Tot ce trebuie să știți despre familia de ransomware LockBit

Dacă vă țineți în mod regulat la curent cu amenințările de securitate cibernetică, probabil știți cât de periculos a devenit ransomware- ul răspândit. Acest tip de malware este o amenințare majoră pentru indivizi și organizații, mai multe tulpini devenind acum alegerea de top pentru actorii rău intenționați, inclusiv LockBit.

Deci, ce este LockBit, de unde vine și cum vă puteți proteja de acest ransomware?

Ce este LockBit Ransomware?

Deși LockBit a început ca o singură familie de ransomware, de atunci a evoluat de mai multe ori, cea mai recentă versiune fiind numită „ LockBit 3.0 ”. LockBit include o familie de programe ransomware, care funcționează folosind modelul Ransomware-as-a-Service (RaaS).

Ransomware-as-a-Service este un model de afaceri care presupune ca utilizatorii să plătească pentru accesul la un anumit tip de ransomware, astfel încât să îl poată folosi pentru propriile lor atacuri. Prin aceasta, acel utilizator devine afiliat și plata acestuia poate consta într-o taxă fixă ​​sau un serviciu pe bază de abonament. Pe scurt, creatorii LockBit au găsit o modalitate de a obține mai mult profit din utilizarea acestuia utilizând acest model RaaS și poate chiar să obțină o răscumpărare plătită de victimă.

Mai multe alte programe ransomware pot fi accesate prin modelul RaaS, inclusiv DarkSide și REvil. În plus, LockBit este unul dintre cele mai populare ransomware utilizate astăzi.

Având în vedere că LockBit este o familie de ransomware, utilizarea sa implică criptarea fișierelor țintei. Criminalii cibernetici se vor infiltra în dispozitivul victimei într-un fel sau altul, poate prin e-mailuri de phishing sau atașamente rău intenționate, iar apoi vor folosi LockBit pentru a cripta toate fișierele de pe dispozitiv astfel încât să fie inaccesibile pentru utilizator.

Odată ce fișierele victimei au fost criptate, atacatorul va cere apoi o răscumpărare în schimbul cheii de decriptare. Dacă victima nu se conformează și plătește răscumpărarea, este probabil ca atacatorul să vândă apoi datele de pe dark web pentru profit. În funcție de care sunt datele, acest lucru ar putea provoca daune ireversibile confidențialității unei persoane sau a unei organizații, ceea ce ar putea crește presiunea de a plăti răscumpărarea.

Dar de unde vine acest ransomware extrem de periculos?

Originea ransomware-ului LockBit

Nu se știe exact când a fost dezvoltat LockBit, dar a fost recunoscut din 2019, când a fost găsit pentru prima dată. Această descoperire a venit după primul val de atacuri LockBit, când ransomware-ul a fost inițial denumit „ABCD” în referire la numele extensiilor fișierelor criptate exploatate în atacuri. Dar când atacatorii au început să folosească în schimb extensia de fișier „.lockbit”, numele ransomware-ului s-a schimbat în ceea ce este astăzi.

Popularitatea LockBit a crescut după dezvoltarea celei de-a doua versiuni, LockBit 2.0. La sfârșitul anului 2021, LockBit 2.0 a fost folosit din ce în ce mai mult pentru atacuri și, pe măsură ce alte bande de ransomware s-au închis, LockBit a reușit să profite de decalajul de pe piață.

De fapt, adoptarea în creștere a LockBit 2.0 și-a consolidat poziția ca „varianta de ransomware cea mai răspândită și de impact pe care am observat-o dintre toate încălcările de ransomware.” în primul trimestru al anului 2022”, potrivit unui raport Palo Alto. În plus, Palo Alto a declarat în același raport că operatorii LockBit pretind că au cel mai rapid software de criptare dintre orice ransomware activ în prezent.

Ransomware-ul LockBit a fost detectat în multe țări din întreaga lume, inclusiv China, SUA, Franța, Ucraina, Marea Britanie și India. Mai multe organizații mari au fost, de asemenea, vizate folosind LockBit, inclusiv Accenture, o companie irlandeză-americană de servicii profesionale.

