Lockbit
LockBit, riconosciuto anche come LockBit Black o Lockbit 3.0, è uno dei più grandi gruppi di ransomware al mondo e ha orchestrato ampi cyberattacchi in vari settori, colpendo migliaia di organizzazioni a livello globale con le sue strategie implacabili e adattive.
L'origine di Lockbit
Dalla sua nascita nel settembre 2019, LockBit è diventato famoso nel mondo della criminalità informatica, sfruttando il suo modello RaaS e "StealBit" malware per colpire aggressivamente aziende e infrastrutture.
Passando dalle versioni LockBit Red a 3.0, ogni iterazione ha introdotto caratteristiche sofisticate che hanno messo a dura prova l'analisi della sicurezza. Nel 2023 è emerso LockBit Green, che ha unito le caratteristiche del defunto ransomware Conti, illustrando l'adattabilità all'interno dei circoli della criminalità informatica.
Tuttavia, l'operazione Cronos del febbraio 2024 ha interrotto le operazioni di LockBit, erodendo la sua credibilità e rivelando gli sforzi internazionali per combattere il ransomware. Nonostante il sequestro dei siti Lockbit da parte delle forze dell'ordine, sono stati segnalati ulteriori attacchi, a dimostrazione della persistenza del gruppo.
Cartografia: OCD
Obiettivi
Obiettivi di Lockbit
Paesi presi di mira da Lockbit
Nonostante le affermazioni di Lockbit sulla neutralità politica, un numero sostanziale di vittime sembra provenire dagli Stati membri della NATO e dai loro alleati.
Circa il 50% degli attacchi che hanno coinvolto il ceppo LockBit 3.0 hanno colpito aziende negli Stati Uniti. Gli hacker che utilizzano Lockbit hanno ricevuto più di 91 milioni di dollari in pagamenti di riscatti dalle vittime statunitensi.
Anche il Brasile e l'India sono molto bersagliati.
Fonte: SOCRadar
Settori presi di mira da Lockbit
L'industria manifatturiera viene attaccata frequentemente da LockBit, ma non viene individuato un singolo settore, il che sottolinea l'indiscriminatezza dei bersagli del gruppo.
Sebbene in genere si tratti di piccole e medie imprese, anche grandi aziende come il gigante dell'IT Accenture non sono immuni dalla portata di LockBit.
Fonte: SOCRadar
Settori presi di mira da Lockbit
L'industria manifatturiera viene attaccata frequentemente da LockBit, ma non viene individuato un singolo settore, il che sottolinea l'indiscriminatezza dei bersagli del gruppo.
Sebbene in genere si tratti di piccole e medie imprese, anche grandi aziende come il gigante dell'IT Accenture non sono immuni dalla portata di LockBit.
Fonte: SOCRadar
Vittime di Lockbit
Ad oggi, più di 1661 vittime sono state vittime delle operazioni dannose di Lockbit.
Fonte: Ransomware.live
Metodo di attacco
Metodo di attacco di Lockbit
I partecipanti a LockBit 3.0 accedono alle reti tramite:
- compromettere le credenziali dell'account esistente
- Utilizzo delle violazioni RDP
- sfruttare le vulnerabilità dei sistemi rivolti al pubblico
- navigazione verso siti web dannosi durante la normale navigazione
- condurre attacchiphishing
LockBit 3.0 cerca di ottenere livelli di accesso più elevati quando le autorizzazioni attuali sono inadeguate e utilizza le funzioni di login automatico per elevare i privilegi.
LockBit 3.0 nasconde la sua attività criptando le comunicazioni con i server di controllo e auto-cancellandosi dopo l'esecuzione, e procederà alla decriptazione solo quando verrà fornita la password corretta.
Per rimanere integrato in una rete, LockBit 3.0 manipola gli account utente compromessi e configura i sistemi per il login automatico.
LockBit 3.0 utilizza ProDump di Microsoft Sysinternals per estrarre i contenuti della memoria di processo da LSASS.exe.
LockBit 3.0 esegue la scansione delle reti utilizzando SoftPerfect Network Scanner, raccoglie dati dettagliati sul sistema e sul dominio ed evita di infettare i sistemi con impostazioni linguistiche specifiche.
Per la penetrazione della rete interna, LockBit 3.0 utilizza il software di desktop remoto Splashtop.
LockBit 3.0 imposta il comando e il controllo utilizzando FileZilla e automatizza le interazioni sicure con la shell tramite Plink sui sistemi Windows. Durante il suo funzionamento, LockBit 3.0 esegue i comandi e utilizza Chocolatey, un gestore di pacchetti di Windows, per la gestione del software.
LockBit 3.0 utilizza il suo strumento personalizzato Stealbit e i popolari servizi di cloud per trafugare dati dalle reti.
LockBit 3.0 interrompe le operazioni cancellando i registri, svuotando il cestino, criptando i dati, arrestando i processi e i servizi, cancellando le copie shadow e alterando l'aspetto del sistema infetto con le proprie immagini.
Accesso iniziale
I partecipanti a LockBit 3.0 accedono alle reti tramite:
- compromettere le credenziali dell'account esistente
- Utilizzo delle violazioni RDP
- sfruttare le vulnerabilità dei sistemi rivolti al pubblico
- navigazione verso siti web dannosi durante la normale navigazione
- condurre attacchiphishing
Escalation dei privilegi
LockBit 3.0 cerca di ottenere livelli di accesso più elevati quando le autorizzazioni attuali sono inadeguate e utilizza le funzioni di login automatico per elevare i privilegi.
Difesa Evasione
LockBit 3.0 nasconde la sua attività criptando le comunicazioni con i server di controllo e auto-cancellandosi dopo l'esecuzione, e procederà alla decriptazione solo quando verrà fornita la password corretta.
