That Threat Archive Vol 4: LockBit

Feb 03 2023

LockBit은 LockBit 랜섬웨어와 StealBit 정보 도용자를 개발한 범죄자입니다. 2019년 9월에 개발된 이 그룹은 LockBit 2 출시로 큰 인기를 얻었습니다.

LockBit은 LockBit 랜섬웨어와 StealBit 정보 도용자 를 개발한 범죄자입니다 . 2019년 9월에 개발된 이 그룹은 2021년 6월 LockBit 2.0 RaaS(Ransomware-as-a-Service) 출시로 큰 인기를 얻었습니다. 이어 2022년 6월 출시된 Lockbit3.0을 출시했습니다. 두 가지 버전은 LockBit Red 및 LockBit Black이라고도 하며 녹색은 2023년 1월에 출시됩니다.

LockBit은 삼중 갈취 랜섬웨어로, 피해자에게 지불을 강요하는 최대 세 가지 방법을 사용할 수 있습니다. 파일을 암호화하고, 데이터를 유출하고 유출하겠다고 위협하고, 분산 서비스 거부 공격으로 피해자를 공격할 수 있습니다.

LockBit 랜섬웨어는 다양한 방식으로 유포될 수 있습니다. 피싱 이메일을 통해 전달될 수 있으며 종종 구인 제안이나 저작권 침해 통지로 위장합니다. 훔친 가상 사설망 및 원격 데스크톱 프로토콜 자격 증명을 사용하여 확산될 수 있습니다.

락빗 다크웹 사이트

Recorded Future는 2022년 11월 현재 총 1,111명의 LockBit 피해자를 추적했습니다. LockBit은 2022년에만 750명의 피해자를 공격했다고 주장합니다.

Lockbit red는 모든 제휴사가 얻을 수 있는 첫 번째 버전인 반면 LockBit black은 7개월 동안 활동한 회원을 위한 것으로 몸값 요구로 미화 250만 달러 이상을 받았습니다.

LockBit BLACK에는 LockBit RED 에서 사용할 수 없는 기능도 있습니다 . 여기에는 계열사가 특정 프로세스를 종료하는 기능과 같은 특정 랜섬웨어 동작에 대한 더 많은 제어 권한을 부여하고 암호화 프로세스에서 특정 파일 유형, 파일 및 장치 목록을 허용하는 기능이 포함됩니다. 다만, 소스코드가 유출되어 어디에서 검색하면 찾을 수 있지만 위치는 밝히지 않겠습니다.

요컨대, 랜섬웨어가 작동하는 과정은 다음과 같습니다.

Windows Defender를 중지합니다.
휴지통의 파일을 임의로 생성된 데이터로 교체한 다음 복구할 수 없도록 삭제합니다.
SQL 프로세스를 모니터링하고 종료합니다.
쉐도우 복사본을 삭제합니다.
몸값 메모를 작성하십시오.
Salsa-20 알고리즘을 사용하여 파일을 암호화합니다.
도메인 컨트롤러를 찾고 원격으로 로그인을 시도합니다.
연결된 드라이브 및 공유 네트워크 리소스를 찾고 여기에 있는 파일을 암호화하려고 시도합니다.
TLS 1.2를 통해 명령 및 제어(C2) 서버와 통신하여 트래픽을 암호화합니다.

LockBit 3.0 해독기 소스 데모: Bleeping 컴퓨터

LockBit Black의 침해 지표

이것이 블록의 새로운 아이이기 때문에 우리는 Lockbit green에 초점을 맞출 것입니다. vx-underground는 1월 27일 트위터에 게시했습니다.

계정을 팔로우하는 것이 좋습니다 —https://twitter.com/vxunderground

이제 LockBit에는 세 가지 버전이 있으며 최신 버전은 몇 주 전에 유출된 CONTI 랜섬웨어 소스 코드를 기반으로 하는 것으로 보입니다. 암호기가 새로워졌기 때문에 LockBit이 1위 Ransomware as a Service 슬롯에 있기 때문에 빨간색과 검은색이 잘 작동한다는 것을 알고 있기 때문에 LockBit 작업이 이 새롭거나 유출된 CONTI 기반 암호기를 사용하는 이유가 불분명합니다.

랜섬웨어 노트 Lockbit Green

위는 원래 CONTI 버전인 새로 적용된 랜섬웨어 노트를 보여주지만 LockBit은 이를 목적에 맞게 수정했습니다. 아래는 .lockbit 였던 새 파일 확장자를 보여주지만 지금은 !!!-Restore-My-Files-!!!.txt를 보여줍니다.

LockBit 녹색 소스에서 해독된 파일 확장자: Bleeping 컴퓨터

LockBit Green에 대한 타협 지표

다음은 LockBit에서 이 새로운 변종을 감지할 수 있는 PRODAFT가 생성한 Yara 규칙입니다. 이것이 규칙 섹션에 추가되도록 조언하십시오.

rule LockBit_Green {
    meta:
        author = "PRODAFT"
        description = "LockBit Green detector (x32/x64)"
        date = "2023-01-30"
        rule_version = "v1"
        malware_type = "ransomware"
        top = "White"

    strings:
        $ransom_extension = {80 b6 98 68 63 00 78 ba 0f 00 00 00 6a 6a 68 ?? ?? ?? ?? 46 e8 ?? ?? ?? ?? 83 c4 08 68 ?? ?? ?? ?? ff d0 3b f0 72 ??}
        $api_hashing_arithmetic = {42 0F B6 4C 05 AC B8 75  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B}
        $api_hashing_arithmetic_2 = {8A 44 34 15 B9 4B 00 00  00 0F B6 C0 2B C8 6B C1 1B 99 F7 FF 8D 42 7F 99  F7 FF 88 54 34 15}
        $api_hashing_arithmetic_3 = {8a 44 0d ad 0f b6 c0  83 e8 06 6b c0 19 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d ad}
        $api_hashing_arithmetic_4 = {42 0F B6 4C 05 E1 B8 39  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B C8 42 88  4C 05 E1}

    condition:
        any of them and filesize < 260KB
}

요약하면 Lockbit은 현재 사이버 공간에서 무자비한 랜섬웨어 갱단 중 하나이며 많은 계열사가 입찰을 수행하는 러시아 기반 그룹으로 보입니다. 당신이 가지고 있는지 확인

강력한 암호가 설정되고 강력한 암호 정책이 적용됩니다.
날짜 계정 및 사용하지 않는 사용자 계정 정리
피싱 이메일 및 공격 벡터 탐지에 대한 사용자 교육
패치가 최신 상태인지, 블랙리스트에 IOC를 구현하고 해당 Yara 규칙을 추가하는 SOC인지 확인
위협 인텔리전스 팀 활용
다단계 인증 활성화
회사의 보안 시스템 내 결함을 해결하고 사고 대응 계획을 테스트하기 위해 침투 테스트/테이블 탑 연습을 수행합니다.
섀도 복사본 삭제에 대해 경고하도록 EDR 제품의 경고를 설정합니다.
항상 시스템 전체 백업과 깨끗한 로컬 머신 이미지를 준비하십시오.

추가 읽기

그룹이 어떻게 운영되는지에 대한 확실한 정보를 얻기 위해 Jon DiMaggio가 그룹에 자신을 포함시킨 곳을 읽어 보시기 바랍니다 .