LockBit 3.0 Ransomware: 2.000 Nạn Nhân Trên 95 Quốc Gia

Một Chủng Ransomware Đã Định Hình Lại Bối Cảnh Mối Đe Dọa

LockBit 3.0, còn được gọi là LockBit Black, đã tấn công hơn 2.000 nạn nhân trên 95 quốc gia, theo một phân tích kỹ thuật mới từ ProvenData lập bản đồ chuỗi tấn công đầy đủ của nhóm này theo khung MITRE ATT&CK. Báo cáo bao gồm các chỉ số xâm nhập (IOC) và danh sách kiểm tra ứng phó sự cố nhằm hỗ trợ các nhóm bảo mật và nhà cung cấp dịch vụ được quản lý (MSP) trong việc phát hiện và ngăn chặn phần mềm độc hại trước khi nó gây ra thiệt hại.

Điều khiến LockBit 3.0 đáng chú ý không chỉ là quy mô của nó. Đó là sự trưởng thành trong vận hành đằng sau nó. Là một nền tảng ransomware-as-a-service (RaaS), LockBit cung cấp cho các đối tác liên kết công cụ tinh vi, chương trình săn lỗi cho chính phần mềm độc hại của mình và các gói mã hóa có thể cấu hình. Sự chuyên nghiệp hóa đó là lý do lớn khiến chủng này có thể tấn công hàng nghìn mục tiêu trải rộng trên gần một nửa số quốc gia trên Trái Đất, từ doanh nghiệp nhỏ đến các tổ chức tài chính lớn. Tuyên bố về vụ vi phạm LockBit nhắm vào Ngân hàng Hoa Kỳ là một ví dụ gần đây về cách nhóm này nhắm mục tiêu cụ thể vào lĩnh vực tài chính, đưa ra thời hạn đòi tiền chuộc gắt gao để gây áp lực thanh toán nhanh.

Chuỗi Tấn Công Hoạt Động Như Thế Nào

Theo phân tích của ProvenData, LockBit 3.0 tuân theo một kịch bản khá nhất quán khi các đối tác liên kết có được quyền truy cập ban đầu, thường thông qua lừa đảo, giao thức Remote Desktop Protocol (RDP) bị lộ, hoặc khai thác các lỗ hổng trong phần mềm kết nối internet. Từ đó, phần mềm độc hại di chuyển qua các giai đoạn trinh sát, leo thang đặc quyền và di chuyển ngang trong mạng trước khi triển khai gói mã hóa. Việc lập bản đồ các giai đoạn này theo MITRE ATT&CK mang lại cho các nhà phòng thủ một ngôn ngữ chung để xác định vị trí cuộc xâm nhập đang diễn ra trong chuỗi tấn công, điều cực kỳ quan trọng khi cố gắng ngăn chặn một cuộc tấn công trước khi các tệp bị khóa và dữ liệu bị đánh cắp.

Bước đánh cắp dữ liệu đó đáng để dừng lại để xem xét. Các nhóm ransomware hiện đại, bao gồm cả LockBit, hiếm khi chỉ mã hóa tệp nữa. Chúng đánh cắp dữ liệu nhạy cảm trước và đe dọa công bố dữ liệu đó trên các trang rò rỉ nếu không được trả tiền chuộc, một chiến thuật được gọi là tống tiền kép. Đây là nơi các tác động đến quyền riêng tư trở nên nghiêm trọng: ngay cả các tổ chức có bản sao lưu vững chắc và không có ý định trả tiền chuộc vẫn có thể đối mặt với việc lộ hồ sơ khách hàng, dữ liệu nhân viên hoặc thông tin độc quyền. Sự chuyển dịch này sang việc đánh cắp dữ liệu như là điểm tạo đòn bẩy chính là một phần của xu hướng rộng hơn được đề cập trong nghiên cứu của KnowBe4 về ransomware chuyển hướng sang đánh cắp danh tính, nơi dữ liệu cá nhân bị đánh cắp ngày càng tồn tại lâu hơn vụ vi phạm ban đầu như một công cụ cho gian lận.

