LockBit เป็นศัตรูอาชญากรที่รับผิดชอบในการพัฒนาLockBit ransomware และStealBitผู้ขโมยข้อมูล พัฒนาขึ้นในเดือนกันยายน 2019 กลุ่มดังกล่าวได้รับความนิยมอย่างมากจากการเปิดตัวLockBit 2.0 Ransomware-as-a-Service (RaaS) ในเดือนมิถุนายน 2021 จากนั้นจึงเปิดตัว Lockbit3.0 ซึ่งเปิดตัวในเดือนมิถุนายน 2022 ทั้งสองเวอร์ชันคือ หรือที่เรียกว่า LockBit Red และ LockBit Black โดยสีเขียวจะเปิดตัวในเดือนมกราคม 2566

LockBit เป็นแรนซั่มแวร์ขู่กรรโชกสามเท่า ซึ่งหมายความว่าสามารถใช้วิธีการได้ถึงสามวิธีในการกดดันเหยื่อให้จ่ายเงิน: สามารถเข้ารหัสไฟล์ กรองข้อมูล และขู่ว่าจะรั่วไหล และโจมตีเหยื่อด้วยการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย

LockBit ransomware สามารถส่งได้หลายวิธี สามารถส่งผ่านทางอีเมลฟิชชิ่ง ซึ่งมักเป็นการเสนองานหรือประกาศการละเมิดลิขสิทธิ์ มันสามารถแพร่กระจายโดยใช้เครือข่ายส่วนตัวเสมือนที่ถูกขโมยและข้อมูลรับรองโปรโตคอลเดสก์ท็อประยะไกล

อนาคตที่บันทึกไว้ได้ติดตามเหยื่อของ LockBit ทั้งหมด 1,111 ราย ณ เดือนพฤศจิกายน 2022 LockBit อ้างว่าได้โจมตีเหยื่อ 750 รายในปี 2022 เพียงปีเดียว

Lockbit red เป็นรุ่นแรกที่ Affiliate สามารถคว้าได้ ในขณะที่ LockBit black เป็นรุ่นสำหรับสมาชิกที่ใช้งานเป็นเวลา 7 เดือนและได้รับเงินค่าไถ่มากกว่า 2.5 ล้านเหรียญสหรัฐ

LockBit BLACKยังมีคุณสมบัติที่ไม่มีในLockBit RED ซึ่งรวมถึงคุณลักษณะที่ช่วยให้บริษัทในเครือควบคุมพฤติกรรมแรนซัมแวร์ที่เฉพาะเจาะจงได้มากขึ้น เช่น ความสามารถในการฆ่ากระบวนการเฉพาะ และยังอนุญาตให้แสดงรายการประเภทไฟล์ ไฟล์ และอุปกรณ์เฉพาะจากกระบวนการเข้ารหัส อย่างไรก็ตาม ซอร์สโค้ดรั่วไหลและสามารถพบได้หากคุณทราบว่าจะค้นหาได้ที่ไหน แต่ฉันจะไม่เปิดเผยตำแหน่งของมัน

กล่าวโดยย่อ นี่คือขั้นตอนการทำงานของแรนซัมแวร์:

• หยุด Windows Defender
• แทนที่ไฟล์ในถังรีไซเคิลด้วยข้อมูลที่สร้างขึ้นแบบสุ่ม จากนั้นลบทิ้ง ดังนั้นจะกู้คืนไม่ได้
• ตรวจสอบและยุติกระบวนการ SQL
• ลบสำเนาเงา
• เขียนบันทึกค่าไถ่
• เข้ารหัสไฟล์โดยใช้อัลกอริธึม Salsa-20
• ค้นหาตัวควบคุมโดเมนและพยายามเข้าสู่ระบบจากระยะไกล
• ค้นหาไดรฟ์ที่เชื่อมต่อและทรัพยากรเครือข่ายที่ใช้ร่วมกัน และพยายามเข้ารหัสไฟล์ในนั้น
• สื่อสารกับเซิร์ฟเวอร์คำสั่งและการควบคุม (C2) ผ่าน TLS 1.2 เพื่อเข้ารหัสการรับส่งข้อมูล

ตัวบ่งชี้การประนีประนอมสำหรับ LockBit Black

เราจะมุ่งเน้นไปที่สีเขียวของ Lockbit เนื่องจากนี่คือเด็กใหม่ในบล็อก ซึ่ง vx-underground เผยแพร่บน Twitter เมื่อวันที่ 27 มกราคม

แนะนำให้ติดตามบัญชี —https://twitter.com/vxunderground

ตอนนี้แสดงให้เห็นว่า LockBit มีสามเวอร์ชันของตัวเองและเวอร์ชันล่าสุดดูเหมือนว่าจะอิงตามซอร์สโค้ดของ CONTI ransomware ซึ่งรั่วไหลออกมาเมื่อสองสามสัปดาห์ก่อน เนื่องจากตัวเข้ารหัสเป็นของใหม่ จึงไม่มีความชัดเจนว่าทำไมการทำงานของ LockBit จึงใช้ตัวเข้ารหัสที่ใช้ CONTI ใหม่/รั่วไหลนี้ เนื่องจากเรารู้ว่าตัวเข้ารหัสสีแดงและสีดำทำงานได้ดี เนื่องจาก LockBit อยู่ในอันดับ 1 Ransomware เป็นสล็อตบริการ