Per rimanere integrato in una rete, LockBit 3.0 manipola gli account utente compromessi e configura i sistemi per il login automatico.
Accesso alle credenziali
LockBit 3.0 utilizza ProDump di Microsoft Sysinternals per estrarre i contenuti della memoria di processo da LSASS.exe.
Scoperta
LockBit 3.0 esegue la scansione delle reti utilizzando SoftPerfect Network Scanner, raccoglie dati dettagliati sul sistema e sul dominio ed evita di infettare i sistemi con impostazioni linguistiche specifiche.
Movimento laterale
Per la penetrazione della rete interna, LockBit 3.0 utilizza il software di desktop remoto Splashtop.
Collezione
Esecuzione
LockBit 3.0 imposta il comando e il controllo utilizzando FileZilla e automatizza le interazioni sicure con la shell tramite Plink sui sistemi Windows. Durante il suo funzionamento, LockBit 3.0 esegue i comandi e utilizza Chocolatey, un gestore di pacchetti di Windows, per la gestione del software.
Esfiltrazione
LockBit 3.0 utilizza il suo strumento personalizzato Stealbit e i popolari servizi di cloud per trafugare dati dalle reti.
Impatto
LockBit 3.0 interrompe le operazioni cancellando i registri, svuotando il cestino, criptando i dati, arrestando i processi e i servizi, cancellando le copie shadow e alterando l'aspetto del sistema infetto con le proprie immagini.
MITRE ATT&CK Mappatura
TTP utilizzati da Lockbit
LockBit impiega TTP (Tactics, Techniques, and Procedures) più modulari ed evasive rispetto ai suoi predecessori, riflettendo caratteristiche condivise con le famiglie di ransomware BlackMatter e BlackCat.
TA0001: Initial Access
T1566
Phishing
T1190
Exploit Public-Facing Application
T1189
Drive-by Compromise
T1133
External Remote Services
T1078
Valid Accounts
TA0002: Execution
No items found.
TA0003: Persistence
T1547
Boot or Logon Autostart Execution
T1546
Event Triggered Execution
T1078
Valid Accounts
TA0004: Privilege Escalation
T1547
Boot or Logon Autostart Execution
T1546
Event Triggered Execution
T1078
Valid Accounts
TA0005: Defense Evasion
T1480
Execution Guardrails
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1614
System Location Discovery
T1082
System Information Discovery
T1046
Network Service Discovery
TA0008: Lateral Movement
T1072
Software Deployment Tools
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
No items found.
TA0040: Impact
T1486
Data Encrypted for Impact
Rilevamenti della piattaforma
Come rilevare Lockbit con Vectra AI
Elenco dei rilevamenti disponibili nella piattaforma Vectra AI che indicano un attacco ransomware.
DOMANDE FREQUENTI
Che cos'è il ransomware LockBit?
LockBit è un Ransomware-as-a-Service (RaaS) che cripta i dati di un'organizzazione e chiede un riscatto per la chiave di decriptazione. È noto per la sua furtività, la velocità e l'uso di un doppio schema di estorsione.
Come fa LockBit a ottenere l'accesso iniziale alle reti?
LockBit spesso ottiene l'accesso iniziale attraverso vari mezzi, tra cui lo sfruttamento di protocolli desktop remoti (RDP), phishing, spearphishing e l'utilizzo di credenziali di account precedentemente violati.
Cosa rende LockBit 3.0 diverso dalle versioni precedenti?
LockBit 3.0 è più modulare ed evasivo, con una crittografia migliorata e la possibilità di personalizzare il payload dell'attacco. Ha incorporato caratteristiche di altri ransomware come BlackMatter e BlackCat.
LockBit è stata coinvolta in incidenti informatici significativi?
Sì, LockBit è stato responsabile di numerosi attacchi alle aziende a livello globale, compresi incidenti di alto profilo che hanno coinvolto grandi multinazionali.
A quali settori si rivolge tipicamente LockBit?
LockBit non si rivolge a un settore specifico. È noto che prende di mira un'ampia gamma di settori, tra cui l'assistenza sanitaria, l'istruzione e la produzione.
Come gestisce LockBit il processo di riscatto?
LockBit di solito lascia una nota di riscatto con istruzioni di pagamento all'interno del sistema compromesso. Il pagamento viene solitamente richiesto in criptovaluta e le trattative vengono talvolta condotte sul dark web.
Quali misure difensive possono essere efficaci contro LockBit?
L'aggiornamento e il patching regolari dei sistemi, l'implementazione di solidi controlli di accesso, la formazione frequente sulla sicurezza, l'utilizzo di strumenti avanzati di rilevamento delle minacce e il mantenimento di backup offline sono difese fondamentali.
Sono disponibili strumenti di decriptazione per i file criptati da LockBit?
Se siete stati colpiti da LockBit, la National Crime Agency (NCA) ha acquisito 1.000 chiavi di decriptazione dal sito di LockBit che possono aiutare a decriptare i dati rubati.
Qual è la migliore linea d'azione se la mia rete è compromessa da LockBit?
Isolate i sistemi colpiti, avviate un piano di risposta agli incidenti e contattate le forze dell'ordine e i professionisti della sicurezza informatica. Evitate di pagare il riscatto, perché non garantisce il recupero dei dati e può finanziare ulteriori attività criminali.
Cosa si sa degli operatori dietro LockBit?
Si ritiene che gli operatori facciano parte di un sofisticato gruppo di criminali informatici che opera con un modello RaaS, reclutando affiliati per diffondere il ransomware rimanendo nascosti e mantenendo l'anonimato.