LockBit 5.0 đưa Alpha Omega Engineering vào trang rò rỉ dữ liệu

Chiến dịch ransomware-as-a-service LockBit 5.0 đã thêm Alpha Omega Engineering vào cổng tống tiền trên dark web của mình, nhận trách nhiệm về việc xâm nhập mạng lưới của công ty. Như thường lệ đối với nhóm này, danh sách niêm yết bao gồm yêu cầu tiền chuộc và đe dọa công bố dữ liệu bị đánh cắp nếu công ty không trả tiền. Ngoài chính mục niêm yết trên trang rò rỉ, không có xác nhận độc lập nào về phạm vi xâm nhập, loại dữ liệu bị lấy đi, hay số tiền chuộc được công bố công khai.

Việc thiếu chi tiết được xác minh đó là điển hình cho cách LockBit hoạt động. Cổng dark web của nhóm này hoạt động như một công cụ gây áp lực: chỉ riêng việc niêm yết công khai cũng có thể gây tổn hại danh tiếng của một công ty và làm lung lay khách hàng cùng nhân viên, bất kể thực tế đã bị đánh cắp bao nhiêu dữ liệu. Đối với các tổ chức bị nêu tên trên những trang này, tuyên bố ban đầu thường là dấu hiệu đầu tiên cho thấy có điều gì đó đã sai, đôi khi đến trước khi các đội bảo mật nội bộ hoàn tất cuộc điều tra của riêng họ.

Cách tống tiền kép biến dữ liệu bị đánh cắp thành đòn bẩy

Mô hình kinh doanh của LockBit dựa vào tống tiền kép, một chiến thuật trong đó kẻ tấn công không chỉ mã hóa hệ thống của nạn nhân mà còn đánh cắp dữ liệu trước đó và đe dọa công bố công khai. Điều này cho nhóm hai đòn bẩy riêng biệt để gây áp lực buộc nạn nhân trả tiền: sự gián đoạn vận hành do các tệp bị mã hóa, và hậu quả về danh tiếng và pháp lý từ việc lộ hồ sơ khách hàng, thông tin nhân viên, hoặc dữ liệu kinh doanh độc quyền.

Cách tiếp cận này đã chứng minh được độ bền vì nó hiệu quả ngay cả với các tổ chức có thực hành sao lưu vững chắc. Một công ty có thể khôi phục hệ thống từ bản sao lưu vẫn phải đối mặt với nguy cơ dữ liệu bị công bố công khai, điều có thể kích hoạt sự giám sát của cơ quan quản lý, mất khách hàng và các vụ kiện tụng. Như đã đề cập trong một bài phân tích gần đây về chiến dịch tống tiền kép của nhóm vẫn đang hoạt động trên toàn cầu, các chi nhánh đã tinh chỉnh cách tiếp cận hai mũi nhọn này thành một thứ đang tỏ ra khó phòng thủ hoàn toàn, đặc biệt đối với các doanh nghiệp vừa và nhỏ không có đội ứng phó sự cố chuyên trách.

Tại sao LockBit vẫn hoạt động sau Chiến dịch Cronos

Hoạt động tiếp diễn của LockBit có thể gây ngạc nhiên cho độc giả nhớ đến hành động thực thi pháp luật được gọi là Chiến dịch Cronos, vốn đã phá vỡ phần lớn hạ tầng của nhóm và giáng một đòn nặng nề vào danh tiếng của nó trong hệ sinh thái tội phạm mạng. Tuy nhiên, sự xuất hiện của LockBit 5.0 cho thấy các chiến dịch ransomware-as-a-service có thể kiên cường đến mức nào. Thay vì biến mất, nhóm đã xây dựng lại công cụ của mình và khởi chạy một trang rò rỉ mới, tiếp tục tuyển mộ chi nhánh và niêm yết nạn nhân.

