LockBit là đối thủ hình sự chịu trách nhiệm phát triển phần mềm tống tiền LockBit và kẻ đánh cắp thông tin StealBit . Được phát triển vào tháng 9 năm 2019, Nhóm phần lớn đã trở nên nổi tiếng nhờ ra mắt LockBit 2.0 Ransomware-as-a-Service (RaaS) vào tháng 6 năm 2021. Sau đó, Lockbit3.0 được phát hành, được phát hành vào tháng 6 năm 2022. Hai phiên bản là còn được gọi là LockBit Red và LockBit Black, với màu xanh lục sẽ được phát hành vào tháng 1 năm 2023.

LockBit là ransomware tống tiền gấp ba lần, nghĩa là nó có thể sử dụng tối đa ba phương pháp để gây áp lực buộc nạn nhân phải trả tiền: nó có thể mã hóa tệp, lọc dữ liệu và đe dọa làm rò rỉ, đồng thời tấn công nạn nhân bằng các cuộc tấn công từ chối dịch vụ phân tán.

LockBit ransomware có thể được phân phối theo nhiều cách. Nó có thể được gửi qua email lừa đảo, thường đóng giả là lời mời làm việc hoặc thông báo vi phạm bản quyền. Nó có thể lây lan bằng cách sử dụng các mạng riêng ảo bị đánh cắp và thông tin đăng nhập giao thức máy tính từ xa

Recorded Future đã theo dõi tổng số 1.111 nạn nhân của LockBit tính đến tháng 11 năm 2022. LockBit tuyên bố đã tấn công 750 nạn nhân chỉ riêng trong năm 2022.

Lockbit đỏ là phiên bản đầu tiên mà bất kỳ đơn vị liên kết nào cũng có thể lấy được trong khi LockBit đen dành cho các thành viên hoạt động trong 7 tháng và nhận được hơn 2,5 triệu USD yêu cầu tiền chuộc.

LockBit BLACK cũng có các tính năng không có trong LockBit RED. Điều này bao gồm các tính năng giúp các chi nhánh kiểm soát nhiều hơn đối với các hành vi ransomware cụ thể, chẳng hạn như khả năng tiêu diệt các quy trình cụ thể và cũng cho phép danh sách các loại tệp, tệp và thiết bị cụ thể từ quy trình mã hóa. Tuy nhiên, mã nguồn đã bị rò rỉ và có thể được tìm thấy nếu bạn biết tìm nó ở đâu nhưng tôi sẽ không tiết lộ vị trí của nó.

Tóm lại, đây là quá trình hoạt động của ransomware:

• Dừng Bộ bảo vệ Windows.
• Thay thế các tệp trong Thùng rác bằng dữ liệu được tạo ngẫu nhiên, sau đó xóa chúng để chúng không thể khôi phục được.
• Theo dõi và chấm dứt quá trình SQL.
• Xóa các bản sao bóng tối.
• Viết ghi chú đòi tiền chuộc.
• Mã hóa tệp bằng thuật toán Salsa-20.
• Tìm kiếm bộ điều khiển miền và cố gắng đăng nhập từ xa vào chúng.
• Tìm kiếm các ổ đĩa được kết nối và tài nguyên mạng được chia sẻ, đồng thời cố gắng mã hóa các tệp trên chúng.
• Giao tiếp với (các) máy chủ chỉ huy và kiểm soát (C2) qua TLS 1.2, để mã hóa lưu lượng.

Các chỉ số thỏa hiệp cho LockBit Black

Chúng tôi sẽ tập trung vào Lockbit green vì đây là đứa trẻ mới trong khối. mà vx-underground đã xuất bản trên Twitter vào ngày 27 tháng 1.

