальних паролів, увімкнення багатофакторної автентифікації там, де це можливо, і моніторингу ваших акаунтів на предмет підозрілої активності після будь-якого повідомлення про порушення, яке ви отримаєте.

Практичні висновки

Організації повинні пріоритезувати виправлення систем, доступних з інтернету, обмежувати доступ до RDP і підтримувати офлайн-резервні копії, які пройшли тестування і яких не торкнуться тактики подвійного вимагательського тиску. Команди безпеки повинні включати IOC та зіставлення з MITRE ATT&CK із технічних звітів, подібних до цього, у правила виявлення та сценарії полювання за загрозами. Окремі особи повинні серйозно ставитися до кожного повідомлення про порушення даних, змінювати паролі та стежити за фішинговими спробами, які часто слідують за витоком. Масштаб LockBit 3.0 — понад 2000 жертв у 95 країнах — є чітким сигналом того, що програми-вимагачі залишаються активною загрозою, що еволюціонує, а поінформованість про те, як насправді працюють ці атаки, є одним із найпростіших способів випередити їх.