Một phân tích chi tiết về quá trình tái thiết này có sẵn trong bài giải thích về LockBit 5.0 đề cập cuộc sống sau Chiến dịch Cronos của chúng tôi, theo dõi cách nhóm tái tổ chức sau cuộc triệt phá. Mô hình này không mới đối với riêng LockBit. Các phiên bản trước của công cụ nhóm này, bao gồm LockBit 3.0, đã được liên kết với hàng nghìn nạn nhân trên khắp hàng chục quốc gia, như đã trình bày chi tiết trong báo cáo trước đây về phạm vi của LockBit 3.0 trên 95 quốc gia. Áp lực thực thi pháp luật có thể làm chậm một nhóm, nhưng hiếm khi loại bỏ được mạng lưới chi nhánh cơ sở hoặc nhu cầu về công cụ ransomware-as-a-service trong giới tội phạm.

Điều này có ý nghĩa gì với bạn

Nếu bạn là nhân viên, khách hàng, hoặc đối tác của một công ty bị nêu tên trong tuyên bố tấn công ransomware LockBit 5.0, phản ứng tức thời có thể là hoảng loạn. Một phản ứng hữu ích hơn là kiên nhẫn kết hợp với cảnh giác. Các niêm yết trên trang rò rỉ là những tuyên bố chưa được xác minh, không phải các vụ xâm nhập đã được xác nhận, và các công ty thường mất thời gian để điều tra trước khi đưa ra tuyên bố công khai. Dù vậy, việc cho rằng dữ liệu của bạn có thể gặp rủi ro và hành động tương ứng là hợp lý.

Các chiến dịch ransomware hiện đại ngày càng coi dữ liệu bị đánh cắp như một công cụ để đánh cắp danh tính, chứ không chỉ là con bài mặc cả cho việc mã hóa. Bài đưa tin trước đây của chúng tôi về cách ransomware đã chuyển hướng sang đánh cắp danh tính thay vì chỉ mã hóa giải thích tại sao việc theo dõi tài khoản và thông tin cá nhân của bạn lại quan trọng ngay cả khi tiền chuộc cuối cùng được trả hoặc một vụ xâm nhập hóa ra có phạm vi hạn chế.

Những điểm cần hành động

Nếu tổ chức hoặc dữ liệu cá nhân của bạn có thể liên quan đến Alpha Omega Engineering, hoặc bất kỳ công ty nào được niêm yết trên trang rò rỉ ransomware, hãy cân nhắc các bước sau:

  • Theo dõi thông tin liên lạc chính thức từ công ty bị ảnh hưởng thay vì chỉ dựa vào các tuyên bố trên trang rò rỉ, vốn có thể bị phóng đại hoặc chưa được xác minh.
  • Thay đổi mật khẩu gắn với bất kỳ tài khoản nào liên quan đến tổ chức, đặc biệt nếu bạn dùng lại thông tin đăng nhập ở nơi khác.
  • Bật xác thực đa yếu tố ở mọi nơi có thể để hạn chế thiệt hại từ bất kỳ thông tin đăng nhập nào bị lộ.
  • Theo dõi sao kê tài chính và báo cáo tín dụng để phát hiện hoạt động bất thường trong những tháng sau một vụ xâm nhập nghi ngờ.
  • Cập nhật thông tin về cách các nhóm ransomware như LockBit 5.0 hoạt động, vì hiểu chiến thuật của chúng giúp dễ nhận ra các dấu hiệu cảnh báo sớm hơn.

Tuyên bố tấn công ransomware LockBit 5.0 nhắm vào Alpha Omega Engineering là lời nhắc nhở rằng các nhóm ransomware-as-a-service vẫn tiếp tục hoạt động và thích nghi ngay cả sau những gián đoạn lớn từ phía thực thi pháp luật. Duy trì cảnh giác, bảo vệ tài khoản cá nhân, và theo dõi các cập nhật đã được xác minh từ các tổ chức bị ảnh hưởng vẫn là những biện pháp phòng vệ thiết thực nhất hiện có đối với các cá nhân ngay lúc này.