LockBit 5.0 продовжує активно атакувати організації по всьому світу, а афілійовані особи угруповання вдосконалили свій підхід, перетворивши його на двоетапну атаку, від якої важко повністю захиститися. Згідно з останніми даними кіберрозвідки, кампанії подвійного вимагання LockBit 5.0 тепер менше покладаються на звичайне грубе шифрування, натомість більше — на прораховане поєднання викрадення даних і спричинення перебоїв, покликане максимально посилити тиск на жертв і змусити їх заплатити.

Це не нова сім’я програм-вимагачів, яка з’явилася нізвідки. LockBit має довгу, добре задокументовану історію однієї з найплодючіших операцій типу «вимагач як послуга» у світі, і її відродження після спроби ліквідації правоохоронними органами в рамках операції «Кронос» пильно відстежується дослідниками безпеки. Для тих читачів, хто хоче отримати повнішу передісторію про те, як угруповання відновилося та еволюціонувало до своєї нинішньої форми, наш огляд LockBit 5.0 детально висвітлює цю історію. Ця ж стаття зосереджується на тому, що відбувається просто зараз: механіці поточної кампанії та на тому, що організації можуть із цим зробити.

Як працює атака з подвійним вимаганням LockBit 5.0

Схема атаки, яку використовують афілійовані особи, дотримується продуманої послідовності. Перш ніж будь-які файли будуть зашифровані, зловмисники спочатку виводять дані з цільової мережі за допомогою таких інструментів, як Rclone — легітимна утиліта для передавання файлів, яка була перепрофільована для непомітного переміщення великих обсягів викрадених даних на зовнішнє сховище, — або спеціально створених для цього шкідливих програм-викрадачів.

Лише після того, як ці дані скопійовано, починається фаза шифрування, і вона спроєктована так, щоб бути швидкою. Афілійовані особи використовують швидкі, переривчасті процедури шифрування, тобто файли блокуються сплесками, а не всі одразу в одному безперервному процесі. Такий підхід дозволяє зловмисникам швидко зашифрувати велику кількість файлів, одночасно ускладнюючи виявлення традиційними засобами моніторингу. Зашифровані файли також отримують випадкові розширення, що ускладнює відновлення та заважає захисникам швидко визначити масштаб ураження.

Як наслідок, жертва опиняється в подвійній пастці. Навіть якщо організація зможе відновити зашифровані системи з резервних копій та уникнути сплати за ключ дешифрування, зловмисники все одно зберігають викрадені дані й можуть погрожувати їх витоком або продажем. Саме цей другий важіль і є тією причиною, чому ця модель залишається ефективною для угруповань-вимагачів по всій галузі, і чому афілійовані особи LockBit продовжують покладатися на неї в середовищах Windows, Linux та віртуалізованих середовищах.

Чому викрадення даних, а не просто шифрування, зараз є справжньою загрозою

Легко думати про програми-вимагачі передусім як про проблему шифрування файлів, яку можна вирішити шляхом створення хороших резервних копій. Таке мислення не помічає того, де насправді знаходиться важіль впливу. Щойно дані покидають мережу, резервне копіювання не скасовує факту витоку. Викрадені файли — чи то записи клієнтів, фінансові дані, внутрішнє листування або інтелектуальна власність — уже знаходяться в руках зловмисників, незалежно від того, чи заплатить організація-жертва викуп.

Цей зсув важливий, оскільки він змінює справжнє значення «відновлення». Відновлення систем із чистої резервної копії вирішує проблему операційного простою, але ніяк не запобігає публікації конфіденційної інформації на сайті зливів або її продажу іншим зловмисникам. Організації повинні розглядати викрадення даних як основний ризик, до якого слід готуватися, а не як другорядний наслідок шифрування.