Đề xuất cho tài khoản theo dõi —https://twitter.com/vxunderground

Điều này hiện cho thấy LockBit có ba phiên bản và phiên bản mới nhất có vẻ dựa trên mã nguồn ransomware CONTI đã bị rò rỉ vài tuần trước đó. Do bộ mã hóa là mới, không rõ tại sao hoạt động của LockBit hiện đang sử dụng bộ mã hóa dựa trên CONTI mới / bị rò rỉ này vì chúng tôi biết mã màu đỏ và đen của chúng hoạt động tốt vì LockBit nằm trên Ransomware số 1 dưới dạng vị trí Dịch vụ.

Ở trên cho thấy ghi chú Ransomware mới được điều chỉnh, ban đầu là phiên bản CONTI, nhưng LockBit đã điều chỉnh nó cho mục đích của nó. Phần bên dưới cũng hiển thị phần mở rộng tệp mới trước đây là .lockbit nhưng hiện hiển thị !!!-Restore-My-Files-!!!.txt

Các chỉ số thỏa hiệp đối với LockBit Green

Dưới đây là quy tắc Yara mà PRODAFT đã tạo ra có thể phát hiện chủng mới này từ LockBit. và khuyên rằng điều này được thêm vào phần quy tắc của bạn.

rule LockBit_Green {
    meta:
        author = "PRODAFT"
        description = "LockBit Green detector (x32/x64)"
        date = "2023-01-30"
        rule_version = "v1"
        malware_type = "ransomware"
        top = "White"

    strings:
        $ransom_extension = {80 b6 98 68 63 00 78 ba 0f 00 00 00 6a 6a 68 ?? ?? ?? ?? 46 e8 ?? ?? ?? ?? 83 c4 08 68 ?? ?? ?? ?? ff d0 3b f0 72 ??}
        $api_hashing_arithmetic = {42 0F B6 4C 05 AC B8 75  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B}
        $api_hashing_arithmetic_2 = {8A 44 34 15 B9 4B 00 00  00 0F B6 C0 2B C8 6B C1 1B 99 F7 FF 8D 42 7F 99  F7 FF 88 54 34 15}
        $api_hashing_arithmetic_3 = {8a 44 0d ad 0f b6 c0  83 e8 06 6b c0 19 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d ad}
        $api_hashing_arithmetic_4 = {42 0F B6 4C 05 E1 B8 39  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B C8 42 88  4C 05 E1}

    condition:
        any of them and filesize < 260KB
}

Tóm lại, Lockbit hiện là một trong những nhóm ransomware tàn nhẫn trong không gian mạng và chúng có vẻ là một nhóm có trụ sở tại Nga với rất nhiều chi nhánh thực hiện đấu thầu của chúng. Hãy chắc chắn rằng bạn có

1. Mật khẩu mạnh được đặt và chính sách mật khẩu mạnh được áp dụng
2. Xóa tài khoản ngày và tài khoản người dùng không sử dụng
3. Đào tạo người dùng trong việc phát hiện email Lừa đảo và vectơ tấn công
4. Đảm bảo các bản vá được cập nhật, SOC để triển khai IOC vào danh sách đen và thêm quy tắc Yara đó
5. Sử dụng nhóm tình báo mối đe dọa của bạn
6. Kích hoạt xác thực đa yếu tố
7. Tiến hành kiểm tra thâm nhập/Bài tập hàng đầu để giải quyết các lỗ hổng trong hệ thống bảo mật của công ty cũng như kiểm tra kế hoạch ứng phó Sự cố của bạn
8. Đặt Cảnh báo trong các sản phẩm EDR để cảnh báo về việc xóa các bản sao ẩn.
9. Luôn chuẩn bị sẵn các bản sao lưu trên toàn hệ thống và các hình ảnh máy cục bộ sạch sẽ.

BÀI ĐỌC BỔ SUNG

Tôi thực sự khuyên bạn cũng nên đọc phần này, đó là nơi Jon DiMaggio nhúng mình vào nhóm để có được một số thông tin chắc chắn về cách nhóm hoạt động bên trong.

Nhật ký mã độc tống tiền: Tập 1 | Nhà phân tích1