Vì Sao LockBit Liên Tục Quay Lại

Sự bền bỉ của LockBit là một phần khiến nó đáng được theo dõi chặt chẽ. Bất chấp áp lực từ cơ quan thực thi pháp luật quốc tế và các nỗ lực triệt phá nhắm vào cơ sở hạ tầng của nhóm, nhóm này và các đối tác liên kết vẫn tiếp tục tiến hóa. Sự xuất hiện của các biến thể mới hơn, được trình bày chi tiết trong bài viết của chúng tôi về LockBit 5.0 và cuộc sống sau Chiến dịch Cronos, cho thấy việc làm gián đoạn máy chủ của một hoạt động RaaS không nhất thiết ngăn chặn được mô hình kinh doanh cơ bản. Các đối tác liên kết chỉ cần đổi thương hiệu, trang bị lại công cụ và tiếp tục hoạt động dưới các phiên bản mới.

Sự kiên cường này phản ánh một mô hình rộng hơn trong hệ sinh thái ransomware. Các báo cáo ngành gần đây, bao gồm báo cáo ransomware 2026 của Black Kite cho thấy hơn 7.551 nạn nhân trên toàn cầu, cho thấy ransomware không còn bị thống trị bởi một số ít băng nhóm gây chú ý trên các tiêu đề tin tức. Thay vào đó, đây là một nền kinh tế phân tán, giống như nhượng quyền, nơi các kịch bản kỹ thuật như của LockBit được nhiều nhóm tái sử dụng và điều chỉnh.

Điều Này Có Ý Nghĩa Gì Đối Với Bạn

Nếu bạn phụ trách IT hoặc bảo mật cho một tổ chức, phân tích kỹ thuật LockBit 3.0 là lời nhắc nhở rằng phần mềm diệt virus thông thường là chưa đủ. Chuỗi tấn công dựa vào việc khai thác các điểm yếu phổ biến—truy cập từ xa bị lộ, phần mềm chưa vá lỗi, thông tin đăng nhập yếu—mà hầu hết các tổ chức vẫn gặp khó khăn trong việc khắc phục hoàn toàn. Việc lập bản đồ phòng thủ của riêng bạn theo các giai đoạn MITRE ATT&CK mà LockBit sử dụng có thể giúp xác định các lỗ hổng trước khi một đối tác liên kết tìm thấy chúng trước bạn.

Đối với người dùng hàng ngày và người tiêu dùng, rủi ro mang tính gián tiếp hơn nhưng vẫn có thật. Nếu một công ty bạn giao dịch bị LockBit hoặc một nhóm tương tự xâm nhập, dữ liệu cá nhân của bạn có thể xuất hiện trên trang rò rỉ bất kể công ty đó có trả tiền chuộc hay không. Đó là lý do mạnh mẽ để sử dụng mật khẩu duy nhất, kích hoạt xác thực đa yếu tố ở mọi nơi có thể, và theo dõi các tài khoản của bạn để phát hiện hoạt động đáng ngờ sau bất kỳ thông báo vi phạm nào bạn nhận được.

Các Bước Hành Động Cụ Thể

Các tổ chức nên ưu tiên vá các hệ thống kết nối internet, hạn chế phơi nhiễm RDP và duy trì các bản sao lưu ngoại tuyến, đã được kiểm tra mà các chiến thuật tống tiền kép không thể chạm tới. Các nhóm bảo mật nên tích hợp các IOC và ánh xạ MITRE ATT&CK từ các báo cáo kỹ thuật như thế này vào các quy tắc phát hiện và sách hướng dẫn săn lùng mối đe dọa. Các cá nhân nên xem xét nghiêm túc mọi thông báo vi phạm dữ liệu, đổi mật khẩu và cảnh giác với các nỗ lực lừa đảo thường theo sau một vụ rò rỉ. Quy mô của LockBit 3.0—hơn 2.000 nạn nhân trên 95 quốc gia—là một tín hiệu rõ ràng rằng ransomware vẫn là một mối đe dọa đang hoạt động và không ngừng tiến hóa, và việc cập nhật thông tin về cách các cuộc tấn công này thực sự hoạt động là một trong những cách đơn giản nhất để đi trước chúng.