Заходи з посилення захисту: резервне копіювання, сегментація та контроль доступу

Враховуючи цю схему атаки, кілька пріоритетів оборони вирізняються як особливо релевантні до того, як діють афілійовані особи LockBit 5.0:

  • Зашифровані, офлайн-резервні копії. Резервні копії мають бути зашифровані у стані спокою та зберігатися ізольовано від основної мережі, в ідеалі — з незмінними або фізично відокремленими (air-gapped) копіями, щоб навіть за умови отримання широкого доступу зловмисники не могли дістатися до даних для відновлення або пошкодити їх.
  • Сегментація мережі. Оскільки афілійовані особи виводять дані до шифрування, обмеження того, як далеко може просунутися зловмисник мережею, потрапивши всередину, зменшує як обсяг даних під загрозою, так і кількість систем, які можуть бути уражені під час фази шифрування.
  • Моніторинг незвичних передач даних. Оскільки інструменти викрадання, як-от Rclone, є легітимним програмним забезпеченням, що використовується не за призначенням, команди безпеки повинні відстежувати аномальні обсяги вихідного трафіку або незвичне використання утиліт синхронізації файлів, а не лише сигнатури шкідливих програм.
  • Суворий контроль доступу. Обмеження того, які облікові записи та системи можуть отримувати доступ до конфіденційних даних, зменшує обсяг інформації, доступної для викрадення, навіть якщо зловмисник скомпрометує початковий обліковий запис.
  • Планування реагування на інциденти з припущенням викрадення даних. Плани реагування повинні явно враховувати ймовірність того, що дані були виведені до виявлення шифрування, щоб юридичні, комунікаційні та регуляторні зобов’язання не були запізнілим доповненням.

Жоден із цих заходів не є екзотичним. Важливо застосовувати їх з урахуванням специфічної схеми LockBit 5.0: швидке, переривчасте шифрування, якому передує непомітне викрадення даних.

Що це означає для вас

Якщо ви керуєте ІТ або безпекою в організації будь-якого розміру, практичний висновок полягає в тому, що захист від програм-вимагачів не може обмежуватися лише запобіганням шифруванню. Інцидент подвійного вимагання LockBit 5.0 буває успішним навіть проти організацій із надійними практиками резервного копіювання, оскільки викрадення відбувається першим, а важіль впливу не залежить лише від шифрування. Перегляд того, як сегментовані конфіденційні дані, хто має до них доступ і чи відстежуються вихідні передачі, є принаймні таким же важливим, як і гігієна резервного копіювання на цьому етапі.

Для приватних осіб ризик є більш опосередкованим, але все одно реальним. Якщо компанія, якій ви передали свої персональні дані, зазнає такого типу атаки, ваша інформація може опинитися під загрозою витоку, незалежно від того, чи заплатить ця організація викуп. Це слушне нагадування про те, щоб виважено ставитися до того, які персональні дані ви надаєте сервісам, і слідкувати за повідомленнями про витоки даних, пов’язані з компаніями, якими ви користуєтесь.

Ключові висновки

Триваюча активність LockBit 5.0 є нагадуванням про те, що операції типу «вимагач як послуга» швидко адаптуються, і захист має встигати за ними. Щоб зменшити ризик від такого роду кампаній:

  • Підтримуйте зашифровані, офлайн або незмінні резервні копії, до яких зловмисники не можуть дістатися або які не можуть пошкодити
  • Сегментуйте мережі так, щоб єдиний скомпрометований обліковий запис не міг отримати доступ до всього середовища
  • Відстежуйте незвичні вихідні передачі даних, а не лише сигнатури шкідливих програм
  • Застосовуйте суворий контроль доступу до конфіденційних даних на основі принципу «необхідно знати»
  • Будуйте плани реагування на інциденти, виходячи з припущення, що викрадення даних відбулося до моменту виявлення

Для отримання додаткової довідкової інформації про те, як LockBit відновив свою діяльність після втручання правоохоронців і що змінилося в його останній версії, прочитайте наш повний огляд еволюції LockBit 5.0.