Accenture a suferit o breșă de date folosind LockBit în 2021, atacatorii cerând o răscumpărare uriașă de 50 de milioane de dolari, cu peste 6 TB de date criptate. Accenture nu a fost de acord să plătească această răscumpărare, deși compania a confirmat că niciun client nu a fost afectat de atac.

LockBit 3.0 și riscurile sale

Pe măsură ce popularitatea LockBit crește, fiecare nouă variantă este o preocupare reală. Cea mai recentă versiune de LockBit, numită LockBit 3.0, a devenit o problemă, mai ales în sistemele de operare Windows.

În vara anului 2022, LockBit 3.0 a fost folosit pentru a încărca încărcături utile Cobalt Strike rău intenționate pe dispozitivele vizate prin exploit-uri Windows Defender. În acest val de atacuri, un fișier executabil de linie de comandă numit MpCmdRun.exe a fost abuzat, astfel încât balizele Cobalt Strike să poată ocoli detectarea securității.

LockBit 3.0 a fost folosit și pentru a exploata o linie de comandă VMWare numită VMwareXferlogs.exe pentru a implementa încă o dată sarcina utilă Cobalt Strike. Nu se știe dacă aceste atacuri vor continua sau vor evolua în ceva complet diferit.

Este clar că ransomware-ul LockBit prezintă un risc ridicat, așa cum este cazul multor programe ransomware. Deci, cum te poți menține în siguranță?

Cum să vă protejați de ransomware-ul LockBit

Deoarece ransomware-ul LockBit trebuie să fie mai întâi prezent pe dispozitivul dvs. pentru a cripta fișierele, trebuie să preveniți complet infecția în primul rând. Deși este dificil să garantezi protecția împotriva ransomware-ului, poți face multe.

În primul rând, nu descărcați niciodată fișiere sau programe software de pe site-uri web care nu sunt complet legale. Descărcarea oricărui tip de fișier neverificat pe dispozitivul dvs. poate oferi atacatorilor ransomware acces ușor la fișierele dvs. Asigurați-vă că utilizați numai site-uri web de încredere și bine evaluate pentru descărcări sau magazine oficiale de aplicații pentru a instala software.

Un alt factor de reținut este că ransomware-ul LockBit este adesea răspândit prin Remote Desktop Protocol (RDP). Dacă nu utilizați această tehnologie, nu trebuie să vă faceți griji prea mult. Cu toate acestea, dacă o faceți, este important să vă asigurați rețeaua RDP utilizând protecția prin parolă, un VPN și dezactivând protocolul atunci când nu este utilizat direct. Operatorii de ransomware scanează adesea internetul pentru conexiuni RDP vulnerabile, astfel încât adăugarea unor straturi suplimentare de protecție va face rețeaua RDP mai puțin vulnerabilă la atac.

Ransomware-ul poate fi răspândit și prin phishing , o metodă extrem de comună de infectare și furt de date folosită de actori rău intenționați. Phishing-ul este cel mai frecvent desfășurat prin e-mail, unde un atacator va atașa un link rău intenționat la corpul e-mailului pe care îl va convinge pe victimă să facă clic. Acest link va duce la un site web rău intenționat care ar putea facilita infectarea cu malware.

Evitarea phishing-ului se poate face în mai multe moduri, inclusiv folosind funcții anti-spam, site-uri web de verificare a linkurilor și software antivirus. De asemenea, ar trebui să verificați adresa expeditorului oricărui e-mail nou și să căutați erori de ortografie în e-mail (deoarece e-mailurile de phishing conțin adesea multe erori de ortografie și gramaticale).

LockBit continuă să devină o amenințare globală

LockBit continuă să crească și să vizeze tot mai multe victime: acest ransomware nu va veni prea curând. Pentru a vă proteja de LockBit și de ransomware în general, luați în considerare câteva dintre sfaturile de mai sus. Deși s-ar putea să crezi că nu vei deveni niciodată o țintă, ar trebui să iei oricum măsurile de precauție necesare.