ด้านบนแสดงบันทึก Ransomware ที่ดัดแปลงใหม่ เดิมเป็นเวอร์ชัน CONTI แต่ LockBit ได้ดัดแปลงตามวัตถุประสงค์ ด้านล่างยังแสดงนามสกุลไฟล์ใหม่ที่เคยเป็น.lockbitแต่ตอนนี้แสดง!!!-Restore-My-Files-!!!.txt

ตัวบ่งชี้การประนีประนอมสำหรับ LockBit Green

ด้านล่างคือกฎของ Yara ที่ PRODAFT สร้างขึ้นซึ่งสามารถตรวจจับสายพันธุ์ใหม่นี้จาก LockBit และแนะนำว่าสิ่งนี้ถูกเพิ่มลงในส่วนกฎของคุณ

rule LockBit_Green {
    meta:
        author = "PRODAFT"
        description = "LockBit Green detector (x32/x64)"
        date = "2023-01-30"
        rule_version = "v1"
        malware_type = "ransomware"
        top = "White"

    strings:
        $ransom_extension = {80 b6 98 68 63 00 78 ba 0f 00 00 00 6a 6a 68 ?? ?? ?? ?? 46 e8 ?? ?? ?? ?? 83 c4 08 68 ?? ?? ?? ?? ff d0 3b f0 72 ??}
        $api_hashing_arithmetic = {42 0F B6 4C 05 AC B8 75  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B}
        $api_hashing_arithmetic_2 = {8A 44 34 15 B9 4B 00 00  00 0F B6 C0 2B C8 6B C1 1B 99 F7 FF 8D 42 7F 99  F7 FF 88 54 34 15}
        $api_hashing_arithmetic_3 = {8a 44 0d ad 0f b6 c0  83 e8 06 6b c0 19 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d ad}
        $api_hashing_arithmetic_4 = {42 0F B6 4C 05 E1 B8 39  00 00 00 2B C1 8D 0C 80 B8 09 04 02 81 C1 E1 03  F7 E9 03 D1 C1 FA 06 8B C2 C1 E8 1F 03 D0 6B C2  7F 2B C8 B8 09 04 02 81 83 C1 7F F7 E9 03 D1 C1  FA 06 8B C2 C1 E8 1F 03 D0 6B C2 7F 2B C8 42 88  4C 05 E1}

    condition:
        any of them and filesize < 260KB
}

โดยสรุปแล้ว Lockbit เป็นหนึ่งในแก๊งแรนซัมแวร์ที่โหดเหี้ยมในโลกไซเบอร์และดูเหมือนว่าจะเป็นกลุ่มที่มีฐานอยู่ในรัสเซียซึ่งมีบริษัทในเครือจำนวนมากที่ดำเนินการเสนอราคา ตรวจสอบให้แน่ใจว่าคุณมี

1. มีการตั้งค่ารหัสผ่านที่รัดกุมและมีนโยบายรหัสผ่านที่รัดกุม
2. ล้างบัญชีวันที่และบัญชีผู้ใช้ที่ไม่ได้ใช้
3. การฝึกอบรมผู้ใช้ในการตรวจจับอีเมลฟิชชิ่งและเวกเตอร์โจมตี
4. Insure Patches เป็นปัจจุบัน, SOC เพื่อนำ IOCs ไปใช้กับบัญชีดำและเพิ่มกฎของ Yara
5. ใช้ทีมข่าวกรองภัยคุกคามของคุณ
6. เปิดใช้งานการรับรองความถูกต้องด้วยหลายปัจจัย
7. ดำเนินการทดสอบการเจาะระบบ/ แบบฝึกหัดบนโต๊ะเพื่อแก้ไข ข้อบกพร่องภายในระบบรักษาความปลอดภัยของบริษัท ตลอดจนทดสอบแผนเผชิญเหตุของคุณ
8. ตั้งค่าการแจ้งเตือนในผลิตภัณฑ์ EDR เพื่อแจ้งเตือนการลบสำเนาเงา
9. เตรียมการสำรองข้อมูลทั้งระบบและทำความสะอาดอิมเมจเครื่องในเครื่องไว้เสมอ

อ่านเพิ่มเติม

ฉันขอแนะนำอย่างยิ่งให้คุณอ่านสิ่งนี้ซึ่งเป็นที่ที่Jon DiMaggioฝังตัวอยู่ในกลุ่มเพื่อรับข้อมูลที่มั่นคงเกี่ยวกับวิธีการทำงานของกลุ่ม

Ransomware Diaries: เล่มที่ 1 | นักวิเคราะห์1